Die EZB hat gerade Banken aufgefordert, bis zum 31. Oktober 2026 einen Aktionsplan gegen KI-gestützte Cyberangriffe einzureichen. Frist, Formular, Kon

Die EZB hat gerade Banken aufgefordert, bis zum 31. Oktober 2026 einen Aktionsplan gegen KI-gestützte Cyberangriffe einzureichen. Frist, Formular, Konsequenzen bei Nichterfüllung. Das klingt nach einem Bankenproblem. Es ist keins. Es ist ein Muster, das sich in jeder regulierten Branche wiederholt: Erst passiert nichts, weil kein Druck da ist. Dann passiert etwas Ernstes – ein Vorfall, eine Welle, eine öffentliche Debatte. Dann kommt die Regulierung. Und dann müssen alle in kurzer Zeit nachholen, was sie in Jahren nicht freiwillig angegangen sind. Banken sind in diesem Zyklus nur weiter vorne als andere. NIS2 hat denselben Zyklus für kritische Infrastrukturen und größere Unternehmen ausgelöst. DORA für Finanzdienstleister. Der EU AI Act für KI-Anwendungen. Wer glaubt, als KMU oder Mittelständler außerhalb dieses Zyklus zu stehen, wird feststellen, dass der Zyklus ihn früher oder später trotzdem erreicht. Was mich dabei beschäftigt, ist nicht die Regulierung selbst. Regulierung ist meistens ein nachgelagertes Signal – ein Zeichen dafür, dass freiwillige Selbstregulierung in einer Branche nicht funktioniert hat. Das eigentliche Signal ist, dass Banken, die professionelle IT-Abteilungen, dedizierte Sicherheitsteams und erhebliche Compliance-Budgets haben, trotzdem von einer Aufsichtsbehörde zur Eile getrieben werden müssen. Was bedeutet das dann für ein Unternehmen mit zwanzig oder fünfzig Mitarbeitern, das keine dedizierte IT-Abteilung hat, kein Sicherheitsteam, kein Compliance-Budget? Es bedeutet nicht, dass die Bedrohung kleiner ist. KI-gestützte Angriffe skalieren nach unten genauso wie nach oben – automatisierte Phishing-Kampagnen, die heute Großbanken treffen, sind morgen dasselbe Werkzeug gegen den Mittelstand, weil der Aufwand für den Angreifer minimal ist. Was sich sinnvoll ableiten lässt: Wer wartet, bis die Regulierung kommt, handelt unter Zeitdruck, mit wenig Spielraum und meistens höheren Kosten als nötig wären. Wer sich vorher selbst fragt, wie gut der eigene Betrieb auf einen ernsthaften Cybervorfall vorbereitet ist – und diese Frage ehrlich beantwortet – hat zumindest die Wahl, wann und wie er handelt. Die Banken haben diese Wahl gerade nicht mehr. Die Frist läuft.