Knapp 900 IT-Vorfälle in den vergangenen vier Quartalen, 14 Prozent davon durch Angriffe: Mark Branson, Präsident der Bundesfinanzaufsicht (BaFin), warnt bei einer Digital-Finance-Veranstaltung des Branchenverbands Bitkom in Berlin die Branche vor den stetig wachsenden Cyber- und KI-Risiken.
Mark Branson (BaFin) kritisiert die Investitionen in KI
„Jetzt ist nicht die Zeit für Naivität. Wenn nur ein Bruchteil der gigantischen Investitionen in KI-Kapazitäten für Cyber-Sicherheit aufgewendet würde, wäre die Finanzwelt ein viel sichererer Ort“, sagt Branson. In der Rede greift er zudem einen bekannten Leitsatz der Tech-Branche auf: „Move fast and break things - das bedeutet oft ‚move fast and sell broken things‘.“
Milliardenschaden bei der größten Kryptobörse
Wie hoch der Schaden ausfallen kann, machte Branson an einem Beispiel aus Medienberichten deutlich. Bei der weltweit größten Kryptobörse seien binnen 30 Minuten Krypto-Assets im Gegenwert von 6,3 Milliarden US-Dollar entwendet worden.
Unabhängig davon ist der Fall dokumentiert. Nach Analysen des Blockchain-Forensikunternehmens TRM Labs zogen Angreifer am 29. Oktober 2026 bei der Kryptobörse Binance Krypto-Werte über zehn Blockchains ab. Der Großteil der Mittel floss ab 20:05 Uhr binnen rund 20 Minuten ab, eine zweite Welle folgte gegen 23:05. Das Volumen lag bei etwa 6,36 Milliarden US-Dollar. TRM Labs ordnet den Vorfall als bislang größten bekannten Krypto-Diebstahl ein. Stablecoin-Emittenten wie Tether, Circle, Ripple und World Liberty Financial sowie das Arbitrum Security Council froren laut TRM Labs insgesamt rund 2,7 Milliarden US-Dollar ein. Der Angreifer kontrollierte TRM Labs zufolge weiterhin mehr als 420.000 Ether und 18.270 Bitcoin im Gegenwert von rund 2,4 Milliarden US-Dollar sowie kleinere Beträge auf weiteren Blockchains.
Branson empfiehlt Quanten-Migration bis 2030
Für besonders kritische Systeme riet Branson zu einer Umstellung auf quantenresistente Verschlüsselungsalgorithmen bis 2030. Dahinter steht der sogenannte „Harvest Now, Decrypt Later“-Ansatz: Angreifer greifen verschlüsselte Daten bereits heute ab, um sie erst später mit Quantenrechnern zu entschlüsseln.
Beaufsichtigte Unternehmen sollen solche Risiken deshalb schon jetzt managen. Eine verbindliche Frist ist die Empfehlung allerdings nicht. „Resilient ist nicht, wer die stärksten Mauern hat. Resilient ist, wer Systeme entwickelt, die klug genug gebaut sind, Schocks abzufedern und zu kanalisieren“, sagt Branson.
KI-Aufsicht seit 2026 und verschobene EU-Fristen
Seit Juli 2026 ist die BaFin zugleich Marktüberwachungsbehörde für KI-Systeme im Finanzsektor. Im Fokus ihrer Prüfungen stehen dabei insbesondere verbotene Praktiken, Transparenzpflichten und die KI-Kompetenz der Beschäftigten in den beaufsichtigten Unternehmen. Die Vorgaben für Hochrisiko-KI-Systeme gemäß der EU-KI-Verordnung gelten laut Branson ab Dezember 2027.
Diese Frist ist neu. Mit der Änderungsverordnung (EU) 2026/1744 aus dem „Digital Omnibus“-Paket hat die EU die Fristen für eigenständige Hochrisiko-KI-Systeme gemäß Anhang III nach hinten verlegt. Statt im August 2026 greifen sie nun ab dem 2. Dezember 2027. Für Hochrisiko-KI als Sicherheitskomponente in regulierten Produkten nach Anhang I gelten die Pflichten nun ab dem 2. August 2028 statt ab dem 2. August 2027.
| Kennzahl | Wert | Zeitraum/Stand |
|---|---|---|
| Der BaFin gemeldete IT-Vorfälle | knapp 900 | vergangene vier Quartale (Stand: 10. November 2026) |
| Anteil mit Angriffsursache | 14 Prozent | vergangene vier Quartale |
| Krypto-Diebstahl bei Binance | rund 6,36 Milliarden US-Dollar | 29. Oktober 2026, Großteil in rund 20 Minuten |
| Eingefrorene Gelder (Emittenten, Arbitrum Security Council) | rund 2,7 Milliarden US-Dollar | Stand: Ende Oktober 2026 |
| Empfohlene Umstellung auf quantenresistente Verschlüsselung | besonders kritische Systeme | Empfehlung der BaFin bis 2030 |
| Pflichten für eigenständige Hochrisiko-KI | ab 2. Dezember 2027 | verschoben von August 2026 (EU, Juli 2026) |
| Pflichten für Hochrisiko-KI als Sicherheitskomponente | ab 2. August 2028 | EU-Vorgabe |
Was die Rede für beaufsichtigte Unternehmen bedeutet
Für beaufsichtigte Versicherer, Banken und Vermögensverwalter bleibt der Auftritt von Mark Branson (BaFin) zunächst eine Positionierung ohne neue Verwaltungsanordnung. Neue Pflichten mit Gesetzeskraft kündigte er nicht an, sondern formulierte Erwartungen und Empfehlungen - etwa zur Migration bis 2030. Verbindlich wirkt dagegen die EU-KI-Verordnung. Konkrete Pflichten für einzelne Vermittlertypen oder Versicherer lassen sich aus der Rede nicht ableiten.
BaFin baut Abteilung für Cyber-Sicherheit aus
Parallel verstärkt die Aufsicht ihre eigene Aufstellung. Die BaFin baut derzeit ihre Abteilung für Cyber-Sicherheit aus. Künftig will sie außerdem kürzere, zielgerichtete Prüfungen durchführen. So soll die Behörde mehr Unternehmen erreichen und schneller auf aktuelle Entwicklungen reagieren.
Auch bei der IT-Aufsichtskonferenz der BaFin, die etwa einen Monat nach dem Bitkom-Auftritt abgehalten wird, steht Quantum Computing auf dem Programm. Zudem kündigte die Aufsicht einen neuen Roundtable mit Industrie und Verbänden zu diesem Thema an.
