BaFin-Präsident Mark Branson hat die Finanzbranche zu mehr Tempo bei der Cyber-Abwehr aufgerufen. Auf der Digital-Finance-Konferenz des Bitkom am 10. November in Berlin nannte er KI-gestützte Angriffe und Quantencomputing als wachsende Risiken. Für Banken, Versicherer und Asset Manager wird IT-Resilienz damit zu einer Aufsichtsfrage mit festen Fristen.
Was die Aufsicht beobachtet
In den vergangenen vier Quartalen wurden der BaFin knapp 900 IT-Vorfälle gemeldet, 14 Prozent davon gingen auf Angriffe zurück. Das geht aus Bransons Rede hervor. Branson verweist auf die geopolitische Lage und auf leistungsfähige KI-Modelle, die Schwachstellen schneller finden. Das hilft der Abwehr, nützt aber ebenso den Angreifern.
Neu sind laut Branson vor allem Tempo und Qualität der Angriffe, die bekannten Muster bleiben bestehen. KI-Agenten beschleunigen Abläufe und lassen sich ebenso für Angriffe missbrauchen. Gute Cyber-Hygiene und risikoorientiertes Patching behalten deshalb ihren Wert. Das gilt vor allem für kritische und von außen erreichbare Systeme.
Die neue Rolle der BaFin bei KI
Seit Juli 2026 ist die BaFin Marktüberwachungsbehörde für KI-Systeme im Finanzsektor. Sie prüft, ob verbotene Praktiken vorliegen und Transparenzpflichten eingehalten werden. Zudem achtet sie darauf, ob Unternehmen die KI-Kompetenz ihrer Beschäftigten fördern. Ab Dezember 2027 kommen nach Bransons Angaben die Anforderungen an Hochrisiko-KI hinzu.
Den Einsatz von KI verbietet die Aufsicht nicht. Sie erwartet aber, dass er in das IKT-Risikomanagement nach DORA eingebunden ist, der EU-Verordnung zur digitalen operationalen Resilienz. Als Risiko nennt Branson etwa ungerechtfertigte Diskriminierung bei Kreditvergabe oder Krankenversicherung. Parallel baut die BaFin ihre Cyber-Abteilung aus und kündigt kürzere, sehr zielgerichtete Prüfungen an.
Quantenrisiken und Abhängigkeit von Hyperscalern
Beim Quantencomputing empfiehlt die BaFin, besonders kritische Systeme bis 2030 auf quantenresistente Verschlüsselung umzustellen. Branson warnt zudem vor „Harvest Now, Decrypt Later“: Angreifer sammeln heute verschlüsselte Daten, um sie später zu entschlüsseln. Für Daten mit langer Schutzdauer beginnt das Risiko deshalb schon jetzt, unabhängig davon, wann leistungsfähige Quantenrechner verfügbar sind.
Ein zweites Thema ist Souveränität. Branson fordert eine Infrastruktur, die die Abhängigkeit von Hyperscalern mit Sitz außerhalb der EU verringert. Für Häuser, deren Kernsysteme bei US-Anbietern laufen, reicht diese Frage nach unserer Einschätzung über die Compliance hinaus bis in die Strategie.
Was Entscheider jetzt prüfen sollten
Anfang Dezember richtet die BaFin nach Bransons Angaben ihre IT-Aufsichtskonferenz aus, mit Quantencomputing als Schwerpunkt. Danach soll ein Roundtable mit Industrie und Verbänden starten. Seine Botschaft an die Branche fasst Branson so zusammen: „Jetzt ist nicht die Zeit für Naivität.“
Wer KI einsetzt, sollte klären, ob alle Systeme im IKT-Risikomanagement erfasst sind und welche ab Dezember 2027 als Hochrisiko-KI gelten könnten. Ein Inventar der eingesetzten Verschlüsselungsverfahren zeigt, welche Systeme bis 2030 umzustellen sind. Offen bleibt, wie streng die Aufsicht die Empfehlung für 2030 in ihren künftigen Prüfungen auslegt.
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.