EZB und künstliche Intelligenz: der Aktionsplan, den Banken gegen beschleunigte Angriffe vorlegen müssen

Mit ihrem Schreiben vom 7. Juli 2026 hat die EZB-Bankenaufsicht von den bedeutenden Banken einen Aktionsplan gegen KI-gestützte Cyberbedrohungen verlangt, fällig bis 31. Oktober. Der ESRB hat das systemische Cyberrisiko auf „schwerwiegend“ angehoben. Eine Lektüre aus Sicht der Risikoübernahme: was die EZB verlangt, was sich für Cyberpolicen von Finanzinstituten ändert und welche Fragen in die Erneuerungen gehören.

Analyse · 2. November 2026 · von cybercoverinsurance

Am 7. Juli 2026 hat die EZB-Bankenaufsicht an die Vorstandsvorsitzenden der direkt beaufsichtigten Banken geschrieben. Die Botschaft ist einfach: Die fortschrittlichsten KI-Modelle finden Schwachstellen und schreiben funktionierende Exploits viel schneller als früher, und die Banken müssen sich anpassen. Jede Bank musste ihrem Aufsichtsteam bis zum 31. Oktober 2026 einen Aktionsplan vorlegen. Die Frist ist gerade abgelaufen, und die Pläne liegen jetzt bei den Aufsehern.

Für Cyber-Underwriter zählt das Schreiben aus zwei Gründen. Erstens hält die EZB schriftlich fest, dass die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung schrumpft. Das ist eine Änderung der erwarteten Schadenfrequenz, nicht nur ein Compliance-Thema. Zweitens sind die sechs Bereiche, die die EZB abgedeckt sehen will, fast eins zu eins die Fragen eines guten Underwriting-Fragebogens für eine Bank.

Auf einen Blick

Das Schreiben ist von Claudia Buch, Vorsitzende des Aufsichtsgremiums der EZB, unterzeichnet und richtet sich an die bedeutenden Banken des Euroraums.
Laut EZB verkürzen Frontier-Modelle die Zeit zwischen Entdeckung und Ausnutzung von Schwachstellen: eine strukturelle Veränderung des Cyberrisikos.
Jede Bank musste bis zum 31. Oktober 2026 einen Aktionsplan mit Maßnahmen, Ressourcen, Rollen und Fristen vorlegen. Das Aufsichtsteam verfolgt die Umsetzung, die EZB führt eine horizontale Analyse durch.
Die Verantwortung liegt beim Leitungsorgan. Offene Feststellungen, auch aus dem Cyber-Stresstest 2024, müssen geschlossen werden.
Am selben Tag hat der Europäische Ausschuss für Systemrisiken (ESRB) eine Warnung zu systemischen Cyberrisiken durch Frontier-Modelle veröffentlicht; im Juni hatte er das systemische Cyberrisiko von „erhöht“ auf „schwerwiegend“ angehoben.

Was die EZB verlangt

Die Bedrohung. Das Schreiben beschreibt KI-Modelle, die Schwachstellen erkennen und in kurzer Zeit funktionierende Exploits erzeugen können, und damit „die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung verkürzen“. Die EZB spricht von einem strukturellen Wandel, nicht von einer vorübergehenden Spitze (EZB, Schreiben an die Banken).

Der Aktionsplan. Bis zum 31. Oktober 2026 musste jede bedeutende Bank ihrem gemeinsamen Aufsichtsteam einen Plan mit Kontrollmaßnahmen, Ressourcen, Rollen und Umsetzungsfristen übermitteln. Das Aufsichtsteam verfolgt die Fortschritte. Die EZB analysiert die Pläne horizontal und kann technische Workshops mit den Banken abhalten (EZB-Schreiben; A&O Shearman).

Wer verantwortlich ist. Die Hauptverantwortung liegt beim Leitungsorgan. Die Banken müssen die von der Aufsicht bereits festgestellten Mängel beheben, einschließlich derer aus dem Stresstest zur Cyberresilienz 2024 (EZB-Schreiben).

Die sechs Bereiche des Anhangs. Der Plan muss abdecken:

Angriffsfläche und Inventar. Ein vollständiges Inventar der Systeme, einschließlich Komponenten Dritter und Open-Source-Komponenten.
Schnelleres Schwachstellen- und Patch-Management. Beschleunigte Behebungsfristen, auch in Verträgen und Service-Level-Vereinbarungen mit Lieferanten.
Überwachung und Erkennung. Erkennungsfähigkeiten, die dem neuen Tempo entsprechen, auch mit KI-gestützter Abwehr.
Governance, Ressourcen und Lieferanten. Finanzierung, Schulung und Prüfung der Lieferkette. Die Bank bleibt für ausgelagerte Risiken verantwortlich und muss ihre Risikobereitschaft überprüfen, einschließlich Kennzahlen zu Patch-Fristen.
Tiefenverteidigung. Zero Trust, Netzsegmentierung, Mehr-Faktor-Authentisierung, minimale Rechte und Ablösung von Altsystemen.
Reaktion, Wiederherstellung und Austausch. Übungen zu Wellen von Zero-Day-Schwachstellen, Ransomware und Ausfällen von Lieferanten oder der Cloud sowie Austausch von Bedrohungsinformationen.

Der Aufsichtskalender. Die EZB verschiebt die Frist für den IT-Risiko-Fragebogen von September 2026 auf Februar 2027, um Raum für die Pläne zu schaffen. Sie erinnert daran, dass die Anforderungen der DORA-Verordnung voll gültig bleiben, und kündigt ein eigenes Schreiben zur Post-Quanten-Kryptografie an, deren Einführung „jetzt beginnen muss“ (EZB-Schreiben; KPMG).

Das systemische Bild: die Warnung des ESRB

Am selben 7. Juli hat der ESRB eine Warnung zu systemischen Cyberrisiken durch Frontier-Modelle veröffentlicht. Der ESRB bezeichnet diese Modelle als „Paradigmenwechsel für die Cybersicherheit“. Langfristig dürften sie die Resilienz stärken, kurz- und mittelfristig aber verschaffen sie Angreifern einen Vorteil: Sie finden Schwachstellen und greifen schneller, in größerem Umfang und raffinierter an (ESRB, Pressemitteilung).

Der ESRB weist auch auf ein Konzentrationsrisiko hin: Die wichtigsten Anbieter von Frontier-Modellen sitzen größtenteils außerhalb der Union, mit strategischer Abhängigkeit und geopolitischem Risiko. Er fordert die Behörden auf, diese Risiken in der Aufsicht zu berücksichtigen, und verlangt eine koordinierte Antwort von KI- und Softwareanbietern, Sicherheitsfirmen, Open-Source-Maintainern, Finanzinstituten und Behörden (Osborne Clarke; Regulation Tomorrow).

Was sich für Versicherer von Banken ändert

Die erwartete Frequenz steigt. Wenn die Zeit zwischen der Veröffentlichung einer Schwachstelle und dem Angriff kürzer wird, wächst das Zeitfenster, in dem eine Bank auf einem ungepatchten System exponiert ist, im Verhältnis zu ihrem Patch-Rückstand. Ein Tarifmodell auf Basis der historischen Schadenfrequenz unterschätzt das Risiko langsamer Patcher. Die mittlere Patch-Zeit kritischer Schwachstellen wird zur Preisvariable, nicht nur zu einer Frage im Fragebogen.

Das Kumulrisiko wächst. Eine Welle parallel ausgenutzter Zero-Day-Schwachstellen trifft viele Versicherte gleichzeitig, vor allem wenn sie dieselbe Software oder denselben Cloud-Anbieter nutzen. Die EZB verlangt ausdrücklich Übungen zu diesem Szenario. Für ein Portfolio von Finanzinstituten ist es das zu modellierende Kumulszenario: ein Ereignis, viele Schäden, in derselben Woche.

Der Lieferant bleibt ein Problem der Bank. Die EZB wiederholt, dass die Bank für ausgelagerte Risiken verantwortlich bleibt, und verlangt Patch-Fristen in den Lieferantenverträgen. Das passt zu DORA, das bereits ein Management der IKT-Drittparteienrisiken vorschreibt. Für den Underwriter ist der Lieferantenvertrag ein Beleg: Fehlen Behebungsfristen, ist das Risiko einer Betriebsunterbrechung durch den Lieferanten weniger kontrolliert.

Der Plan ist ein Dokument, das man anfordern sollte. Die bedeutenden Banken haben gerade ein Dokument erstellt, das für die sechs Bereiche Maßnahmen, Ressourcen und Fristen beschreibt. Eine Zusammenfassung bei der Erneuerung anzufordern, gibt dem Underwriter aktuelle Informationen, die bereits von der Bankleitung getragen werden. Der Vergleich zwischen Geplantem und Umgesetztem bei der nächsten Erneuerung misst die Qualität des Managements.

Kleinere Banken sind nicht außen vor. Das Schreiben betrifft nur bedeutende Banken, die direkt von der EZB beaufsichtigt werden. Weniger bedeutende Banken, beaufsichtigt von den nationalen Behörden, haben dieselbe technische Exposition, aber keine Frist. Für einen Versicherer dürfte die Lücke bei der Vorbereitung gerade in diesem Segment am größten sein.

Was in die Erneuerungen gehört

Auswirkung für VersichererHoch

Die EZB erkennt schriftlich an, dass KI die Ausnutzung von Schwachstellen beschleunigt, und verlangt von den bedeutenden Banken einen Aktionsplan: Patch-Geschwindigkeit, Lieferantenrisiko und Kumul aus Zero-Day-Wellen werden zu zentralen Variablen der Risikoübernahme.

Fragen für den Underwriting-Fragebogen

Hat die Bank den von der EZB verlangten Aktionsplan eingereicht? Kann sie eine Zusammenfassung mit Maßnahmen und Fristen für die sechs Bereiche teilen?
Wie lang ist die mittlere Behebungszeit kritischer, aus dem Internet erreichbarer Schwachstellen, und wie verhält sie sich zum Ziel des Plans?
Deckt das Systeminventar Komponenten Dritter und Open-Source-Komponenten ab, und wer hält es aktuell?
Enthalten die Verträge mit kritischen IKT-Lieferanten Behebungsfristen für Schwachstellen und Meldepflichten?
Welche Feststellungen aus dem Cyber-Stresstest 2024 oder anderen Prüfungen sind noch offen?
Hat die Bank Übungen zu einer Welle parallel ausgenutzter Zero-Day-Schwachstellen oder zum Ausfall des Cloud-Anbieters durchgeführt?
Decken Mehr-Faktor-Authentisierung, Segmentierung und minimale Rechte auch Altsysteme ab, und gibt es einen Plan zu deren Ablösung?

Auf Portfolioebene legt das Schreiben nahe, die Patch-Zeit als Preisfaktor zu behandeln und ein Kumulszenario der schnellen, gleichzeitigen Ausnutzung von Schwachstellen in der im Finanzsektor am weitesten verbreiteten Software zu modellieren. Für weniger bedeutende Banken, die nicht dieselbe Aufforderung erhalten haben, eignen sich die sechs Bereiche der EZB als Grundlage des Fragebogens.