Die EZB-Frist zum 31. Oktober: Was das Aufsichtsschreiben zu KI-gestützten Cyberbedrohungen verlangt

Mit Schreiben vom 7. Juli 2026 hat die EZB-Bankenaufsicht die Vorstandsvorsitzenden aller bedeutenden Institute im Euroraum aufgefordert, bis zum 31. Oktober 2026 einen Aktionsplan gegen KI-gestützte Cyberangriffe vorzulegen. Das Schreiben (SSM-2026-0301), unterzeichnet von der Vorsitzenden des Aufsichtsgremiums Claudia Buch, wurde gemeinsam mit einer Warnung des Europäischen Ausschusses für Systemrisiken (ESRB) zu systemischen Cyberrisiken durch leistungsfähige Frontier-AI-Modelle veröffentlicht. Wenige Tage später machten die drei europäischen Finanzaufsichtsbehörden — EBA, EIOPA und ESMA — deutlich, dass sie den Umgang mit diesen Risiken als Pflicht unter DORA verstehen, für Banken, Versicherer und Wertpapierfirmen gleichermaßen. Die Botschaft ist eindeutig: KI-gestützte Angriffe sind aus Sicht der Aufsicht keine Zukunftsfrage mehr, sondern ein unmittelbares Handlungsfeld.

Warum die Aufsicht jetzt handelt

Auslöser ist der schnelle Fortschritt sogenannter Frontier-Modelle — der leistungsfähigsten KI-Systeme am Markt. Nach Einschätzung der EZB verändern sie die Ökonomie von Cyberangriffen grundlegend: Das Zeitfenster zwischen dem Auffinden einer Schwachstelle und ihrer Ausnutzung schrumpft dramatisch, weil KI-Systeme Schwächen schneller finden, Exploits schneller entwickeln und Angriffe in größerem Maßstab automatisieren können. Gleichzeitig senken generative Tools die Kosten für überzeugendes Phishing, Stimmimitationen und Deepfakes.

Die Aufsicht behandelt dies ausdrücklich als dauerhafte Verschiebung der Bedrohungslage, nicht als vorübergehenden Ausschlag. Und die Sorge geht über einzelne Institute hinaus: Ein erfolgreicher Angriff auf kritische Zahlungsinfrastruktur oder ein Vertrauensverlust in die Datenintegrität einer großen Bank würde das Finanzsystem insgesamt betreffen.

Was das Schreiben konkret verlangt

Die EZB erwartet von jedem bedeutenden Institut, bis zum 31. Oktober 2026 einen Aktionsplan bei seinem Joint Supervisory Team einzureichen. Inhaltlich adressiert das Schreiben mehrere Prioritäten:

• Schwachstellen- und Patch-Management beschleunigen. Wenn Angreifer Lücken schneller ausnutzen, muss auch das Schließen dieser Lücken schneller und stärker automatisiert werden — in der Breite, nicht nur für wenige Kernsysteme.

• Angriffsfläche reduzieren. Institute sollten internetexponierte Systeme identifizieren und außer Betrieb nehmen, wenn sie nicht benötigt werden.

• Erkennung und Reaktion stärken. Monitoring muss mit automatisierten, schnell wechselnden Angriffsmustern Schritt halten.

• Drittparteien und Lieferketten genauer prüfen. Risiken aus Software- und Technologieanbietern gehören in den Scope — ein Punkt, der direkt an DORAs Anforderungen zum IKT-Drittparteienrisiko anschließt.

• Legacy-Technologie modernisieren. Nicht unterstützte oder am Ende ihres Lebenszyklus stehende Systeme gelten als bevorzugte Einstiegspunkte und sollten ersetzt werden.

Ein entlastendes Element ist ebenfalls erwähnenswert: Um Kapazitäten für die Aktionspläne freizumachen, verschiebt die EZB die jährliche Erhebung des IT Risk Questionnaire von September 2026 auf Februar 2027.

Kein neues Gesetz — aber eine verbindliche Erwartung

Formal schafft das Schreiben keine neue Gesetzgebung. Es konkretisiert aufsichtliche Erwartungen auf Basis des bestehenden Rahmens, vor allem der seit Januar 2025 geltenden DORA-Verordnung. Genau daraus entsteht seine Wirkung: Die Anforderungen an IKT-Risikomanagement, Resilienztests und Drittparteienaufsicht bestehen bereits — das Schreiben macht klar, dass die Aufsicht die Einhaltung nun ausdrücklich am Maßstab KI-gestützter Bedrohungen messen wird. Institute sollten davon ausgehen, dass die Aktionspläne in die laufende Aufsicht einfließen und Fortschritte nachverfolgt werden.

Die andere Seite der Medaille: KI in der Verteidigung

Das Schreiben handelt von Risiko — ist aber zugleich ein Argument für den strukturierten Einsatz von KI in der Verteidigung. Angriffsmuster, die sich in Minuten statt Tagen verändern, lassen sich nicht mehr manuell beherrschen. Anomalieerkennung in Transaktionsdaten, automatisierte Priorisierung von Schwachstellen und KI-gestützte Analyse von Sicherheitsereignissen entwickeln sich vom Nice-to-have zum notwendigen Werkzeug.

Die Konsequenzen reichen weit über Security-Teams hinaus. KI produktiv gegen Angriffe einzusetzen, verlangt dieselben Grundlagen wie KI im Kundengeschäft: saubere, aktuelle, zugriffsgesteuerte Daten, klare Verantwortlichkeiten und nachvollziehbare Modelle. Datenplattformen, die Kundendaten für Segmentierung und Personalisierung aufbereiten, und Sicherheitsarchitekturen, die dieselben Daten schützen, sind zwei Seiten derselben Governance-Aufgabe. Institute, die ihre Datenlandschaft ohnehin für Customer-Lifecycle-Anwendungen modernisieren, sollten Sicherheits- und Resilienzanforderungen von Anfang an mitbauen — statt sie nachträglich anzuflanschen.

Was jetzt zu tun ist

Bis Ende Oktober bleibt wenig Zeit. Bewährte Schritte für die kommenden Wochen:

1. Bestandsaufnahme entlang der Prioritäten des Schreibens. Wo steht das Institut bei Patch-Geschwindigkeit, Angriffsfläche, Erkennung, Drittparteien und Legacy-Systemen? Eine ehrliche Gap-Analyse ist die Grundlage des Aktionsplans.

2. Verantwortung konsolidieren. Der Plan betrifft IT, Informationssicherheit, Einkauf, Datenmanagement und Fachbereiche. Ohne klares Mandat werden aus fünf Teilplänen kein gemeinsamer Aktionsplan.

3. Priorisieren statt Vollständigkeit simulieren. Die EZB betont, dass Institute ihre Ressourcen auf die Schlüsselbereiche fokussieren sollen. Ein glaubwürdiger, priorisierter Plan mit Meilensteinen überzeugt mehr als ein erschöpfender Katalog ohne Umsetzungspfad.

4. DORA-Arbeit wiederverwenden. Register von IKT-Drittanbietern, Resilienztests und Incident-Prozesse aus der DORA-Umsetzung liefern direkte Bausteine für den Aktionsplan.

Fazit

Das EZB-Schreiben vom 7. Juli markiert einen Wendepunkt: KI-gestütztes Cyberrisiko ist nun offiziell Vorstandsthema und Teil der laufenden Aufsicht. Die Frist zum 31. Oktober 2026 ist ambitioniert, aber erreichbar — insbesondere für Institute, die ihre DORA-Umsetzung ernst genommen haben. Und wer die notwendige Modernisierung von Daten, Systemen und Sicherheitsarchitektur strategisch angeht, gewinnt doppelt: mehr Resilienz gegen Angriffe und eine bessere Grundlage für den produktiven Einsatz von KI im Kundengeschäft.