{"id":66528,"date":"2026-09-09T09:11:45","date_gmt":"2026-09-09T07:11:45","guid":{"rendered":"https:\/\/www.secuinfra.com\/?p=66528"},"modified":"2026-09-09T09:18:40","modified_gmt":"2026-09-09T07:18:40","slug":"velocity-asymmetry-wie-ki-die-kraefteverhaeltnisse-zwischen-angreifern-und-verteidigern-verschiebt","status":"publish","type":"post","link":"https:\/\/www.secuinfra.com\/de\/techtalk\/velocity-asymmetry-wie-ki-die-kraefteverhaeltnisse-zwischen-angreifern-und-verteidigern-verschiebt\/","title":{"rendered":"Velocity Asymmetry: Wie KI die Kr\u00e4fteverh\u00e4ltnisse zwischen Angreifern und Verteidigern verschiebt\u00a0"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_87_1 counter-flat ez-toc-counter ez-toc-white ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">[inhalt_uebersetzt]<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/velocity-asymmetry-wie-ki-die-kraefteverhaeltnisse-zwischen-angreifern-und-verteidigern-verschiebt\/#Was_hinter_dem_EZB-Brief_steckt\" >Was hinter dem EZB-Brief steckt&nbsp;<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/velocity-asymmetry-wie-ki-die-kraefteverhaeltnisse-zwischen-angreifern-und-verteidigern-verschiebt\/#Was_die_EZB_tatsaechlich_fordert\" >Was die EZB tats\u00e4chlich fordert&nbsp;<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/velocity-asymmetry-wie-ki-die-kraefteverhaeltnisse-zwischen-angreifern-und-verteidigern-verschiebt\/#Die_sechs_Handlungsfelder_Was_sie_in_der_Praxis_bedeuten\" >Die sechs Handlungsfelder: Was sie in der Praxis bedeuten&nbsp;<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/velocity-asymmetry-wie-ki-die-kraefteverhaeltnisse-zwischen-angreifern-und-verteidigern-verschiebt\/#31_Oktober_im_Blick_Wie_resilient_ist_Ihr_Institut\" >31. Oktober im Blick: Wie resilient ist Ihr Institut?<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Was_hinter_dem_EZB-Brief_steckt\"><\/span>Was hinter dem EZB-Brief steckt&nbsp;<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Als die Europ\u00e4ische Zentralbank am 7. Juli 2026 einen Brief an die CEOs der beaufsichtigten Institute verschickte, war die Sto\u00dfrichtung klar: Unter dem Titel \u201e<a  href=\"https:\/\/www.bankingsupervision.europa.eu\/press\/letterstobanks\/shared\/pdf\/2026\/ssm.2026_letter_on_AI_enabled_cybersecurity_threats.en.pdf\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Addressing AI-enabled cybersecurity threats<\/a>&#8220; fordert die EZB, dass sich die Institute ernsthaft und nachweislich mit KI-gest\u00fctzten Cyberbedrohungen auseinandersetzen und bis zum 31. Oktober 2026 einen Aktionsplan bei ihrem jeweiligen Joint Supervisory Team einreichen.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Brief hatte eine Vorgeschichte, die sich bis Mitte 2026 aus mehreren parallelen Entwicklungen zusammensetzte und ein Bild ergab, das auf Aufsichtsebene nicht mehr zu ignorieren war. Zwei Wochen vor dem EZB-Schreiben hatte der Europ\u00e4ische Ausschuss f\u00fcr Systemrisiken (ESRB) <a  href=\"https:\/\/eur-lex.europa.eu\/eli\/C\/2026\/3795\/oj\/eng\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >eine formelle Warnung herausgegeben<\/a>: KI-Frontier-Modelle gef\u00e4hrden nicht nur einzelne Institute, sondern die Stabilit\u00e4t des Finanzsystems insgesamt. Zur gleichen Zeit zeigte <a  href=\"https:\/\/cert.europa.eu\/blog\/ai-vulnerability-discovery-defenders-must-adapt\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >ein Blogbeitrag von CERT-EU<\/a>, gest\u00fctzt auf Daten aus <a  href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/m-trends-2026\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Google M-Trends 2026<\/a>, dass die mittlere Zeit bis zur Ausnutzung neu bekannt gewordener Schwachstellen auf unter sieben Tage gesunken ist. Dieser Wert stellt die traditionelle Annahme grundlegend in Frage, dass Verteidiger zwischen der Offenlegung einer Schwachstelle und ihrer aktiven Ausnutzung noch \u00fcber ein nutzbares Zeitfenster verf\u00fcgen. F\u00fcr Finanzinstitute, die laut CERT-EU <a  href=\"https:\/\/www.cert.europa.eu\/publications\/threat-intelligence\/tlr2025\/pdf\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Threat Landscape Report 2025<\/a> zu den meistangegriffenen Sektoren geh\u00f6ren, hei\u00dft das nicht einfach schneller patchen, sondern dass Patchgeschwindigkeit als zentrales Element der Abwehrstrategie strukturell neu gedacht werden muss.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die <a  href=\"https:\/\/www.enisa.europa.eu\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Europ\u00e4ische Agentur f\u00fcr Cybersicherheit<\/a> (ENISA) gab dem zugrundeliegenden Problem in ihrer Publikation \u201e<a  href=\"https:\/\/www.enisa.europa.eu\/publications\/enisas-view-on-cybersecurity-in-the-frontier-ai-era\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Cybersecurity in the Frontier AI Era<\/a>&#8220; (Juli 2026), die am selben Tag wie der EZB-Brief ver\u00f6ffentlicht wurde, einen Namen: \u201evelocity asymmetry\u201c (\u00fcbers. Geschwindigkeitsasymmetrie). Menschlich gesteuerte Genehmigungsprozesse wie Change Advisory Boards bringen eine prozedurale Latenz mit sich, die immer ein Kompromiss war, aber nun zu einer echten strukturellen Schwachstelle wird. Gleichzeitig industrialisiert KI die Entdeckung von Schwachstellen in einem Volumen, das die Triagekapazit\u00e4ten \u00fcberfordert, und Angreifer nutzen zunehmend die Software <a  href=\"https:\/\/www.huntress.com\/blog\/rising-supply-chain-attacks-cybersecurity-ecosystems\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Lieferkettenangriffe<\/a>, um Perimeterschutzma\u00dfnahmen vollst\u00e4ndig zu umgehen.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a  href=\"https:\/\/www.techtimes.com\/articles\/323564\/20260807\/black-hat-2026-autonomous-ai-invents-novel-attacks-hits-banks-government.htm\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Die Black Hat 2026 in Las Vegas machte greifbar<\/a>, was viele bis dahin eher als Zukunftsszenario eingeordnet hatten. CrowdStrike belegte im <a  href=\"https:\/\/www.crowdstrike.com\/en-us\/blog\/crowdstrike-2026-threat-hunting-report\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >Threat Hunting Report 2026<\/a>, dass 88% der Exploits mit einem \u00f6ffentlichem Proof-of-Concept innerhalb von 48 Stunden aktiv ausgenutzt werden, staatlich gesponserte APTs schaffen das schon in unter 24 Stunden. James Kettle von PortSwigger demonstrierte mit <a  href=\"https:\/\/portswigger.net\/research\/can-ai-do-novel-security-research\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >HTTP Terminator<\/a> ein System, das autonom aus HTTP-Protokollspezifikationen mehr als 30.000 Angriffsvektoren ableitete und Hunderte angreifbarer Bank- und Beh\u00f6rdensysteme identifizierte, ohne eine einzige \u00f6ffentlich bekannte Schwachstelle zu ben\u00f6tigen. Forscher des Tencent Security Xuanwu Lab zeigten eine LLM-Pipeline, die durch selbstkorrigierende Logik \u00fcber 100 Schwachstellen in Chrome und Android aufdeckte, darunter Fehler, die kein Mensch ihr vorgegeben hatte. Diese Pr\u00e4sentationen beschrieben nicht, wozu KI eines Tages f\u00e4hig sein k\u00f6nnte. Sie beschrieben, was gut ausgestattete Angreifer heute bereits tun.&nbsp;<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Was_die_EZB_tatsaechlich_fordert\"><\/span>Was die EZB tats\u00e4chlich fordert&nbsp;<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die EZB behauptet nicht, dass KI-Bedrohungen etwas v\u00f6llig Neues sind. Ihre Einsch\u00e4tzung ist pr\u00e4ziser: KI-Modelle k\u00f6nnen heute autonom und in gro\u00dfem Ma\u00dfstab Schwachstellen aufsp\u00fcren und funktionsf\u00e4hige Exploits erzeugen, was das Ausnutzungsfenster auf nahezu null schrumpfen l\u00e4sst. Eine Verteidigungsstrategie, die mit diesem Tempo nicht mithalten kann, ist keine Strategie mehr. Und DORA stellt die EZB dabei nicht in Frage, sondern die Konsequenz, mit der seine Anforderungen bislang umgesetzt wurden.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Was das konkret bedeutet: Jedes Institut muss bis zum 31. Oktober 2026 einen detaillierten Aktionsplan bei seinem Joint Supervisory Team einreichen. Der Plan soll vier Fragen beantworten: Welche Kontrollen werden gest\u00e4rkt, welche Ressourcen daf\u00fcr eingeplant, wer ist verantwortlich und bis wann. Damit sich die Institute darauf konzentrieren k\u00f6nnen, hat die EZB die Frist f\u00fcr den j\u00e4hrlichen IT-Risikofragebogen von September 2026 auf Februar 2027 nach hinten verschoben.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Kurzfristig liegt der Schwerpunkt auf Schwachstellen- und Patch-Management, verbesserter Erkennung, KI-gest\u00fctzter Abwehr und einer gr\u00fcndlichen Neubewertung von Drittanbieterrisiken vor dem Hintergrund zunehmender Lieferkettenangriffe. Langfristig erwartet die EZB Defence-in-Depth, Zero-Trust-Architektur, Netzwerk-Mikrosegmentierung und eine belastbare Cyber-Hygiene-Basis. F\u00fcr Legacy-Systeme braucht es einen glaubw\u00fcrdigen Abl\u00f6sepfad. Gesondert wird eine Aufsichtsleitlinie zur Post-Quanten-Kryptografie folgen, da Quantencomputing als aufkommende Bedrohung f\u00fcr klassische Verschl\u00fcsselung eingestuft wird und Institute nach Ansicht der EZB bereits jetzt beginnen sollten, sich darauf vorzubereiten.&nbsp;<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Die_sechs_Handlungsfelder_Was_sie_in_der_Praxis_bedeuten\"><\/span>Die sechs Handlungsfelder: Was sie in der Praxis bedeuten&nbsp;<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">1. Angriffsfl\u00e4che sch\u00fctzen&nbsp;<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ein umfassendes und kontinuierlich aktualisiertes Inventar aller IKT-Assets ist die Grundlage, auf der alles andere aufbaut. Dabei geht es nicht nur um das, was die eigenen Teams eingesetzt haben, sondern ausdr\u00fccklich auch um Software von Drittanbietern und Open-Source-Komponenten. Bei der Priorisierung von Behebungsma\u00dfnahmen empfiehlt sich eine Au\u00dfen-nach-innen-Logik; Internetexponierte und extern erreichbare Assets wie Cloud-Umgebungen oder VPN-Verbindungen zu Drittanbietern verdienen die h\u00f6chste Aufmerksamkeit, bevor der Blick nach innen geht. Allerdings sollte dabei nicht der Fehler gemacht werden, interne Bedrohungsvektoren als nachrangig zu behandeln.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><em>Regulatorische Grundlage<\/em><\/strong>:&nbsp;&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>DORA Art. 8 (IKT-Asset-Inventar), und DORA Art. 28-44 (Drittanbieter-Risikomanagement)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CRA Art. 13(5)-(6) und Anhang I Teil II (Umgang mit Schwachstellen in der Lieferkette).&nbsp;&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CERT-EU stellt fest, dass die Ausnutzung internetexponierter Software seit zwei aufeinanderfolgenden Jahren der wirksamste initiale Zugriffsvektor gegen EU-Einrichtungen war.&nbsp;<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">2. Schwachstellen- und Patch-Management im gro\u00dfen Ma\u00dfstab beschleunigen&nbsp;<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Das Patch-Problem ist nicht allein technischer Natur, sondern zu einem erheblichen Teil auch organisatorisch. KI-basierte Scan-Tools k\u00f6nnen bei der Priorisierung sinnvoll unterst\u00fctzen, allerdings nur dann wenn sie mit angemessener Risikobewertung, menschlicher Aufsicht und klaren Sicherheitsvorkehrungen betrieben werden. Daneben brauchen IKT-Teams schlicht ausreichend Personal, um h\u00f6here Patch-Zyklen operativ stemmen zu k\u00f6nnen. Change-Management-Prozesse m\u00fcssen so gestaltet sein, dass sie eine schnelle, risikobasierte Behebung erm\u00f6glichen und klare Eskalationswege f\u00fcr Notf\u00e4lle vorsehen. Wo IKT-Dienstleistungen ausgelagert sind, m\u00fcssen genau diese Erwartungen in den entsprechenden SLAs verankert sein.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Datenlage l\u00e4sst wenig Interpretationsspielraum, denn ENISA stellt fest dass neu bekannt gewordene Schwachstellen bereits innerhalb von 15 Minuten nach ihrer Offenlegung als Waffe eingesetzt werden k\u00f6nnen. CERT-EU dokumentiert, wie Angreifer automatisiertes Patch-Diffing mit KI-gest\u00fctzter Exploit-Generierung kombinieren, um aus einem ver\u00f6ffentlichten Patch r\u00fcckw\u00e4rts auf die zugrundeliegende Schwachstelle zu schlie\u00dfen und innerhalb weniger Tage funktionierende Angriffe zu entwickeln. Change Advisory Boards, die w\u00f6chentlich tagen, sind f\u00fcr diese Realit\u00e4t schlicht nicht ausgelegt.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><em>Regulatorische Grundlage<\/em><\/strong>:&nbsp;&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>DORA Art. 9 (IKT-Sicherheitsrichtlinien, Patch- und Change-Management), und DORA Art. 30 (Patch-Verpflichtungen in Drittanbieter-SLAs)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CRA Anhang I Teil II (Herstellerpflichten zur Behebung)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>EU AI Act Art. 14-15 (Aufsicht \u00fcber KI-Tools).&nbsp;<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">3. Monitoring, Erkennung und KI-gest\u00fctzte Abwehrf\u00e4higkeiten verbessern&nbsp;<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ein verbessertes Monitoring von Anwendungs- und Zugriffsprotokollen, Netzwerkverkehr und Indicators of Compromise bildet die operative Grundlage f\u00fcr alles, was danach kommt, mit besonderem Augenmerk auf internetexponierte Anwendungen, Cloud-Repositorys und kritische interne Systeme. KI-basierte Erkennungstools werden dabei ausdr\u00fccklich bef\u00fcrwortet, unterliegen jedoch denselben Governance-Anforderungen wie andere KI-gest\u00fctzte Werkzeuge: vorherige Risikobewertung, menschliche Aufsicht und robuste Sicherheitsvorkehrungen.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das eigentliche Erkennungsproblem in den meisten Instituten ist dabei kein Datenmangel. ENISA hat festgestellt, dass bei 75 Prozent der untersuchten Sicherheitsvorf\u00e4lle Protokolldaten vorhanden waren, die den Einbruch h\u00e4tten sichtbar machen k\u00f6nnen. Das Problem war, dass die relevanten Signale \u00fcber verschiedene Tools verteilt lagen und nie zu einer verwertbaren Handlungsgrundlage zusammengef\u00fchrt wurden. Genau diese L\u00fccke zwischen vorhandenen Daten und operativem Lagebewusstsein soll KI-gest\u00fctzte Erkennung schlie\u00dfen. Aus diesem Grund fordert ENISA, dass Security Operations auf eine mittlere Erkennungs- und Reaktionszeit im einstelligen Minutenbereich hinarbeiten, anstatt Erkennung weiterhin als periodische oder reaktive Funktion zu behandeln.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><em>Regulatorische Grundlage<\/em><\/strong>:&nbsp;&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>DORA Art. 10 (Vorfallserkennungsmechanismen), und DORA Art. 17 (Vorfallsmanagement)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>EU AI Act Art. 14-15&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>ENISA Multilayer Framework for Good Cybersecurity Practices for AI.&nbsp;<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">4. Governance, Finanzierung, Sensibilisierungsschulungen und Lieferkettensicherheit st\u00e4rken&nbsp;<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die entscheidende Frage f\u00fcr Leitungsorgane ist nicht, ob IKT-Budgets und Personalausstattung auf dem Papier vertretbar aussehen, sondern ob sie f\u00fcr das ausreichen, was beschleunigte Patch-Zyklen, kontinuierliche Resilienztests und KI-gest\u00fctzte Abwehrf\u00e4higkeiten in der Praxis tats\u00e4chlich verlangen. In vielen Instituten wird eine ehrliche Antwort darauf unbequem sein, und die EZB ist sich dessen erkennbar bewusst. Dasselbe gilt f\u00fcr Sensibilisierungsschulungen: Programme, die einmal j\u00e4hrlich aktualisiert und einheitlich durch die gesamte Organisation geschickt werden, sind f\u00fcr ein Bedrohungsumfeld, das sich w\u00f6chentlich ver\u00e4ndert, schlicht nicht gemacht. Schulungen m\u00fcssen rollenspezifisch gestaltet sein, wo sinnvoll auf Kunden und Dritte ausgeweitet werden und als lebendiger Bestandteil des Sicherheitsprogramms behandelt werden, nicht als j\u00e4hrliche Pflicht\u00fcbung, die man abhakt.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bei der Lieferkette ist die Erwartungshaltung der EZB ebenso klar. Die Verantwortung f\u00fcr die Sicherheitslage beauftragter IKT-Dienstleister l\u00e4sst sich nicht delegieren, und die EZB r\u00e4umt keinerlei Spielraum f\u00fcr die Annahme ein, dass Dienstleister beschleunigte Patch-Verpflichtungen erf\u00fcllen, ohne dass dies ausdr\u00fccklich vereinbart und \u00fcberpr\u00fcft wird. ENISA erg\u00e4nzt eine Bedingung, die f\u00fcr den gesamten Bereich gilt: Wo KI-gest\u00fctzte Workflows in den Sicherheitsbetrieb eingef\u00fchrt werden, m\u00fcssen menschliche Aufsicht und Nachvollziehbarkeit von Anfang an im Design verankert sein, nicht nachtr\u00e4glich hinzugef\u00fcgt werden. Governance, die erst im Nachhinein in einen KI-gesteuerten Triage-Prozess eingebaut wird, ist keine Aufsicht. Sie ist die Simulation von Aufsicht.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><em>Regulatorische Grundlage<\/em><\/strong>:&nbsp;&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>DORA Art. 5 (IKT-Risikoverantwortung auf Vorstandsebene), DORA Art. 13 (Sicherheitsbewusstsein und Schulungen), und DORA Art. 28-44 (Lieferkettenverantwortung)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CRA Art. 13(5) und Anhang I Teil II&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>EU AI Act Art. 26 (Betreiberpflichten f\u00fcr Hochrisiko-KI-Systeme).&nbsp;<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">5. Defence-in-Depth, Cyber-Hygiene und Infrastrukturmodernisierung st\u00e4rken&nbsp;<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Dass Institute damit rechnen sollten, dass ein Sicherheitsvorfall letztlich eintritt, ist keine pessimistische Grundhaltung, sondern operativer Realismus, und die EZB leitet ihre Kontrollanforderungen konsequent aus dieser Pr\u00e4misse ab. Netzwerksegmentierung und, wo technisch m\u00f6glich, Mikrosegmentierung sind der praktische Ausdruck davon: Wenn ein Perimeterschutz versagt, sollte die Architektur selbst begrenzen, wie weit ein Angreifer vordringen kann. Zero-Trust-Prinzipien erweitern diese Logik und erfordern eine kontinuierliche Verifikation \u00fcber Nutzer, Ger\u00e4te, Anwendungen, APIs und Service-Accounts hinweg, anstatt allem innerhalb der Netzwerkgrenze implizites Vertrauen entgegenzubringen.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Darunter liegt eine Reihe von Hygiene-Kontrollen, die die EZB als nicht verhandelbar einstuft, gerade weil sie in der Praxis so h\u00e4ufig zugunsten sichtbarerer Investitionen zur\u00fcckgestellt werden: vollst\u00e4ndige Asset-Inventare, sichere Konfigurationen, Least-Privilege-Zugang, MFA und eine Protokollierung, die tats\u00e4chlich vollst\u00e4ndig genug ist, um im Ernstfall verwertbar zu sein. Security-by-Design muss von den fr\u00fchesten Phasen der Softwareentwicklung an mitgedacht werden, nicht als nachtr\u00e4gliche Schicht. Legacy- und End-of-Life-Systeme brauchen einen glaubw\u00fcrdigen Abl\u00f6sepfad, und wo eine sofortige Abl\u00f6sung nicht realisierbar ist, m\u00fcssen kompensierende Kontrollen dokumentiert und aktiv gepflegt werden, nicht nur einmalig festgehalten und danach aus dem Blick verloren. ENISA geht noch einen Schritt weiter und empfiehlt, jede Umgebung als potenziell bereits kompromittiert zu betrachten und KI-gest\u00fctztes Bedrohungsmodellieren als dauerhafte F\u00e4higkeit zu etablieren, nicht als gelegentliche \u00dcbung.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><em>Regulatorische Grundlage<\/em><\/strong>:&nbsp;&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>DORA Art. 9 (mehrschichtige IKT-Sicherheitskontrollen), und DORA Art. 8 (Asset-Inventar)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CRA Art. 13 und Anhang I Teil I (Security by Design)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>EU AI Act Art. 14-15&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>ENISA Multilayer Framework for Good Cybersecurity Practices for AI.&nbsp;<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">6. Operative Resilienz, Krisenmanagement und Informationsaustausch verbessern&nbsp;<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ein Business-Continuity-Plan, der nur gegen bekannte und klar umrissene Szenarien getestet wurde, ist keine Resilienzf\u00e4higkeit, sondern ein Dokument, das Resilienz lediglich beschreibt. Die EZB erwartet, dass Resilienztests explizit jene Bedingungen abdecken, die einen Plan am wahrscheinlichsten an seine Grenzen bringen: Zero-Day-Ausnutzung, Ransomware, destruktive Angriffe und St\u00f6rungen, die nicht im eigenen Perimeter entstehen, sondern in der Lieferkette oder in Cloud-Umgebungen. Backup- und Failover-Vorkehrungen verdienen dieselbe kritische Betrachtung. Zu pr\u00fcfen, ob sie unter realistischen Bedingungen funktionieren, ist eine grundlegend andere \u00dcbung als zu pr\u00fcfen, ob sie \u00fcberhaupt vorhanden sind, und die EZB erwartet, dass Institute diesen Unterschied nicht nur kennen, sondern auch danach handeln.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bei der Frage des Informationsaustauschs spiegelt die EZB etwas wider, das die Bedrohungsdaten konsequent belegen: Finanzinstitute, die denselben Angreifern und derselben Schwachstellenlandschaft ausgesetzt sind, gewinnen mehr durch den gezielten Austausch von Intelligence, als wenn sie diese als propriet\u00e4r behandeln. Schwachstellendaten, Bedrohungsindikatoren und Erkenntnisse \u00fcber erfolgreiche Behebungsans\u00e4tze, die mit Branchenkollegen geteilt werden, verk\u00fcrzen die Reaktionszeit f\u00fcr alle Beteiligten im Netzwerk. Wer diese Informationen zur\u00fcckh\u00e4lt, sch\u00fctzt damit keinen Wettbewerbsvorteil, sondern den des Angreifers.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><em>Regulatorische Grundlage<\/em><\/strong>:&nbsp;&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>DORA Art. 11 (Business Continuity und Disaster Recovery), DORA Art. 15 (Tests der IKT-Gesch\u00e4ftskontinuit\u00e4t), DORA Art. 17 (Vorfallsmanagement), und DORA Art. 45 (freiwillige Informationsaustauschvereinbarungen)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>ENISA Multilayer Framework for Good Cybersecurity Practices for AI (Juni 2023)&nbsp;<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>TIBER-EU (aktualisiert Januar 2025) \u2013 abgestimmt auf die technischen DORA-Regulierungsstandards f\u00fcr bedrohungsgef\u00fchrte Penetrationstests, einschlie\u00dflich obligatorischer Purple-Team-\u00dcbungen.&nbsp;<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"31_Oktober_im_Blick_Wie_resilient_ist_Ihr_Institut\"><\/span>31. Oktober im Blick: Wie resilient ist Ihr Institut?<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Frist bis zum 31. Oktober ist knapp und die Anforderungen gehen deutlich \u00fcber eine regulatorische Pflicht\u00fcbung hinaus.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wie gut ist Ihr Institut auf die neue Geschwindigkeitsasymmetrie vorbereitet? Welche der sechs Handlungsfelder sind bereits belastbar umgesetzt? Wo besteht noch konkreter Handlungsbedarf?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gerne tauschen wir uns dazu aus, wie sich die Anforderungen der EZB in einen priorisierten und umsetzbaren Aktionsplan \u00fcbersetzen lassen. <a href=\"https:\/\/www.secuinfra.com\/de\/contact\/\" target=\"_blank\" rel=\"noopener\">Kontaktieren<\/a> Sie unsere Experten.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Referenzen&nbsp;<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">EZB, \u201eAddressing AI-enabled Cybersecurity Threats&#8220; (Juli 2026) &#8211; <a  href=\"https:\/\/www.bankingsupervision.europa.eu\/press\/letterstobanks\/shared\/pdf\/2026\/ssm.2026_letter_on_AI_enabled_cybersecurity_threats.en.pdf\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.bankingsupervision.europa.eu\/press\/letterstobanks\/shared\/pdf\/2026\/ssm.2026_letter_on_AI_enabled_cybersecurity_threats.en.pdf<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">CERT-EU, \u201eAI is changing the economics of vulnerability discovery&#8220; (April 2026) &#8211; <a  href=\"https:\/\/cert.europa.eu\/blog\/ai-vulnerability-discovery-defenders-must-adapt\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/cert.europa.eu\/blog\/ai-vulnerability-discovery-defenders-must-adapt<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">CERT-EU, Threat Landscape Report 2025 (April 2026) &#8211; <a  href=\"https:\/\/www.cert.europa.eu\/publications\/threat-intelligence\/tlr2025\/pdf\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.cert.europa.eu\/publications\/threat-intelligence\/tlr2025\/pdf<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">CrowdStrike, 2026 Threat Hunting Report Blogbeitrag (August 2026) &#8211; <a  href=\"https:\/\/www.crowdstrike.com\/en-us\/blog\/crowdstrike-2026-threat-hunting-report\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.crowdstrike.com\/en-us\/blog\/crowdstrike-2026-threat-hunting-report\/<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ENISA, \u201eCybersecurity in the Frontier AI Era&#8220; (Juli 2026) &#8211; <a  href=\"https:\/\/www.enisa.europa.eu\/publications\/enisas-view-on-cybersecurity-in-the-frontier-ai-era\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.enisa.europa.eu\/publications\/enisas-view-on-cybersecurity-in-the-frontier-ai-era<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ENISA, Multilayer Framework for Good Cybersecurity Practices for AI (Juni 2023) &#8211; <a  href=\"https:\/\/www.enisa.europa.eu\/publications\/multilayer-framework-for-good-cybersecurity-practices-for-ai\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.enisa.europa.eu\/publications\/multilayer-framework-for-good-cybersecurity-practices-for-ai<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ESRB, Warnung zu systemischen Cyberrisiken durch KI-Frontier-Modelle (Juni 2026) &#8211; <a  href=\"https:\/\/www.esrb.europa.eu\/pub\/pdf\/warnings\/esrb.warning260625_on_systemic_cyber_risks_stemming_from_frontier_ai_models~ef424708cf.en.pdf\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.esrb.europa.eu\/pub\/pdf\/warnings\/esrb.warning260625_on_systemic_cyber_risks_stemming_from_frontier_ai_models~ef424708cf.en.pdf<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Google Mandiant, M-Trends 2026 (M\u00e4rz 2026) &#8211; <a  href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/m-trends-2026\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/m-trends-2026\/<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">TIBER-EU Framework (aktualisiert Januar 2025) &#8211; <a  href=\"https:\/\/www.ecb.europa.eu\/paym\/cyber-resilience\/tiber-eu\/html\/index.en.html\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.ecb.europa.eu\/paym\/cyber-resilience\/tiber-eu\/html\/index.en.html<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Verordnung (EU) 2022\/2554, Digital Operational Resilience Act (DORA) &#8211; <a  href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2022\/2554\/oj\/eng\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/eur-lex.europa.eu\/eli\/reg\/2022\/2554\/oj\/eng<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Verordnung (EU) 2024\/1689, Artificial Intelligence Act (EU AI Act) &#8211; <a  href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/1689\/oj\/eng\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/1689\/oj\/eng<\/a>&nbsp;&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Verordnung (EU) 2024\/2847, Cyber Resilience Act (CRA) &#8211; <a  href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/eng\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/eng<\/a>&nbsp;&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Als die Europ\u00e4ische Zentralbank am 7. Juli 2026 einen Brief an die CEOs der beaufsichtigten Institute verschickte, war die Sto\u00dfrichtung klar: Unter dem Titel \u201eAddressing AI-enabled cybersecurity threats&#8220; fordert die EZB, dass sich die Institute ernsthaft und nachweislich mit KI-gest\u00fctzten Cyberbedrohungen auseinandersetzen und bis zum 31. Oktober 2026 einen Aktionsplan bei ihrem jeweiligen Joint Supervisory Team einreichen.<\/p>\n","protected":false},"author":50,"featured_media":66549,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"dpc_author_order":[33],"footnotes":""},"categories":[772,848,66],"tags":[],"class_list":["post-66528","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity-trends","category-ki","category-techtalk"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/66528","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/comments?post=66528"}],"version-history":[{"count":4,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/66528\/revisions"}],"predecessor-version":[{"id":66556,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/66528\/revisions\/66556"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/media\/66549"}],"wp:attachment":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/media?parent=66528"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/categories?post=66528"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/tags?post=66528"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}