BaFin warnt vor KI-Risiken: Warum Cybersicherheit für Banken jetzt zur Belastungsprobe wird

Künstliche Intelligenz verändert den Finanzsektor in rasantem Tempo, doch die Aufsicht in Deutschland schlägt jetzt Alarm. Auf der Digital Finance Conference 2026 in Berlin, kurz DigiFin26, haben der Präsident der Bundesanstalt für Finanzdienstleistungsaufsicht, Mark Branson, und Bundesbank-Vorständin Fritzi Köhler-Geib am 10. November 2026 vor den wachsenden Risiken für die Sicherheit und Stabilität des europäischen Finanzsystems gewarnt. Ihre Botschaft war deutlich: Die Branche darf die neuen Gefahren nicht unterschätzen, und sie muss sich schneller wappnen, als es bisher der Fall ist.

Branson brachte es in seiner Rede auf den Punkt. "Jetzt ist nicht die Zeit für Naivität", sagte der BaFin-Präsident vor den Teilnehmerinnen und Teilnehmern der Konferenz. Gemeint waren vor allem die Risiken, die mit dem zunehmenden Einsatz künstlicher Intelligenz und der Entwicklung leistungsfähiger Quantencomputer verbunden sind. Beides eröffnet Banken und Versicherungen große Chancen, etwa bei der Analyse von Daten oder der Automatisierung von Abläufen. Gleichzeitig entstehen neue Angriffsflächen, die Kriminelle und staatliche Akteure ausnutzen könnten.

Fast 900 IT-Vorfälle in vier Quartalen

Wie ernst die Lage ist, zeigen die Zahlen der Aufsicht. Innerhalb von vier Quartalen wurden der BaFin knapp 900 IT-Vorfälle gemeldet. Das ist eine beachtliche Zahl, auch wenn sie nur die meldepflichtigen Ereignisse umfasst. Lediglich 14 Prozent davon waren direkte Cyberangriffe. Der Rest entfiel auf andere Störungen, etwa technische Ausfälle oder Probleme bei Dienstleistern. Die Statistik lässt deshalb keinen Rückschluss auf die Gesamtzahl sämtlicher Cyberangriffe zu. Fachleute gehen davon aus, dass die tatsächliche Zahl deutlich höher liegt, weil viele Vorfälle gar nicht meldepflichtig sind oder erst spät bemerkt werden.

Die BaFin will ihre Cyberaufsicht deshalb ausbauen und künftig verstärkt kürzere, gezielte Prüfungen durchführen. Statt seltener, umfassender Kontrollen sollen Institute häufiger und punktgenauer geprüft werden. Das Ziel ist, Schwachstellen früher zu finden und schneller zu reagieren, bevor aus einem kleinen Problem ein großer Schaden wird. Für Banken, Versicherer und Zahlungsdienstleister bedeutet das mehr Aufmerksamkeit von der Aufsicht, aber auch mehr Planungssicherheit, wenn sie ihre Systeme rechtzeitig auf den neuesten Stand bringen.

Quantencomputer als nächste Herausforderung

Ein Schwerpunkt der Warnung war das Thema Quantencomputing. Leistungsfähige Quantencomputer könnten in Zukunft heutige Verschlüsselungsverfahren knacken, auf denen ein großer Teil der digitalen Finanzwelt beruht. Branson empfahl, besonders kritische Systeme bis 2030 auf quantenresistente Verschlüsselungsverfahren umzustellen. Das klingt nach viel Zeit, doch in der Praxis ist der Umstieg aufwendig. Systeme müssen inventarisiert, Verfahren getestet und Prozesse angepasst werden. Wer erst kurz vor dem Stichtag beginnt, riskiert Lücken, die sich nur schwer schließen lassen.

Auch die Abhängigkeit von internationalen Technologieanbietern war ein Thema der Konferenz. Der europäische Finanzsektor setzt bei Cloud-Diensten, Software und KI-Modellen stark auf Anbieter aus den USA und anderen Ländern. Das bringt Vorteile bei Tempo und Qualität, schafft aber auch Abhängigkeiten. Fällt ein Anbieter aus oder ändert er seine Bedingungen, kann das viele Institute gleichzeitig treffen. Bundesbank-Vorständin Köhler-Geib ergänzte Bransons Warnungen um genau diesen Punkt. Sie verwies auf die wirtschaftlichen Abhängigkeiten des europäischen Finanzsektors und auf die Entwicklung der Cyberbedrohung insgesamt.

DORA setzt den Rahmen seit 2025

Rechtlich gibt es bereits einen Rahmen für mehr digitale Widerstandsfähigkeit. Mit dem seit Januar 2025 geltenden Digital Operational Resilience Act, kurz DORA, bestehen europaweit verbindliche Anforderungen an Finanzunternehmen. Institute müssen ihre IT-Risiken systematisch erfassen, Vorfälle melden und ihre Widerstandsfähigkeit regelmäßig testen. DORA gilt als wichtiger Schritt, doch die Warnungen von der DigiFin26 zeigen, dass Regeln allein nicht reichen. Entscheidend ist, wie konsequent sie im Alltag umgesetzt werden, etwa bei der Absicherung von KI-Systemen und beim Umgang mit Drittanbietern.

92 Prozent fordern einen Not-Aus-Schalter für KI

Passend zur Konferenz veröffentlichte der Digitalverband Bitkom am 10. November eine repräsentative Befragung zur Haltung der Bevölkerung gegenüber künstlicher Intelligenz. Dafür wurden 1.006 Menschen ab 16 Jahren in Deutschland telefonisch befragt. Das Ergebnis ist eindeutig: 92 Prozent der Befragten fordern einen Not-Aus-Schalter für sämtliche KI-Systeme. Die Menschen wollen also nicht weniger KI, aber sie wollen, dass sie im Zweifel abgeschaltet werden kann.

Die Bundesregierung habe mit dem KI-Sicherheitsinstitut AISI Deutschland ein entsprechendes Signal gesetzt, heißt es in der Auswertung. Das Institut soll sich mit der Sicherheit von KI-Systemen befassen und dazu beitragen, Risiken früh zu erkennen. Die hohe Zustimmung zu einem Not-Aus-Schalter zeigt, dass viele Menschen KI zwar als nützlich empfinden, aber ein klares Sicherheitsnetz erwarten. Für Unternehmen ist das ein Hinweis, Transparenz und Kontrolle von Anfang an mitzudenken, statt sie nachträglich einzubauen.

Was das für Kunden und Unternehmen bedeutet

Für Kundinnen und Kunden von Banken und Versicherungen ändern sich die Warnungen erst einmal nicht im Alltag. Konten, Karten und Apps funktionieren wie bisher. Doch hinter den Kulissen steigt der Druck, Systeme sicherer zu machen. Wer als Unternehmen mit Finanzdaten arbeitet, sollte die Signale ernst nehmen. Dazu gehört, KI-Einsätze zu dokumentieren, Verantwortlichkeiten klar zu regeln und Notfallpläne für IT-Ausfälle und Cyberangriffe aktuell zu halten. Auch kleine Unternehmen sind betroffen, denn sie nutzen dieselben Cloud-Dienste, Zahlungswege und KI-Werkzeuge wie große Institute. Regelmäßige Updates, starke Passwörter, Zwei-Faktor-Authentifizierung und geschulte Mitarbeitende bleiben die einfachsten und wirksamsten Schutzmaßnahmen.

Ein Weckruf, kein Grund zur Panik

Die DigiFin26 war kein Anlass zur Panik, sondern ein Weckruf. Die Finanzwelt ist digitaler geworden als je zuvor, und mit jeder neuen Technologie wachsen die Chancen und die Risiken zugleich. Die Botschaft von BaFin und Bundesbank lautet, dass Sicherheit kein Nebenthema mehr ist, sondern eine Grundvoraussetzung für Vertrauen. Wer heute in sichere Systeme, geschulte Teams und klare Prozesse investiert, schützt nicht nur sich selbst, sondern auch das Vertrauen der Kundinnen und Kunden in das gesamte Finanzsystem.

Ob die Warnungen Wirkung zeigen, wird sich in den kommenden Monaten zeigen. Die BaFin hat angekündigt, genauer hinzusehen und schneller zu prüfen. Für Institute, die ihre Hausaufgaben gemacht haben, ist das eine gute Nachricht. Für alle anderen wird es eng. Fest steht: Künstliche Intelligenz und Quantencomputing werden den Finanzsektor weiter verändern. Die Frage ist nicht, ob man sich damit beschäftigt, sondern wie schnell und wie gründlich.

Frequently Asked Questions

Was hat die BaFin auf der DigiFin26 gewarnt?

BaFin-Präsident Mark Branson warnte am 10. November 2026 auf der Digital Finance Conference in Berlin vor Risiken durch künstliche Intelligenz und Quantencomputer. Er sagte, jetzt sei nicht die Zeit für Naivität, und kündigte an, dass die BaFin ihre Cyberaufsicht ausbauen und künftig kürzere, gezielte Prüfungen durchführen will.

Wie viele IT-Vorfälle wurden der BaFin gemeldet?

Innerhalb von vier Quartalen wurden der BaFin knapp 900 IT-Vorfälle gemeldet. Nur 14 Prozent davon waren direkte Cyberangriffe. Die Zahl umfasst nur meldepflichtige Ereignisse, die tatsächliche Zahl von Angriffen und Störungen dürfte höher liegen.

Was fordern die Deutschen laut Bitkom-Umfrage für KI-Systeme?

Laut einer repräsentativen Bitkom-Befragung vom 10. November 2026 fordern 92 Prozent der Befragten einen Not-Aus-Schalter für sämtliche KI-Systeme. Für die Umfrage wurden 1.006 Menschen ab 16 Jahren in Deutschland telefonisch befragt.