Banken haben jetzt nur Minuten, nicht Wochen, um die Schäden zu beheben – und das Geld, das ständig verfügbar ist, macht den Kostenaufwand besonders groß.

Ein Warnsignal aus Basel Anfang September klingt wie die Handlung eines Thrillers: Die Grenz-AI hat…Die Zeit, die ein Bankinstitut für die Behebung eines Softwarefehlers benötigt, wird von Wochen auf Minuten reduziert.Und die üblichen Patch-Skalen können nicht mehr mit der Entwicklung der Technologie Schritt halten. Die Quelle ist die Bank für internationale Abwicklungen – die „Zentralbank der Zentralbanken“ – durch ihr Financial Stability Institute. In einem Artikel über die Bedrohungen durch künstliche Intelligenz für den Finanzsektor wird darauf hingewiesen.Autonome Schwachstellenerkennung und -ausnutzungEs handelt sich dabei um die wichtigste Entwicklung, die KI für den Bankensektor bringt. Der „Terrorismus“ im Titel ist zwar real, aber er zeigt auf etwas, das langsamer und nachhaltiger ist – für alle, die Bankaktien halten: Das Cyberrisiko wird allmählich zu einem Betriebskostenfaktor sowie zu einem „Tail-Risiko“, das bei den meisten Bankwerten kaum berücksichtigt wird.

Beginnen wir mit der eigentlichen Bedeutung dieser Warnungen aus operativer Sicht. Ein „Fehler“ ist ein Bug im Software-Code eines Bankensystems, den Angreifer nutzen kann, um Zugang zu gewinnen. Über Jahre hinweg wurde angenommen, dass eine Bank mindestens einige Wochen – also einen monatlichen Patching-Zyklus oder eine festgelegte Wartungszeit – benötigt, bis man von dem Fehler erfährt und jemand ihn für Angriffe nutzen kann. Diese Annahme wird durch die KI zerstört. Wenn ein Modell den Code scannen kann, die Schwachstellen erkennen kann, Exploits entwickeln kann und mehrere Schwachstellen miteinander kombinieren kann, dann braucht der Angreifer keine Zeit mehr oder keine spezialisierten menschlichen Fähigkeiten, wie sie das alte Modell vorsah. Das Paper des BIS sagt den Banken…Die Zeit zwischen der Entdeckung und der Ausnutzung hat sich von Wochen auf Minuten verkürzt.Die Regulierungsbehörden und Industrieverbände sagen dasselbe – in ihren eigenen Worten.Die britische Cross Market Operational Resilience Group erwartet, dass die Reparaturzeiten von Wochen auf Tage – und in einigen Fällen sogar auf Stunden – reduziert werden.Der Institut für Internationale Finanzen fordert die Banken auf, schneller zu handeln – außerhalb der vorgesehenen Zeitfenster – und den geplanten Ausfallzeiten für dringende Reparaturen zuzulassen.

In diesem letzten Satz versteckt sich die eigentliche Investitionsstory. Die Annahme von geplanten Ausfällen scheint harmlos zu sein – doch für eine Bank bedeutet ein Ausfall, dass sie nicht das tut, für was sie bezahlt wird: Geld bewegen, Schecks auszusortieren, Kredite finanzieren. Jedes Jahr verbringt eine Bank mehr Zeit damit, Angriffen entgegenzuwirken und die Ausfälle zu ertragen, die diese Maßnahmen erfordern. Schauen Sie sich die Kostenbasis an.Finanzdienstleistungen waren im Jahr 2026 die am meisten angegriffene Branche im Internet.Und IBMs Untersuchungen bezüglich der Kosten von Sicherheitsverletzungen zeigten, dass die durch Sicherheitslücken verursachten finanziellen Schäden im Durchschnitt sehr hoch sind.5,56 Millionen im Jahr 2025 – nur hinter der Gesundheitsbranche.Im gesamten IndustriebereichGartner erwartet, dass die weltweiten Ausgaben für Cyber-Sicherheit im Jahr 2026 etwa 240 Milliarden US-Dollar erreichen werden.Es ist um mehr als 12 Prozent höher als im Vorjahr. Die Asymmetrie, die in diesem Bericht dargestellt wird, macht diese Entwicklung weiterhin anhaltend.BIS selbst argumentiert, dass KI die Kosten für komplexe Angriffe verringert – mehr als dass sie die Kosten für die Verteidigung senken.So werden die Angreifer günstiger, während die Verteidiger mehr Arbeit haben.

Hier ist der Teil des Titels, den man nicht erfährt – und es ist dieser Teil, über den man sich strukturell Gedanken machen sollte. Die Tatsache, dass „Minuten statt Wochen“ eine dringende Situation darstellen, führt dazu, dass die Banken immer mehr auf kontinuierliche Zahlungen setzen müssen. Und kontinuierliche Zahlungen können nicht pausiert werden. In diesem Zeitraum haben die Banken versucht, sich auf moderne Systeme zu umstellen – sofortige Zahlungen, tokenisierte Einlagen sowie 24/7-Settlungen. Der BIS selbst ist ein Faktor, der diese Entwicklung vorantreibt.Projekt Agorá – eine Zusammenarbeit von sieben Zentralbanken und mehr als vierzig FinanzinstitutionenEs wird eine tokenisierte Großhandelsabwicklung getestet. Im Jahr 2026 wurde diese Methode von einem Prototypen auf echte Geldabwicklungen ausgeweitet.TD bewegt tatsächliche US-Dollar.und einLive grenzüberschreitender Pilotprojekt mit JPMorgan, Citi und UBSAlles basiert auf einer Annahme – der Warnung von BIS wird diese Annahme jedoch stillschweigend untergraben: dass die Abwicklung kontinuierlich, fast in Echtzeit, für immer möglich ist.

Ein monatlicher Patch-Zyklus ist eine Lösung, die für ein System, das in geplanter Abfolge arbeitet, akzeptabel ist – schließlich kann auch ein solches System in geplanten Zeitabständen ausgeschaltet werden. Das 24/7 verfügbare System zur Echtzeit-Verhandlung, das Ihnen Ihre Kunden versprochen wurden, kann nicht einfach jedes Mal ausgeschaltet werden, sobald eine neue Bedrohung auftritt. Entweder wird dieses System weiterhin betrieben und damit das Risiko auf sich genommen, oder es wird abgeschaltet – und damit der Vertrag, der das System wertvoll macht, gebrochen. Das ist eine echte Belastung – keine rhetorische Frage. Das bedeutet, dass die Druckfaktoren, die in diesem Bericht beschrieben werden, nicht an ihrem ursprünglichen Ort bleiben. Sie nehmen zu, wenn Geld immer mehr in die ständig aktive Infrastruktur fließt. Die Institution, die vor einer nicht reparierbaren Situation warnt, baut gleichzeitig die Infrastruktur auf, bei der Ausfallzeiten nicht mehr möglich sind.

Für einen Retail-Investor bedeutet das ehrliche Ergebnis nicht „Banken verkaufen“, weil jemand sie hacken könnte. Es wird hier keine einzelne Sicherheitslücke vorhergesagt. Vielmehr geht es um eine Neubewertung zweier Dinge, die der Preis-Leistungs-Verhältnis einer Bank nicht zeigt: langsam steigende Betriebskosten, die auf jeden Kundenauftrag wirken, sowie ein Risiko, das zunehmend wahrscheinlich wird, je schwieriger es wird, die Sicherheit zu gewährleisten. Beides ist strukturell bedingt – das bedeutet, dass die Banken, die am besten dazu in der Lage sind, diese Probleme zu bewältigen, davon profitieren. Eine Bank, die eine moderne, cloud-basierte Infrastruktur nutzt, kann kontinuierlich Fehler beheben und Ausfälle als Teil des Designs betrachten. Eine Bank, die weiterhin eine Jahrzehnte alte Infrastruktur verwendet, mit nur oberflächlicher Sicherheit, muss dringend Fehler beheben – was zu echten Ausfällen, Kundenbeschwerden und einem Rückgang der Einnahmen führt, gerade in dem Moment, in dem die Margen des Sektors bereits unter Druck stehen.

Die wichtigste Frage, die diese Warnung aufwirft, ist nicht, ob Ihr Bankkonto angegriffen werden wird – sondern welche Art von Bankkonto das ist. Diejenigen Banken, die dafür konzipiert sind, ohne Unterbrechung zu funktionieren, haben den Kostenaufwand in etwas verwandelt, das eher wie eine „Mauer“ wirkt. Diejenigen Banken hingegen tragen ein Risiko, das nicht im Bericht vom Mittwoch angegeben wird. Da das Geld auf Schienen läuft, die nie schlafen, wird es immer teurer werden, dieses Unterschied zu ignorieren.