Der Europäische Ausschuss für Systemrisiken (ESRB) veröffentlichte eine Warnung, die sich in einem Satz zusammenfassen lässt: Die fortschrittlichsten Modelle künstlicher Intelligenz beginnen, die Cyberresilienz des Finanzsystems zu schwächen. Am selben Tag schickte die Bankenaufsicht der Europäischen Zentralbank einen Brief an die Chefs der größten Banken des Euroraums, in dem es heißt, dass sie bis Ende Oktober einen Plan zur Abwehr KI-gestützter Angriffe vorlegen müssen. Der ESRB stufte das systemische Cyberrisiko als „schwerwiegend“ ein, nachdem er es noch im März als „erhöht“ bewertet hatte.
Fortschrittliche KI-Modelle
Die Rede ist von sogenannten Frontier-Modellen, also hochmodernen Systemen künstlicher Intelligenz, die offensive wie defensive Operationen im Cyberraum maßgeblich beeinflussen können. Der ESRB bezeichnet sie als Wendepunkt für die Cybersicherheit.
Interessant ist, wie der Ausschuss die Zwiespältigkeit der ganzen Sache beschreibt. Langfristig werden diese Modelle die Verteidigung höchstwahrscheinlich stärken, kurz- und mittelfristig spielen sie jedoch den Angreifern in die Hände, da sie ihnen ermöglichen, Schwachstellen schneller zu erkennen und Angriffe schneller, in größerem Maßstab und durchdachter durchzuführen. Mit anderen Worten: Die Technologie, die eines Tages das Tor schützen soll, hilft derzeit eher dabei, es aufzubrechen.
Ein konkretes Beispiel haben Experten auf der Verteidigerseite beobachtet. Fortschrittliche Modelle können einen Sicherheitspatch innerhalb von etwa dreißig Minuten zurückentwickeln, wodurch die Zeitspanne zwischen der Veröffentlichung einer Fehlerbehebung und dem Moment, in dem ein Angreifer die ursprüngliche Schwachstelle ausnutzt, praktisch verschwindet. Früher hatten Banken mehrere Tage Zeit, um die Fehlerbehebung einzuspielen. Jetzt bleiben ihnen dafür buchstäblich nur Minuten.
Vorgaben für Banken
Genau deshalb stellte die EZB-Aufsicht eine ungewöhnlich konkrete Forderung. Der Brief ging an rund 110 Banken, die direkt von der Zentralbank beaufsichtigt werden. Dem Wortlaut des Briefes zufolge handelt es sich nicht um ein vorübergehendes Phänomen, sondern um eine langfristige Veränderung der Bedrohungslage. Die neuen Modelle brächten zwar keine völlig neuen Arten von Risiken mit sich, erhöhten jedoch deutlich die Geschwindigkeit und das Ausmaß, mit denen sich diese Risiken manifestieren.
Frankfurt erwartet nun mehrere Dinge von den Banken. Sie sollen Software schneller patchen, ihre eigene KI-gestützte Abwehr stärken und die Kontrolle von Drittanbietern verschärfen. Langfristig sollen sie zudem ihre veraltete Infrastruktur modernisieren. Vorrang haben mit dem Internet verbundene Systeme, exponierte technische Ressourcen und Open-Source-Komponenten.
Den fertigen Plan müssen die Banken ihren gemeinsamen Aufsichtsteams bis zum 31. Oktober 2026 vorlegen. Die EZB wird den Plan mit jedem Institut erörtern und einen sektorweiten Vergleich durchführen, um gemeinsame Schwachstellen sowie bewährte Verfahren zu identifizieren.
Um den Banken den nötigen Spielraum zu verschaffen, machte die Aufsicht auch ein Zugeständnis. Den regelmäßigen Fragebogen zu IT-Risiken, der ursprünglich für September vorgesehen war, verschiebt die EZB auf Februar nächsten Jahres und erwägt zudem, weitere Aufsichtsaktivitäten anzupassen.
Düstere Szenarien
Der ESRB beließ es nicht bei einer allgemeinen Warnung, sondern skizzierte, wie ein solcher Ernstfall aussehen könnte. Er beschrieb ein breites Spektrum, das vom allmählichen Vertrauensverlust in kleinere Banken über staatlich unterstützte Spionage bis hin zu koordinierten Angriffen auf Zahlungs-, Clearing- und Abwicklungssysteme reicht, die zusätzlich durch Desinformationskampagnen verstärkt werden könnten.
Der Ausschuss wies außerdem darauf hin, dass sich Vorfälle über gemeinsame Technologieanbieter und im gesamten Finanzsektor eingesetzte Software blitzschnell ausbreiten können. Es genügt also, eine einzige Schwachstelle bei einem Anbieter zu überwinden, von dem Dutzende Banken abhängig sind.
Und dann ist da noch das Vertrauen, der empfindlichste Rohstoff des Bankwesens. Der ESRB warnte, dass großflächige Cyberausfälle das Vertrauen untergraben und Angriffe auf schwächere Institute auslösen könnten. Im Extremfall könne dies Unternehmen oder Länder treffen, die als weniger sicher wahrgenommen werden.
Europa ist auf ausländische Technologien angewiesen
Dem ESRB zufolge setzt die Konzentration führender KI-Anbieter außerhalb der Europäischen Union die EU strategischen Abhängigkeiten und geopolitischen Risiken aus. Europa verfügt schlicht nicht über eigene Spitzenmodelle und muss sich auf ausländische Unternehmen verlassen.
Die Cyberfähigkeiten einiger Systeme gelten als so stark, dass der Zugang zu ihnen eingeschränkt wurde und Banken des Euroraums derzeit vom Mythos-Modell des Unternehmens Anthropic ausgeschlossen sind. Europäische Banken sollen sich also gegen Werkzeuge verteidigen, zu denen sie selbst keinen Zugang haben, während einige US-amerikanische Institute keinen solchen Einschränkungen unterliegen.
Die EZB drängt daher auf einen Informationsaustausch zwischen europäischen Banken. Sie argumentiert, dass der gemeinsame Austausch von Erkenntnissen über Bedrohungen den fehlenden Zugang zu den leistungsfähigsten Modellen zumindest teilweise ausgleichen könne.
Auch ein Thema, das erst noch an Bedeutung gewinnen wird, kam zur Sprache. Die EZB wies darauf hin, dass Quantencomputer erhebliche Auswirkungen auf die Cybersicherheit haben werden und der Übergang zu Post-Quanten-Verschlüsselung bereits jetzt beginnen müsse. Dieser Bedrohung will sie später einen eigenen Brief widmen.
Drei unterschiedliche Sichtweisen
Interessant ist der Vergleich mit anderen Zentralbanken, die am selben Tag ihre Position darlegten. Frankfurt wählte den schärfsten Ton.
Der Gouverneur der Bank of England, Andrew Bailey, bezeichnete die Warnung der EZB als „vernünftig“, versprach selbst jedoch einen weniger direktiven Ansatz. Es gehe nicht darum, Anweisungen zu erteilen, sondern darum, sich an einen Tisch zu setzen und Erkenntnisse über Schwachstellen auszutauschen. Die Briten raten den Banken seit Langem, ihre Abwehr zu stärken, öffentliche Fristen setzen sie jedoch nicht.
Noch zurückhaltender äußerte sich die US-Notenbank. Michelle Bowman von der Fed betonte die verantwortungsvolle Einführung von KI, Verhältnismäßigkeit und eine „leichtere Aufsicht“ bei weniger riskanten Anwendungen, wobei sie sich eher auf die Förderung von Innovationen als auf die Reaktion auf systemische Cyberbedrohungen konzentrierte.
Drei Behörden, dasselbe Risiko, drei unterschiedliche Geschwindigkeiten. Die europäischen Banken haben nun vier Monate Zeit, um zu zeigen, dass die strengste von ihnen es ernst meint.
Quellen: euronews.com, wmbdradio.com, reuters.com
