EZB gibt Banken im Eurogebiet vier Monate zur Abwehr von KI‑Risiken

Die Europäische Zentralbank hat den Banken im Eurogebiet vier Monate Zeit gegeben, Pläne zu entwickeln, die darauf abzielen, durch künstliche Intelligenz (KI) ermöglichte Cyberbedrohungen zu bekämpfen, die das Vertrauen in das Finanzsystem untergraben und Zahlungsnetzwerke stören könnten.

Die am Dienstag erlassene Richtlinie spiegelt die wachsende Besorgnis europäischer Aufsichtsbehörden über die zunehmenden Cyberfähigkeiten fortgeschrittener KI‑Modelle wider.

Der EZB zufolge haben sich Entwicklungen im Bereich der KI so weit fortgeschritten, dass einige Modelle derart leistungsfähig geworden sind, dass der Zugang zu ihnen eingeschränkt wurde. Die Zentralbank stellte fest, dass diese Einschränkung derzeit die Banken im Eurogebiet ausschließt.

EZB hebt Risiken für IKT‑Systeme der Banken hervor

In einem an die Vorstandsvorsitzenden der Banken gerichteten Schreiben warnte die EZB, dass Fortschritte in der KI erhebliche Folgen für die Sicherheit und Resilienz der technologischen Infrastruktur von Banken haben könnten.

„Diese Entwicklungen können tiefgreifende Auswirkungen auf die Vertraulichkeit, Integrität und Resilienz der Informations‑ und Kommunikationstechnologiesysteme der Banken haben“, schrieb die EZB in dem Schreiben.

Die Zentralbank wies die Kreditinstitute an, den Schutz nach außen zugänglicher Systeme und anderer technologischer Vermögenswerte, die stärker Cyberrisiken ausgesetzt sind, zu priorisieren.

Sie forderte die Banken außerdem auf, die Sicherheit von Software von Drittanbietern und Open‑Source‑Komponenten zu stärken, die Behebung identifizierter Schwachstellen zu beschleunigen und die Überwachungsfähigkeiten zu verbessern.

Über unmittelbare Sicherheitsmaßnahmen hinaus drängte die EZB die Banken, veraltete IT‑Infrastruktur zu modernisieren und die allgemeine Cyberhygiene zu verbessern.

Der Bankenaufseher forderte die Institute zudem auf, Krisenmanagementrahmen, Wiederherstellungsregelungen und Mechanismen zum Informationsaustausch zu stärken, um die Vorbereitung auf mögliche Cybervorfälle zu verbessern.

Die Banken haben bis zum 31. Oktober Zeit, ihre Maßnahmenpläne zur Cybersicherheit bei der EZB einzureichen.

Um den Instituten zu ermöglichen, sich auf diese Prioritäten zu konzentrieren, teilte die Zentralbank mit, sie habe eine separate IT‑Erhebung verschoben.

Sie kündigte außerdem an, geplante Inspektionen und andere Aufsichtsaktivitäten anzupassen, um Ressourcen für die neuen Cybersicherheitsinitiativen freizusetzen.

ESRB warnt vor systemischen Finanzrisiken

Parallel zur Mitteilung der EZB veröffentlichte der Europäische Ausschuss für Systemrisiken (ESRB) eine Warnung, in der er die breiteren Risiken für die Finanzstabilität durch groß angelegte Cybervorfälle hervorhob.

Der ESRB erklärte, weit verbreitete Cyberstörungen könnten das öffentliche Vertrauen in Finanzinstitute schwächen und in schweren Fällen Abhebungen von Einlagen bei Unternehmen oder sogar Staaten auslösen, denen eine geringere Cyberresilienz zugeschrieben wird.

„Der ESRB betrachtet diese Entwicklungen als Quelle systemischer Risiken für das Finanzsystem“, erklärte das Gremium.

Cybervorfälle könnten sich im Finanzsektor ausbreiten

Um die potenziellen Auswirkungen zu veranschaulichen, skizzierte der ESRB mehrere mögliche Szenarien mit KI‑gestützten Cyberbedrohungen.

Diese reichten von einem schrittweisen Schwinden des Vertrauens in kleinere Banken bis hin zu staatlich unterstützten Spionagekampagnen und koordinierten Angriffen auf Zahlungs‑, Clearing‑ und Abwicklungssysteme.

Das Gremium warnte zudem, dass Desinformationskampagnen die Auswirkungen solcher Vorfälle verstärken könnten, indem sie die Unsicherheit erhöhen und das öffentliche Vertrauen untergraben.

Der ESRB stellte ferner fest, dass sich Cybervorfälle schnell über gemeinsam genutzte Technologieanbieter und verbreitet genutzte Software im Finanzsektor ausbreiten könnten, was das Risiko weitreichender Störungen erhöht.

Die jüngste Richtlinie der EZB und die Warnung des ESRB unterstreichen den zunehmenden Fokus der Aufseher auf die Stärkung der Cyberresilienz, während Fortschritte in der KI die Cybersecurity‑Landschaft weiter verändern.

Da die Banken nun eine Frist bis zum 31. Oktober haben, versuchen die europäischen Behörden sicherzustellen, dass Finanzinstitute besser darauf vorbereitet sind, auf immer raffiniertere Cyberbedrohungen zu reagieren und gleichzeitig das Vertrauen in das Finanzsystem zu bewahren.