Aufsicht schlägt Alarm wegen KI, die Lücken schneller findet
Am 31. Juli 2026 forderten die drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA strengere Governance und einheitlichere Aufsicht über Frontier-KI im Finanzsektor. Zwei Tage später beschrieb PYMNTS, wie eben diese Modelle das Zeitfenster zwischen Fund und Ausnutzung einer Lücke zusammenschrumpfen lassen.
Am 31. Juli 2026 veröffentlichten die drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA eine gemeinsame Erklärung zu den IKT-Risiken von Frontier-KI-Modellen im Finanzsektor. Der Kern: Die Governance rund um den Einsatz dieser Modelle muss strenger werden, und die Aufsicht darüber muss zwischen den Mitgliedstaaten einheitlicher ausfallen. Die Behörden entscheiden sich ausdrücklich für einen risikobasierten, sektorübergreifenden Ansatz und verweisen auf den Aktionsplan der Europäischen Kommission zu Cybersicherheit und KI.
Warum jetzt
Die Erklärung kommt nicht aus dem Nichts. PYMNTS beschrieb am 3. August 2026, wie fortgeschrittene KI-Modelle das Zeitfenster zwischen dem Bestehen einer Schwachstelle und ihrer Ausnutzung deutlich verkleinern. Wo ein Forscher früher Wochen in einer einzigen Codebasis saß, kann ein Modell heute Tausende Projekte gleichzeitig auf Implementierungsfehler durchgehen. Die Coldcard-Lücke der vergangenen Woche, bei der ein falsch konfigurierter Build die Entropie der Seed-Erzeugung untergrub, ist genau der Fehlertyp, der sich so finden lässt.
Scott Aaronson, wissenschaftlicher Berater bei StarkWare, formulierte es im selben Beitrag deutlich: Der Zeitpunkt, über eine Migration zu quantensicherer Verschlüsselung nachzudenken, ist jetzt, nicht später.
Wo DORA hereinkommt
Für die Branche hängt das direkt an DORA. Diese Verordnung verpflichtet Finanzunternehmen, ihre IKT-Risiken nachweisbar zu beherrschen, und stellt kritische externe IKT-Dienstleister unter direkte europäische Aufsicht. Ein KI-Modell, das für Code-Review, Betrugserkennung oder Kundenkontakt eingesetzt wird, fällt praktisch darunter. Die Aufseher machen klar: Wer ein solches Modell einkauft, verschiebt damit nicht die Verantwortung.
Für CASPs unter MiCA gilt dieselbe Linie. Wer in der EU eine Zulassung hat, muss seine operationelle Widerstandsfähigkeit im Griff haben, samt der Dienstleister, die er beauftragt.
Was es nicht ist
Es ist keine neue Regel und keine Konsultation. Es ist ein gemeinsames Signal, wohin die Aufsicht in nächster Zeit schauen wird. Konkrete Pflichten ergeben sich aus DORA und der KI-Verordnung, nicht aus dieser Erklärung.
Was du davon hast
Als privater Nutzer siehst du von dieser Aufsicht nichts direkt, die Richtung ist aber brauchbar. Geh davon aus, dass die Zeit zwischen dem Bekanntwerden einer Schwachstelle und ihrer Ausnutzung kürzer wird, nicht länger. Das heißt: Firmware-Updates für Wallets und Geräte nicht wochenlang liegen lassen, und bei einer gemeldeten Lücke zuerst dein Guthaben in Sicherheit bringen und danach klären, ob du wirklich zur betroffenen Gruppe gehörst. Arbeitest du bei einem Unternehmen, das unter DORA fällt, ist jetzt der Moment, die KI-Dienstleister in deiner Kette zu erfassen, bevor die Aufsicht danach fragt.
Quellen: EBA, EIOPA und ESMA (gemeinsame Erklärung, 31. Juli 2026), PYMNTS (3. August 2026), Verordnung (EU) 2022/2554 (DORA). Zuletzt geprüft: 6. August 2026.