James Tucker, CISO-Lead International bei Zscaler ©Zscaler

Künstliche Intelligenz verändert die Finanzdienstleistungsbranche in rasantem Tempo. Banken, Versicherungen und Kapitalmärkte nutzen KI, um Entscheidungen schneller zu treffen, Abläufe zu optimieren und das Kundenerlebnis zu verbessern. Doch während sich die Technologie rasant weiterentwickelt, halten die regulatorischen und sicherheitstechnischen Rahmenbedingungen nicht Schritt mit der Entwicklung. Diese Diskrepanz schafft ein neues systemisches Risiko: Unternehmen agieren schneller als ihre Kontrollmechanismen zur Gewährleistung der Sicherheit.

Die regulatorische Lücke wächst

Der Finanzsektor stand schon immer unter strenger Behördenaufsicht. Die KI deckt nun die Grenzen eines Modells auf, das darauf ausgelegt ist, auf Veränderungen zu reagieren, anstatt sie zu antizipieren. Vorschriften wie DORA, die klare Erwartungen an die operative Widerstandsfähigkeit und das Cyberrisiko für Finanzinstitute in ganz Europa festlegen, sind wichtig. Doch solche Regularien sind naturgemäß darauf ausgerichtet, bereits aufgetretene Schwachstellen zu beheben. KI hingegen wird in Echtzeit eingesetzt und ihre Fähigkeiten und Anwendungsfälle entwickeln sich schneller, als die meisten Entscheidungsträger einschätzen können.

Dies führt zu einer Zwickmühle für das Finanzwesen. Organisationen in diesem Sektor stehen unter ständigem Innovationsdruck, um beispielsweise das Kundenerlebnis zu verbessern, die Kosteneffizienz zu steigern, Betrugsfälle schneller aufzudecken oder die Entscheidungsfindung zu optimieren. Gleichzeitig können die Aufsichtsbehörden mit der Geschwindigkeit der Modellimplementierung nicht Schritt halten. Die Folge ist eine wachsende Kluft zwischen dem, was die KI für Unternehmen zu leisten vermag und den notwendigen Governance Frameworks zur Überwachung. Im Finanzdienstleistungssektor ist dieser Spagat entscheidend, denn Innovationsgeschwindigkeit ohne Kontrollfunktion stellt nicht nur ein operatives, sondern ein systemisches Problem dar.

KI transformiert Finanzdienstleistungen und Versicherungen rasant

Die Vorteile von KI im Finanzdienstleistungssektor sind real und lassen sich zunehmend besser messen. In der Versicherungsbranche beispielsweise schreitet die Einführung der KI für die Risikoprüfung oder die Schadensbearbeitung rasch voran. Dort können intelligente Systeme Informationen bewerten und Entscheidungen weitaus schneller unterstützen als herkömmliche Arbeitsabläufe. Bei der Betrugsaufdeckung und Risikoanalyse helfen KI-Modelle den Teams, Transaktionen in Echtzeit zu analysieren, anstatt sich ausschließlich auf Batch-Prozesse zu verlassen, die Probleme erst im Nachhinein identifizieren.

Der Kundenservice befindet sich ebenfalls im Wandel: KI-Copiloten und automatisierte Assistenten beantworten Anfragen in Sekundenschnelle, während die Bearbeitung früher Stunden oder sogar Tage in Anspruch nahm. Im Handels- und Anlageumfeld können KI-gestützte Systeme Muster erkennen und Signale mit einer Geschwindigkeit aufzeigen, die kein menschlicher Analyst dauerhaft erreichen könnte. Selbst Compliance-Funktionen, die oft als eher träge Teile eines Unternehmens angesehen werden, setzen zunehmend KI ein, um regulatorische Änderungen zusammenzufassen und Teile des Berichtswesens zu automatisieren. All diese Fähigkeiten komprimieren Prozesse, die früher Stunden, Tage oder sogar Wochen dauerten, auf Sekunden.

Diese Beschleunigung ist beeindruckend. Allerdings geht im Finanzdienstleistungssektor eine höhere Geschwindigkeit nicht automatisch mit mehr Sicherheit einher. In einer Branche, die auf Vertrauen, Resilienz und regulatorischer Rechenschaftspflicht basiert, schafft eine schnellere Entscheidungsfindung nur dann einen Mehrwert, wenn sie mit ebenso starken Kontrollen einhergeht.

Wenn Beschleunigung zum Risiko wird

Hier verändert sich die Risikolage. Je schneller Entscheidungen getroffen werden, desto schneller können sich Fehler, aber auch Angriffe, ausbreiten. Ein fehlerhaftes KI-Ergebnis bleibt nicht mehr auf eine Tabelle beschränkt oder wartet auf eine manuelle Überprüfung. Es kann sich augenblicklich über Systeme hinweg ausbreiten und Risikomodelle, Genehmigungen, Kundeninteraktionen oder operative Entscheidungen beeinflussen, bevor ein Mensch eingreifen kann. In stark vernetzten Umgebungen können kleine Fehler sehr schnell große Folgen haben.

Hinzu kommt, dass sich eine KI-basierte Cyberbedrohungslage ebenso schnell entwickelt, wenn nicht sogar schneller. Angreifer setzen KI bereits in ihren Strategien ein. Mit zunehmender Leistungsfähigkeit der Modelle wachsen auch ihre Fähigkeiten, Schwachstellen zu identifizieren, Erkundungsmaßnahmen zu automatisieren und Schwachstellen schneller auszunutzen. Gleichzeitig delegieren Unternehmen immer mehr Entscheidungsprozesse an Maschinen und reduzieren damit oft die Reibungsverluste, die früher als Schutzmechanismus dienten. Die menschliche Aufsicht wird aus dem Prozess herausgelöst, während das Tempo der Ausführung zunimmt. Regulatorische Rahmenbedingungen, die für langsamere, linearere Systeme konzipiert wurden, haben unterdessen Mühe, das Echtzeittempo von KI-Entscheidungen zu überwachen. In einem solchen Umfeld potenziert sich das Risiko.

Das Problem der veralteten Infrastruktur

Die Situation wird durch die Infrastruktur verschärft, die viele Institutionen für den Einsatz von KI nutzen wollen. In vielen Fällen werden fortschrittliche KI-Funktionen auf veraltete Umgebungen aufgesetzt, die nie für dieses Maß an Konnektivität, Geschwindigkeit oder Datenzugriff ausgelegt waren. Die dadurch entstehenden Schwachstellen werden leicht unterschätzt. Denn die KI selbst erscheint modern, während die zugrunde liegenden Systeme fragmentiert und schwer zu sichern sind.

Viele Organisationen arbeiten nach wie vor mit Banking- und Betriebsplattformen, die im Laufe der Zeit erweitert, aber nicht grundlegend neu gestaltet wurden. Sicherheitsmodelle sind oft inkonsistent, da ältere, perimeterbasierte Annahmen neben verteilten, KI-gesteuerten Arbeitsabläufen parallel betrieben werden. KI-Systeme benötigen zudem Zugriff auf große Datenmengen, von denen ein Großteil in älteren Umgebungen gespeichert ist. Diese Umgebungen wurden nicht unter Berücksichtigung moderner Anwendungsfälle segmentiert. Wenn dann noch der Einsatz von APIs und Konnektoren hinzukommt, schaffen Institutionen neue Angriffspunkte, die von Angreifern ausgenutzt werden können. Letztendlich kombinieren Finanzunternehmen Intelligenz der nächsten Generation mit Infrastruktur der letzten Generation. Dieses Missverhältnis schafft tote Winkel, für deren Bewältigung weder Regulierungsbehörden noch Sicherheitsteams vollständig gerüstet sind.

Lücken schließen durch einen sicherheitsorientierten Ansatz für KI

Die Lösung besteht nicht darin, die Einführung von KI zu verlangsamen. Finanzinstitute können sich Stillstand nicht leisten, während sich der Markt weiterentwickelt. Sie müssen jedoch die Sicherheit im KI-Bereich neu definieren. Innovation und Sicherheit sollten gemeinsam weiterentwickelt werden, nicht nacheinander. Das bedeutet, von einem Sicherheitsansatz mit umfassendem Netzwerkzugang und implizitem Vertrauen Abstand zu nehmen und zu einem Modell überzugehen, das auf streng kontrolliertem Zugriff auf Anwendungsebene basiert und Systeme sowie Daten nur minimal exponiert.

In der Praxis bedeutet ein solcher Paradigmenwechsel, dass unnötige Zugangswege zu sensiblen Umgebungen reduziert werden müssen. Unternehmen sollten redundante Zugriffspfade identifizieren und beseitigen. Zudem sollten sie sicherstellen, dass KI-Systeme nur auf die Anwendungen und Datensätze zugreifen können, die sie zur Erfüllung ihrer Aufgaben unbedingt benötigen. Hier kommt der Zero Trust-Ansatz ins Spiel.

In KI-gesteuerten Umgebungen steigt das Risiko von Lateral Movement, da Systeme stärker vernetzt, automatisiert und von gemeinsam genutzten Daten abhängig sind. Das Ziel kann heute nicht mehr darin bestehen, Sicherheitsverletzungen gänzlich zu verhindern, sondern Schaden zu begrenzen. Zero Trust ist zusätzlich in der Lage, identitäts- und kontextbezogenen Zugriff für nicht-menschliche Entitäten (Workloads, IoT usw.) zu verwalten. Das spielt gerade in Umgebungen eine Rolle, in denen agentische KI-Systeme zum Einsatz kommen. In einer KI-gesteuerten Welt sind Sicherheitsverletzungen unvermeidlich. Entscheidend ist, wie weit sie sich ausbreiten können.

Zero Trust dämmt Schaden ein

Die Handhabung dieser neuartigen Herausforderungen betrifft die Führungsebene. Führungskräfte können nur steuern, was sie verstehen, und das gilt insbesondere für Agentic AI. IT-Sicherheits- und Geschäftsstellenleiter müssen verstehen lernen, wie sich diese neuen Tools verhalten, wo sie einen Mehrwert schaffen und wie sie missbraucht werden können. Es gilt eine Intuition für das Gefahrenpotenzial zu entwickeln durch Experimente, die auf sichere und angemessene Weise außerhalb von Produktionsumgebungen durchgeführt werden.

Diese Erfahrungswerte sind wichtig, denn theoretisches Verständnis ist kein Ersatz für praktisches Urteilsvermögen. KI ist ein technologischer Wandel von der Größenordnung des Internets. Dementsprechend müssen Führungskräfte, die strategische Entscheidungen fällen, mehr als nur Informationen aus zweiter Hand heranziehen. Hier gilt das Prinzip: Berufliche Neugierde schafft Kompetenz, und diese Kompetenz führt zu besseren Entscheidungen. Das Ziel ist keine Schatten-IT oder parallele Experimente innerhalb des Unternehmens, sondern eine fundierte Führung, die auf Verständnis aus erster Hand basiert.

Fazit

KI verändert Finanzdienstleistungen so schnell, dass die Regulierungsbehörden kaum mithalten können. Damit liegt die Verantwortung für die Widerstandsfähigkeit vollständig bei den Institutionen, die KI einsetzen. Zukunftsorientiert sind diejenigen aufgestellt, die eine solide und sichere Grundlage zur Einführung ihrer KI-Modelle geschaffen haben.

Weitere Informationen!

Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“