Die Bank ist ihr eigener Engpass

Am 2. September 2026 hat die Financial Conduct Authority (FCA) unter dem Titel „Frontier AI and cyber resilience" zusammengetragen, was Institute ihr über den Einsatz modernster KI-Modelle in der eigenen Cyber-Abwehr berichtet haben. Die Publikation setzt ausdrücklich keine neuen Regeln. Sie ist trotzdem das interessanteste Dokument, das dieses Jahr zu dem Thema erschienen ist, weil sie als einzige die Kamera umdreht. Nicht der Angreifer wird schneller. Das Institut nimmt dasselbe Werkzeug in die Hand und stellt fest, dass es an sich selbst scheitert.

Der Befund, um den alles kreist, steht gleich in der ersten der fünf Beobachtungen: „Vulnerability discovery is accelerating faster than firms' ability to respond." Wer schneller findet, ohne schneller beheben zu können, gewinnt keine Sicherheit. Er gewinnt einen Rückstand. Und dieser Rückstand ist im europäischen Recht kein betriebswirtschaftliches Ärgernis, sondern ein pflichtgemäß zu führendes Verzeichnis.

Drei Papiere in vier Monaten, dreimal die Versicherung, nichts Neues zu sagen

Die Vorgeschichte ist kurz. Am 15. Mai 2026 hatten die Bank of England, die FCA und das britische Finanzministerium HM Treasury in einem gemeinsamen Statement festgestellt, die Cyberfähigkeiten heutiger Frontier-Modelle überträfen bereits das, was ein erfahrener Praktiker leisten könne, und zwar „at a significantly higher speed, greater scale, and lower cost". Im Juni folgte die Cross Market Operational Resilience Group (CMORG), ein Zusammenschluss britischer Finanzinstitute und Behörden, mit einer eigenen Handreichung. Jetzt der Review.

Bemerkenswert ist, was alle drei Dokumente gemeinsam haben. Das Mai-Statement schreibt, es sei „not intended to introduce new expectations". Die CMORG-Guidance stellt klar: „their use is voluntary, and they do not constitute regulatory rules or supervisory expectations". Der Review vom September formuliert am deutlichsten: „It does not introduce new rules, guidance or regulatory expectations." Dreimal in vier Monaten versichert dieselbe Institutionenfamilie, nichts Verbindliches zu sagen, und produziert dabei einen wachsenden Erwartungsdruck. Das ist kein Widerspruch. Es ist die Arbeitsweise einer Aufsicht, die weiß, dass ihr Regelwerk den Fall bereits abdeckt, und die es dabei belassen will.

Denn genau so ist es. Für europäische Institute steht die entscheidende Norm längst geschrieben, sie wird nur selten in diesem Zusammenhang gelesen.

Die Fristen, die sich das Institut selbst setzt

Das Schwachstellenmanagement europäischer Finanzunternehmen ist nicht im Verordnungstext des Digital Operational Resilience Act (DORA) im Detail geregelt, sondern in den technischen Regulierungsstandards dazu (Regulatory Technical Standards, RTS), der Delegierten Verordnung (EU) 2024/1774. Diese Unterscheidung ist keine Pedanterie: Wer „DORA verlangt ein Schwachstellenregister" sagt, zitiert eine Ebene zu hoch. Verlangt wird es in Artikel 10 der Delegierten Verordnung, und dort greifen drei Pflichten ineinander.

Erstens die Frequenz. Für Assets der Informations- und Kommunikationstechnik (IKT), die kritische oder wichtige Funktionen unterstützen, sind automatisierte Schwachstellenbewertungen und -scans mindestens wöchentlich durchzuführen. Diese Pflicht besteht unabhängig davon, wie gut das eingesetzte Werkzeug ist.

Zweitens die Aufzeichnung. Artikel 10 Absatz 2 Buchstabe h verlangt wörtlich „eine Aufzeichnung aller festgestellten Schwachstellen, die IKT-Systeme betreffen, und die Überwachung der Behebung dieser Schwachstellen". Nicht der behobenen. Aller festgestellten, mit laufender Überwachung ihrer Behebung.

Drittens die Frist. Eine europaweit einheitliche Patch-Frist gibt es nicht, und wer eine solche zitiert, hat sie erfunden. Verpflichtend ist etwas anderes, nämlich ihre Festlegung: Buchstabe d des vierten Absatzes verlangt, „Fristen für die Installation von Software- und Hardware-Patches und von Aktualisierungen zu setzen sowie Eskalationsverfahren für den Fall festzulegen, dass diese Fristen nicht eingehalten werden können". Das Institut bestimmt die Frist selbst, risikobasiert nach der Kritikalität des betroffenen Assets. Aber es muss sie bestimmen, und es muss vorhalten, was geschieht, wenn sie reißt.

Damit ist die Mechanik beschrieben, und sie ist unspektakulär bis zu dem Moment, in dem sich die Eingangsmenge verzehnfacht. Das Räderwerk bleibt, wie es ist: Es wird gescannt, was gefunden wird, wird aufgezeichnet, für jeden Fund läuft eine selbst gesetzte Uhr, und wenn sie abläuft, greift ein Eskalationsverfahren. Ein Institut, das seine Erkennungsleistung steigert, ohne die Behebungskapazität mitzuziehen, erzeugt daher nicht bloß Mehrarbeit. Es erzeugt Einträge in einem Verzeichnis, das es führen muss, und eine steigende Zahl von Eskalationsfällen, die es selbst ausgelöst hat.

Die FCA beschreibt dieselbe Dynamik ohne den Normverweis, dafür mit den Zahlenverhältnissen aus der Praxis. Selbst wenn ein erheblicher Teil der Modellausgaben in der fachlichen Prüfung verworfen werde, so der Review, könne der verbleibende Bestand echter Schwachstellen „still put considerable pressure on remediation teams, engineering resources, and change management processes". Die Aufsicht benennt sogar, wo genau es klemmt: Validierungskapazität, Engineering-Ressourcen, Patch-Tests, Notfall-Änderungsverfahren, Nachweis der Schließung, und die Fähigkeit, während beschleunigter Behebung die wichtigen Geschäftsdienstleistungen überhaupt aufrechtzuerhalten.

Der letzte Punkt verdient Aufmerksamkeit, weil er der unangenehmste ist. Schnelles Patchen ist selbst eine Quelle von Betriebsrisiko. Wer unter Zeitdruck Notfall-Änderungen durch die Produktion schiebt, erhöht die Wahrscheinlichkeit, dass er einen Ausfall verursacht, den kein Angreifer gebraucht hätte. Die Frage lautet also nicht, wie schnell ein Haus patchen kann, sondern wie schnell es patchen kann, ohne sich dabei selbst abzuschalten.

Die Legaldefinition dazu steht in Artikel 3 DORA

Die Brücke in die europäische Systematik ist begrifflich sauber. Wo die FCA von „important business services" spricht, kennt das europäische Recht die Legaldefinition der kritischen oder wichtigen Funktion in Artikel 3 Nummer 22 DORA: eine Funktion, deren Ausfall „die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde". An diesem Begriff hängt die wöchentliche Scan-Pflicht, und an ihm hängt die Priorisierungsfrage, die gleich folgt.

Wer die FCA-Prüffragen also übersetzen will, muss nichts Neues aufbauen. Er muss sie an die Funktionen anlegen, die er ohnehin bereits als kritisch oder wichtig eingestuft hat.

Warum die Severity-Rangliste kippt

Der zweite substanzielle Befund des Reviews ist technischer Natur und hat unmittelbare Folgen für ein Verfahren, mit dem praktisch jedes Institut arbeitet. Frontier-Modelle, so berichten die befragten Häuser, könnten mehrere für sich genommen niedrig bewertete Schwachstellen kombinieren, „(vulnerability chaining) and create alternative routes to compromise". Sie finden also nicht nur mehr Einzelfunde, sie finden Verbindungen zwischen Funden.

Das trifft eine tragende Annahme der gängigen Praxis. Wer nach Schweregrad priorisiert, unterstellt, dass sich das Risiko einer Schwachstelle isoliert bemessen lässt. Genau das gilt nicht mehr, wenn drei Befunde der Stufe „niedrig" zusammen einen Pfad in ein produktives System ergeben. Die FCA berichtet entsprechend, Entscheidungen im Schwachstellenmanagement würden zunehmend davon geleitet, welche Störung entstünde, wenn ein Angriffspfad ausgenutzt würde, „rather than the ratings of vulnerabilities in isolation". Als maßgebliche Faktoren nennt sie Ausnutzbarkeit, Auswirkung auf die Geschäftsdienstleistung, Voraussetzungen für die Ausnutzung, risikomindernde Kontrollen und die Abhängigkeit vom betroffenen System.

Dass dieser Punkt nicht bloß eine Beobachtung einzelner Häuser ist, zeigt der Blick in die CMORG-Handreichung vom Juni. Sie stellt den Instituten eine Prüffrage, die auf dasselbe zielt: ob priorisiert werde nach etwas anderem „than inherent severity alone". Zwei unabhängig entstandene Dokumente, dieselbe Diagnose.

Praktisch bedeutet das eine unbequeme Reihenfolge. Bevor ein Haus die Priorisierung umstellen kann, braucht es etwas, das viele nicht in ausreichender Qualität haben: eine belastbare Abbildung, welche Systeme welche kritischen Funktionen tragen und wovon sie abhängen. Ohne diese Karte ist „wir priorisieren nach Angriffspfad" eine Absichtserklärung.

Im Handel nutzt sich ein Eskalationsweg ab, der ständig feuert

Die Mechanik aus selbst gesetzter Schwelle und pflichtgemäßer Eskalation ist im Finanzsektor nicht neu, sie ist bisher nur woanders zu Hause. Handelslimite folgen derselben Konstruktion: Das Haus legt Positions-, Verlust- und Risikolimite innerhalb des aufsichtlichen Rahmens selbst fest, und eine Überschreitung löst ein definiertes Verfahren aus, also Meldung an das Risikocontrolling, Entscheidung über Abbau oder Genehmigung, Dokumentation des Vorgangs. Keine Aufsicht schreibt die Höhe des einzelnen Limits vor. Vorgeschrieben ist, dass es eines gibt und dass sein Reißen Folgen hat.

Wer solche Systeme über längere Zeit betrieben hat, kennt auch ihre Abnutzungserscheinung. Ein Eskalationsweg, der einmal im Quartal beschritten wird, erzwingt eine echte Entscheidung. Einer, der wöchentlich feuert, wird zur Routine: Er wird abgezeichnet, nicht geprüft. Die Schwelle verliert ihre Wirkung dann nicht deshalb, weil sie falsch gesetzt wäre, sondern weil sie zu oft erreicht wird.

Der Unterschied zum Schwachstellenmanagement ist genau die Stelle, an der es unangenehm wird. Im Handel hängt die Zahl der Überschreitungen an Marktbewegungen und an der eigenen Positionsführung, also an Größen, die ein Haus beobachtet und mitgestaltet. Bei Schwachstellen hängt sie künftig an der Leistungsfähigkeit eines Werkzeugs, das die Bank selbst einschaltet, und über dessen Steigerungsrate nicht sie entscheidet, sondern der Modellanbieter. Ein Fristenregime, das für eine bekannte Fundmenge kalibriert wurde, trifft damit auf eine Eingangsgröße, die von außen wächst.

Der Teil, der nicht das Modell ist

Am aufschlussreichsten ist ein Begriff, den die FCA aus der KI-Evaluationsforschung übernimmt und zur Steuerungskategorie macht. Harness engineering bezeichnet, in ihrer eigenen Definition, „the environment, controls and processes around an AI model that makes its outputs useful, safe and reliable". Der Befund dazu ist für jeden unbequem, der eine Modellauswahl vorbereitet: Der Nutzen werde bestimmt „less by the models themselves and more by the technical and operational environment they're deployed in".

Vier Bestandteile nennt der Review ausdrücklich: spezialisierte Werkzeuge, belastbare Validierungsverfahren, operative Leitplanken und menschliche Fachkompetenz. Bei den Leitplanken wird die Aufsicht konkret und meint Begrenzungen der Modellrechte, menschliche Freigabe für risikoreichere Handlungen und Kontrolle des Zugriffs auf sensible Systeme und Daten. Fehlten diese, so der Review, erzeugten die Modelle große Mengen an Funden, die „technically possible but difficult to validate, prioritise or act upon" seien.

Für die Praxis heißt das: Die Frage „welches Modell setzen wir ein" ist nicht falsch, aber sie ist die zweite Frage. Die erste lautet, ob das Haus die Umgebung hat, in der ein gutes Modell überhaupt Nutzen stiftet. Mehrere Institute berichten der FCA, sie näherten sich dem Thema deshalb bewusst über eng geschnittene Einsatzfälle, um die eigene Reife zu testen, bevor sie breiter ausrollen. Das ist die pragmatischste Empfehlung des ganzen Papiers, auch wenn sie dort nicht als Empfehlung formuliert ist.

Mehrere Häuser bringen es laut Review auf eine Formel: Frontier AI sei ein „stress test of their existing cyber-resilience capabilities". Was die Modelle offenlegen, sind nicht in erster Linie technische Lücken, sondern, in den Worten der Aufsicht, Schwächen bei „the people, systems and processes that fix them".

Die Publikation nennt weder Sektor noch Methodik

An dieser Stelle gehört ein Vorbehalt hin, den der Review selbst nahelegt. Er trägt in der Kategorie der FCA das Etikett „Multi-firm review", beschreibt sich im Text aber ausdrücklich als Zusammenfassung von „observations reported by firms during our engagement". Das ist eine Selbstauskunft der Befragten, keine Prüfung durch die Aufsicht. Entsprechend vermeidet der Text durchgehend Verben wie „reviewed" oder „assessed" und arbeitet mit „engaging", „told us" und „reported".

Ein Vergleich mit neun anderen Multi-Firm-Publikationen der FCA aus den Jahren 2018 bis 2026 macht den Unterschied messbar. Alle neun benennen den untersuchten Sektor, acht beschreiben ihre Methodik konkret, fünf nennen eine exakte Zahl der untersuchten Häuser, etwa „a sample of 14 firms" in der Liquiditätsprüfung von 2023 oder „eleven wholesale banks" im Off-Channel-Review von 2025. Der Frontier-AI-Review nennt weder Sektor noch Methodik noch Fallzahl. Die fehlende Fallzahl allein wäre unauffällig, vier der neun Vergleichsfälle verzichten ebenfalls darauf. Auffällig ist die Kombination: Es ist die einzige der zehn Publikationen, bei der Zuschnitt und Vorgehen zugleich offenbleiben.

Daraus folgt kein Vorwurf, wohl aber eine Lesehilfe. Wer diese Beobachtungen zitiert, zitiert die Erfahrungen von Instituten, die bereits weit genug sind, um Frontier AI in der Cyber-Abwehr einzusetzen. Das ist ein Ausschnitt der Vorreiter, keine Marktbeobachtung. Und es passt zu einer zweiten Eigenheit: Die FCA richtet die Erkenntnisse ausdrücklich an „particularly small to medium-sized firms". Befragt wurden die Fortgeschrittenen, geschrieben ist es für die Nachfolgenden.

Die eigene Schwachstellensuche ist kein Hochrisiko-Fall

Eine Klarstellung, weil der Reflex im Markt der gegenteilige ist: Eine Bank, die ein Frontier-Modell intern einsetzt, um die eigenen Systeme auf Schwachstellen zu prüfen, betreibt damit kein Hochrisiko-KI-System im Sinne der KI-Verordnung. Deren Anhang III führt acht Bereiche auf, von Biometrie über Beschäftigung bis zur Kreditwürdigkeitsprüfung. Cybersicherheit und Schwachstellensuche kommen in keinem davon vor. Die Einstufung folgt dem Einsatzzweck, nicht der Leistungsfähigkeit des Modells.

Was bleibt, betrifft eine andere Adresse. Ein Modell dieser Größenordnung kann als KI-Modell mit allgemeinem Verwendungszweck und systemischem Risiko eingestuft werden, und die Bewertung dieses Risikos berücksichtigt ausdrücklich offensive Cyberfähigkeiten. Diese Pflichten treffen den Modellanbieter, nicht die Bank als Nutzerin. Der Aufwand für das Institut entsteht also aus dem DORA-Regelwerk, nicht aus der KI-Verordnung.

Handlungsempfehlungen

Begriffserklärung