Warum KI-gestützte Cyberangriffe zum Finanzstabilitätsrisiko werden

Was KI auf der Angriffsseite verändert

Cyberkriminalität war schon vor generativer KI automatisiert. Neu ist aus Sicht der Aufseher vor allem das Tempo. ASIC erklärte am 8. Mai 2026, Frontier-KI verschärfe das globale Cyberrisiko-Umfeld und forderte Finanzdienstleister sowie Marktteilnehmer auf, ihre Cyberresilienz dringend zu stärken .

Der unmittelbare Punkt ist nicht zwingend eine völlig neue Angriffskategorie. Es geht darum, dass bekannte Schwächen schneller gefunden, getestet und ausgenutzt werden können. Berichte über die IWF-Analyse beschreiben KI als Technologie, die Kosten und Zeit für Angreifer deutlich reduziert; ASIC warnt parallel vor Angriffsmöglichkeiten in bisher nicht gekannter Geschwindigkeit und Komplexität .

Daraus ergeben sich für Banken drei praktische Probleme:

1. Weniger Zeit zur Abwehr. Wenn Schwachstellen schneller sichtbar werden, schrumpft das Zeitfenster für Erkennung, Behebung und Eindämmung .
2. Mehr Druck auf bestehende Kontrollen. Nach Berichten über das offene Schreiben der ASIC geht es nicht um völlig neue Risikoklassen, sondern darum, dass vorhandene Kontrollen häufiger und stärker belastet werden .
3. Eine größere Angriffsfläche. APRA, Australiens prudenzielle Finanzaufsicht, sieht Risiken bei Board-Aufsicht, Monitoring, Nutzung durch Beschäftigte, Anbieterabhängigkeiten und intransparenten Systemen, während KI rasch in Finanzinstituten eingeführt wird .

Warum daraus ein Risiko für die Finanzstabilität wird

Ein erfolgreicher Angriff auf ein einzelnes Unternehmen kann teuer und rufschädigend sein. Systemisch wird es, wenn gemeinsame Infrastruktur betroffen ist. Der IWF verweist auf die starke Abhängigkeit des Finanzsystems von gemeinsamer digitaler Infrastruktur: Software, Cloud-Diensten, Zahlungsnetzwerken und anderen Datennetzen .

So kann aus einem IT-Vorfall ein Finanzstabilitätsproblem werden. Laut IWF-Analyse könnten extreme Verluste aus Cybervorfällen Finanzierungsengpässe auslösen, Zweifel an der Solvenz schüren und breitere Märkte stören . Ein IWF-Kapitel zu Cyberrisiken im Global Financial Stability Report stellte außerdem fest, dass sich die Zahl der Cyberangriffe seit der Zeit vor der COVID-19-Pandemie nahezu verdoppelt hat; die meisten direkt gemeldeten Verluste seien zwar mit rund 0,5 Millionen US-Dollar relativ klein, doch das Risiko extremer Verluste von mindestens 2,5 Milliarden US-Dollar habe zugenommen .

Genau dieser Unterschied ist entscheidend. Die meisten Vorfälle sind keine Systemkrisen. Aber seltene, sehr große Ereignisse können Vertrauen, Liquidität und Marktmechanik treffen. Der IWF nennt als mögliche Übertragungskanäle unter anderem Einlagenabflüsse, Handelsstopps und starke Schwankungen von Vermögenspreisen .

Warum die Warnungen jetzt lauter werden

Die Warnungen häufen sich, weil KI-Fähigkeiten schneller voranschreiten als Teile der Governance- und Resilienzprogramme im Finanzsektor.

In Australien warnte APRA, Banken hielten mit den Entwicklungen in der KI-Branche nicht ausreichend Schritt; viele Informationssicherheitspraktiken hätten Mühe, mit dem Tempo der Veränderung mitzuhalten . APRA sieht zudem, dass die schnelle KI-Einführung in Finanzinstituten Governance, Cyberresilienz und Risikokontrollen überholt .

ASIC legte am 8. Mai 2026 nach und forderte Finanzdienstleister sowie Marktteilnehmer auf, jetzt zu handeln, die Cyberresilienz zu stärken und nicht auf fortgeschrittene KI-Werkzeuge zu warten, bevor sie ihre grundlegende Cybersicherheit verbessern . International rahmte der IWF seine Analyse vom 7. Mai 2026 als Warnung vor KI-befeuerten Cyberangriffen als Risiko für die Finanzstabilität; separate Berichte verweisen außerdem auf die Forderung des IWF nach stärkerer internationaler Zusammenarbeit .

Die Dringlichkeit wurde auch durch Äußerungen von IWF-Chefin Kristalina Georgieva unterstrichen. Sie wurde mit der Aussage zitiert, die Welt verfüge noch nicht über die Fähigkeit, das internationale Währungssystem gegen massive Cyberrisiken zu schützen .

Was stärkere Resilienz konkret bedeutet

Die regulatorische Botschaft lautet nicht: einfach noch ein Sicherheitsprodukt kaufen. Es geht um Verantwortlichkeit, Widerstandsfähigkeit und Kontrolle über Abhängigkeiten.

Für Banken und Finanzfirmen stehen besonders diese Punkte im Vordergrund:

• Verantwortung auf oberster Ebene. APRA sieht Nachholbedarf bei Governance und Board-Aufsicht, während KI-Einsatz schneller wird .
• Cybergrundlagen zuerst. ASIC fordert Institute auf, ihre Sicherheitsbasis jetzt zu stärken und nicht auf neue KI-Tools als spätere Lösung zu warten .
• Bessere Kontrolle der KI-Nutzung. APRA nennt schwaches Monitoring, unzureichende Kontrollen und Risiken durch die Nutzung durch Beschäftigte als Problempunkte .
• Abhängigkeiten von Dritten ernst nehmen. APRA verweist auf Anbieter-Konzentration und intransparente Systeme; der IWF sieht gemeinsame Software, Cloud-, Zahlungs- und Dateninfrastruktur als zentrale Kanäle für systemische Ausbreitung .
• Koordination über einzelne Institute hinaus. Der IWF fordert mehr internationale Zusammenarbeit, weil Cyber-Schocks über Grenzen und gemeinsame Infrastruktur hinweg wirken können .

Fazit

KI-gestützte Cyberangriffe machen eine Bankenkrise nicht unausweichlich. Sie machen ein bekanntes Risiko aber schneller, skalierbarer und gefährlicher für gemeinsame digitale Abhängigkeiten. Durchschnittliche Schäden können klein bleiben, während das Extremrisiko wächst. Genau deshalb drängen IWF, ASIC und APRA darauf, Governance, Cyberresilienz und Kontrollen zu stärken, bevor ein KI-beschleunigter Angriff zum echten Stresstest für das Finanzsystem wird .