Am 7. Juli 2026 forderte die Europäische Zentralbank (EZB) Banken im Euroraum dazu auf, bis zum 31. Oktober 2026 einen Plan vorzulegen, wie sie mit KI-gestützten Cyberbedrohungen umgehen wollen, die den Finanzdienstleistungssektor beeinträchtigen könnten. Das Mandat gilt für Banken in Österreich, Belgien, Bulgarien, Kroatien, Zypern, Estland, Finnland, Frankreich, Deutschland, Griechenland, Irland, Italien, Lettland, Litauen, Luxemburg, Malta, den Niederlanden, Portugal, der Slowakei, Slowenien und Spanien.
Dabei geht es nicht nur um eine Empfehlung, sondern um eine konkrete Frist für Maßnahmen gegen immer ausgefeiltere Cyberbedrohungen. Identität spielt dabei eine zentrale Rolle: Sie gehört zu den wenigen Sicherheitsbereichen, die Banken unmittelbar stärken können, ohne auf die Roadmap eines Anbieters oder einen umfassenden Umbau ihrer Infrastruktur warten zu müssen.
Warum die EZB jetzt handelt
Das neue Mandat der EZB unterstreicht einen größeren Trend: Unternehmen müssen ihre Identitätsprüfung stärken, weil Cyberangriffe durch KI schneller, überzeugender und skalierbarer werden. Identitäten und Zugangsdaten stehen dabei besonders im Fokus von Angreifern. Mittlerweile sind 86 % der Phishing-Angriffe KI-gestützt.
Gleichzeitig hat KI die Zeitspanne zwischen der Entdeckung und der Ausnutzung einer Schwachstelle deutlich verkürzt. Früher hatten Sicherheitsteams oft Wochen Zeit, um eine Sicherheitslücke zu schließen oder eine verdächtige Anmeldung zu erkennen. Bei KI-beschleunigten Angriffen kann sich dieses Zeitfenster auf wenige Minuten verkürzen.
Drei Entwicklungen treiben diese Beschleunigung besonders voran:
- Frontier-Modelle können Schwachstellen selbstständig finden und ausnutzen. Aktuelle Modelle haben gezeigt, dass sie bislang unbekannte Schwachstellen identifizieren und auf Basis ihrer Erkenntnisse ausgefeilte Angriffe entwickeln können. Darüber hinaus können sie mehrere zuvor als mittel oder gering eingestufte Schwachstellen miteinander verketten und daraus erfolgreiche Angriffspfade erstellen.
- KI-generiertes Phishing lässt sich in großem Umfang skalieren. Angreifer nutzen generative KI, um personalisierte und überzeugende Phishing-Inhalte schneller und in deutlich größerem Umfang zu erstellen, als dies mit manuellen Kampagnen möglich wäre. Ein KI-Agent könnte gestohlene Zugangsdaten anschließend nutzen, um sich Zugriff auf Systeme mit ungepatchten Schwachstellen zu verschaffen.
- Vom Diebstahl von Zugangsdaten bis zur Kontoübernahme können nur noch Minuten vergehen. KI kann auf Grundlage gefundener Schwachstellen eigenständig Exploits entwickeln. Sicherheitsteams bleibt dadurch deutlich weniger Zeit für eine Reaktion. Findet ein Frontier-Modell eine bislang unbekannte Schwachstelle, steigt der Handlungsdruck zusätzlich. Mit gestohlenen Zugangsdaten erhält ein Angreifer schließlich genau den Zugriff, den er braucht, um die neu entdeckte Schwachstelle auszunutzen.
Das Zugriffsmanagement wird damit zu einem entscheidenden Baustein der Sicherheitsstrategie. Herkömmliche Authentifizierungsverfahren, die darauf angewiesen sind, dass Menschen unter Druck die richtige Entscheidung treffen – etwa eine Push-Benachrichtigung bestätigen, einen Code weitergeben oder einer Stimme am Telefon vertrauen –, reichen heute nicht mehr aus.
Wo ansetzen? Identitätskontrollen, die durch KI unverzichtbar werden
Die Vorgabe der EZB ist ergebnisorientiert und schreibt keine bestimmte Technologie vor. Banken müssen jedoch über reine Richtlinien oder Grundsatzerklärungen hinausgehen und einen dokumentierten Maßnahmenplan vorlegen. Dieser sollte zeigen, dass Risiken durch KI-gestützte Bedrohungen bewertet wurden und konkrete Gegenmaßnahmen bereits umgesetzt oder eingeleitet werden.
In der Praxis bedeutet das, Schwachstellenmanagement, automatisierte Bedrohungserkennung sowie Identitäts- und Zugriffskontrollen mit derselben Dringlichkeit weiterzuentwickeln, mit der Angreifer heute vorgehen.
Identität steht dabei aus einem einfachen Grund im Mittelpunkt: Sie schützt den Zugang zu Systemen, die potenziell ausnutzbare Schwachstellen enthalten. Gleichzeitig lassen sich Identitätskontrollen häufig schneller härten als andere Teile der Infrastruktur – und genau hier setzen viele KI-gestützte Angriffe an.
Zwei Bereiche bieten besonders große unmittelbare und langfristige Wirkung:
- Phishing-resistente Authentifizierung für privilegierte Benutzer. Codes, Links und Push-Bestätigungen setzen voraus, dass ein Mensch eine Fälschung erkennt. Hardwaregestützte FIDO2-/WebAuthn-Authentifizierung beseitigt diese Abhängigkeit: Es gibt keinen Code, der sich per Phishing abgreifen lässt, und kein Shared Secret, das eine KI extrahieren könnte. Die Zugangsdaten sind an ein physisches Gerät gebunden und nicht an Informationen, die sich einer Person durch Täuschung entlocken lassen.
Unternehmen sollten dabei nicht bei privilegierten Benutzern aufhören. Zum einen ist nicht immer eindeutig, wer als privilegierter Benutzer gilt, da viele Anwender Zugriff auf sensible Daten und Systeme haben. Zum anderen beginnen Angriffe häufig mit einem Konto mit geringeren Rechten. Von dort aus versuchen Angreifer, ihre Berechtigungen auszuweiten und höher privilegierte Konten zu kompromittieren. Für einen umfassenden Schutz sollte Phishing-resistente Authentifizierung daher möglichst für alle Benutzer eingesetzt werden. - Öffentlich erreichbare Zugangspunkte und den Helpdesk absichern. Angreifer konzentrieren sich auf die Wege, die ihnen offenstehen – und dazu gehören insbesondere über das Internet erreichbare Systeme. Banken sollten daher sicherstellen, dass alle relevanten Endpunkte bekannt sind und Phishing-resistente Authentifizierung verlangen.
Ein weiterer wichtiger Angriffsweg ist der Helpdesk. KI-Tools können eingesetzt werden, um Mitarbeiter dazu zu bringen, unberechtigt Zugriff zu gewähren. Wenn eine Kontowiederherstellung allein aufgrund einer Stimme am Telefon freigegeben werden kann, kann eine geklonte Stimme denselben Prozess missbrauchen. Die Identitätsprüfung am Helpdesk sollte deshalb mindestens einen Schritt enthalten, den eine KI-generierte Stimme oder Nachricht nicht allein durchführen kann.
Die Daten unterstreichen die Dringlichkeit: Die Threat-Intelligence-Forschung von IBM weist auf einen Anstieg der Ausnutzung öffentlich erreichbarer Anwendungen um 44 % gegenüber dem Vorjahr hin – ein erheblicher Teil davon im Zusammenhang mit KI-gestütztem Abgreifen von Zugangsdaten.
Unternehmen, die herkömmliche Multi-Faktor-Authentifizierung (MFA) durch FIDO2-/WebAuthn-Authentifizierung wie Hardware-Passkeys ersetzen, verzeichnen dagegen einen Rückgang der Kontoübernahmen um bis zu 99,9 %. Ein wesentlicher Grund dafür ist, dass im Authentifizierungsablauf kein Geheimnis mehr vorhanden ist, das sich per Phishing stehlen lässt.
Kontinuierliches Monitoring, Just-in-Time-Zugriffssegmentierung und Incident-Response-Playbooks, die auf das Tempo KI-beschleunigter Angriffe ausgelegt und entsprechend eingeübt sind, vervollständigen einen umfassenden Maßnahmenplan.
Wir haben fünf zentrale Identitätskontrollen, die Security- und Risk-Teams von Banken berücksichtigen sollten, in einer praxisnahen Checkliste zusammengefasst – einschließlich der spezifischen Risiken, die KI in jedem dieser Bereiche verstärkt: Checkliste herunterladen.
Der Zusammenhang mit DORA
Banken, die bereits an der Umsetzung der DORA-Anforderungen für IKT-Risikomanagement und starke Authentifizierung arbeiten, werden zahlreiche Überschneidungen erkennen.
Mit Phishing-resistenter MFA können Banken nicht nur auf die Anforderungen des EZB-Mandats reagieren, sondern zugleich zentrale Authentifizierungsanforderungen von DORA erfüllen. Eine Investition in Identitätssicherheit kann damit zwei regulatorische Anforderungen gleichzeitig unterstützen.
FAQ
Für welche Banken gilt das KI-Cybersicherheitsmandat der EZB?
Für Banken im Euroraum in Österreich, Belgien, Bulgarien, Kroatien, Zypern, Estland, Finnland, Frankreich, Deutschland, Griechenland, Irland, Italien, Lettland, Litauen, Luxemburg, Malta, den Niederlanden, Portugal, der Slowakei, Slowenien und Spanien.
Wie lautet die Frist?
- Oktober 2026. Die Vorgabe wurde am 7. Juli 2026 erlassen.
Ist dies dasselbe wie DORA?
Nein, allerdings gibt es deutliche Überschneidungen. DORA regelt das umfassendere IKT-Risikomanagement und die digitale operationale Resilienz. Das Mandat der EZB verlangt speziell einen Plan für den Umgang mit KI-gestützten Cyberbedrohungen. Phishing-resistente Authentifizierung kann dazu beitragen, Anforderungen beider Regelwerke zu erfüllen.
Wo sollte eine Bank beginnen?
Bei der Identität – insbesondere bei der Authentifizierung privilegierter Zugriffe sowie bei der Identitätsprüfung am Helpdesk oder im Callcenter. Diese Bereiche lassen sich vergleichsweise schnell stärken und gehören zugleich zu den häufigsten Angriffspunkten für KI-gestützte Angriffe.
Nächste Schritte
Das Zeitfenster bis zum 31. Oktober ist knapp für einen umfassenden Umbau der Infrastruktur. Für eine wirksame Verbesserung der Identitätskontrollen ist ein solcher Umbau jedoch nicht zwingend erforderlich.
Hardwaregestützte, Phishing-resistente Authentifizierung lässt sich innerhalb einer bestehenden IAM-Infrastruktur einführen, ohne dass dafür ein langwieriger Entwicklungszyklus notwendig ist.
Beginnen Sie mit der Checkliste für Identitätskontrollen, um zu bewerten, wo Ihre Bank heute im Hinblick auf die Erwartungen der EZB steht – und auf welche Bereiche Sie sich bis zur Frist konzentrieren sollten.
