BaFin: Knapp 900 IT-Vorfälle in vier Quartalen, 14 Prozent gezielte Angriffe

Auf der Digital-Finance-Konferenz des Branchenverbands Bitkom in Berlin hat BaFin-Präsident Mark Branson die Finanzbranche eindringlich dazu aufgerufen, Cyber- und KI-Risiken ernst zu nehmen.

Der Finanzsektor müsse diese erheblichen Bedrohungen aktiv adressieren, anstatt naiv zu bleiben. Es sei jetzt nicht die Zeit für Naivität, mahnte der Behördenchef. Deutschland habe bislang zwar Glück gehabt, dass die heimische Finanzinfrastruktur kaum schwer getroffen worden sei, doch Branson stellte infrage, wie lange dieser Zustand anhalten könne.

Nach Angaben der Bundesanstalt für Finanzdienstleistungsaufsicht wurden in den vergangenen vier Quartalen knapp 900 IT-Vorfälle gemeldet, von denen 14 Prozent auf gezielte Angriffe zurückzuführen waren. Als Beispiel für die Dimension moderner Bedrohungen verwies Branson auf den Diebstahl von Kryptowerten im Umfang von rund 6,3 Milliarden US-Dollar bei Binance.

Nach vorliegenden Berichten spielten bei diesem Vorfall sowohl ein KI-Werkzeug als auch Methoden des Social Engineerings eine Rolle. Branson hob hervor, dass die Finanzwelt ein deutlich sichererer Ort wäre, wenn nur ein Bruchteil der gewaltigen Investitionen in KI-Kapazitäten für den Ausbau der Cybersicherheit eingesetzt würde.

Verschärfte Aufsicht und klare Vorgaben für Institute

Als Reaktion auf die veränderte Gefahrenlage baut die Aufsichtsbehörde ihre eigene Abteilung für Cyber-Sicherheit aus. Zudem kündigte die BaFin kürzere, stark zielgerichtete Prüfungen bei Instituten an. Branson sieht bei KI-Systemen und Quanten-Computing zwar erhebliche Vorteile, warnt jedoch gleichermaßen vor den damit verbundenen Gefahren.

Da Aufsichtsbehörden wie die BaFin den Fokus verstärkt auf die Risiken künstlicher Intelligenz legen, müssen Unternehmen die neuen regulatorischen Anforderungen genau kennen. Dieser kostenlose Leitfaden bietet einen kompakten Überblick über Fristen, Pflichten und Risikoklassen des EU AI Acts. EU AI Act in 5 Schritten verstehen

Finanzinstitute seien angehalten, künstliche Intelligenz fest in ihr Risikomanagement für Informations- und Kommunikationstechnik zu integrieren und eine beschleunigte, risikoorientierte Strategie beim Schließen von Sicherheitslücken zu verfolgen.

Auch neue technologische Umbrüche rücken zunehmend in den Fokus der Aufsicht. So empfahl Branson für besonders kritische Systeme eine unverbindliche Migration auf quantenresistente Verschlüsselungsverfahren bis zum Jahr 2030. Hintergrund ist die Strategie von Angreifern, verschlüsselte Daten bereits heute abzugreifen, um sie zu einem späteren Zeitpunkt mit leistungsfähigen Quantencomputern zu entschlüsseln.

Der Behördenleiter betonte, dass derartige Risiken bereits in der Gegenwart gesteuert werden müssten, ungeachtet dessen, ob Quantencomputer in zwei oder in fünf Jahren in breitem Umfang zur Verfügung stünden.

Angesichts der steigenden Zahl von IT-Vorfällen im Finanzsektor wird eine proaktive Sicherheitsstrategie für Verantwortliche immer wichtiger. Ein aktueller Report klärt darüber auf, welche neuen rechtlichen Pflichten und Bedrohungen durch technologische Umbrüche auf Organisationen zukommen. Kostenlosen Cyber-Security-Report herunterladen

Die BaFin fungiert bereits seit Juli 2026 als Marktaufsichtsbehörde für den Einsatz von KI-Systemen im Finanzsektor. Während die regulatorischen Grundlagen schrittweise greifen, gelten für eigenständige Hochrisiko-KI entsprechende Pflichten ab dem 2. Dezember 2027, nachdem diese Frist von August 2026 verschoben wurde. Für Hochrisiko-KI, die als Sicherheitskomponente fungiert, treten die regulatorischen Vorgaben zum 2. August 2028 in Kraft.