13.4 — DORA, MaRisk und der AI-Sturm

Worum es geht — und worum nicht

Diese Einheit behandelt nicht die Grundlagen von DORA, MaRisk, BAIT oder dem EU AI Act. Diese Grundlagen werden vorausgesetzt und an mehreren Stellen in der xbank Academy bereits behandelt — insbesondere in Modul 6 (Regulatorik) und in der eigenen DORA-Dokumentenlandschaft, die alle 14 Rechtsakte (Basisverordnung, 8 RTS, 2 ITS, 2 DA, 2 Joint Guidelines) mit Kernaussagen und Originaldokumenten zugänglich macht.

Hier geht es um etwas Spezifischeres: Wo entstehen Reibungspunkte zwischen dem bestehenden Rahmenwerk und AI-getriebenen Bedrohungen? Vier Bereiche stehen im Fokus.

Vier Rahmenwerke nebeneinander

Die folgenden vier Abschnitte behandeln je einen Reibungspunkt — bewusst kurz gehalten, mit Verweis auf die DORA Academy oder die jeweilige Originalquelle für die juristische Tiefe.

DORA Artikel 17 bis 23 regeln das Management und die Meldung schwerwiegender IKT-Vorfälle. Die Klassifizierungskriterien werden in einer eigenen RTS (Delegierte Verordnung 2024/1772) ausdetailliert — alle Details siehe DORA-Dokumentenlandschaft.

Was AI hier besonders verändert:

Die Meldefristen wurden in einer Welt entworfen, in der Vorfälle Stunden oder Tage zur Eskalation brauchten. Erstmeldung innerhalb von 4 Stunden nach Klassifizierung als „schwerwiegend”, Zwischenbericht nach 72 Stunden, Abschlussbericht nach einem Monat. Bei einem 8-Minuten-Angriff (siehe 13.2) ist die Reihenfolge anders: Die technische Eskalation ist abgeschlossen, bevor die Klassifizierung überhaupt stattgefunden hat.

Das führt zu drei praktischen Fragen für die Bank-IT:

• Wann ist ein AI-getriebener Angriff ein schwerwiegender IKT-Vorfall? Die Schwellwerte der RTS (Anzahl betroffener Kunden, Transaktionsvolumen, Datenarten) bleiben gültig — aber die Geschwindigkeit der Eskalation macht es schwer, frühzeitig zu erkennen, ob sie überschritten werden. Empfehlung: Klassifizierungs-Checkliste in das Detection-Tooling integrieren, damit die Lage in Sekunden gemessen wird, nicht in Stunden.
• Was tun in den ersten Minuten? Die DORA-Meldepflicht setzt nach der Klassifizierung ein, nicht vorher. Die ersten 30 bis 60 Minuten sind also technische Eindämmung, parallel dazu Lagebild-Aufbau, parallel dazu Vorbereitung der Meldefähigkeit. Diese drei Spuren brauchen vorab geübte Playbooks.
• Wie umgeht die Bank das Risiko verspäteter Meldungen? Realistisch ist, dass die 4-Stunden-Frist bei AI-getriebenen Vorfällen oft erst nach Beginn der Eindämmung formal startet. Das ist regulatorisch zulässig, sollte aber in der internen Eskalations-Disziplin sauber dokumentiert sein — sonst entsteht später der Vorwurf, die Klassifizierung sei „aus Bequemlichkeit hinausgezögert” worden.

Threat-Led Penetration Testing (TLPT) nach DORA Art. 26–27 verlangt von größeren Finanzunternehmen regelmäßige, bedrohungsorientierte Tests der eigenen Resilienz. Die Methodik orientiert sich am TIBER-EU-Rahmenwerk.

Was AI hier besonders verändert:

Die TLPT-Tests, wie sie bisher konzipiert sind, gehen von menschlich gesteuerten Roten Teams aus. Wenn die echte Bedrohung autonom skaliert, muss das auch im Test abgebildet werden. Drei Konsequenzen:

• Rote Teams nutzen ihrerseits Coding Agents — sonst ist der Test unrealistisch.
• Das Testfenster wird kürzer, weil Angriffsketten schneller laufen.
• Die Bewertungskriterien müssen die Detection- und Response-Geschwindigkeit explizit messen, nicht nur das „Hat ein Tester reingekommen?”.

Für Drittparteien-Risikomanagement (TPRM) nach DORA Art. 28–44 entsteht eine zusätzliche Dimension: Wenn die Bank selbst AI-Werkzeuge einsetzt (siehe 13.3) oder ihre Lieferanten dies tun, sind diese unter den Drittparteien-Rahmen einzuordnen. Bei kritischen Drittanbietern können die ESAs erweiterte Aufsichtsbefugnisse beanspruchen — das ist relevant für Banken, die zentrale AI-Dienste einsetzen.

Die MaRisk regelt das Risikomanagement der Banken, die BAIT ergänzt sie um IT-spezifische Anforderungen — diese werden bereits durch DORA abgedeckt, das seit 17.01.2025 anwendbar ist. Ab 01.01.2027 entfällt die BAIT-Doppelung, DORA + RTS/ITS bilden allein den IT-Rahmen. Beide stehen in einer 9-Stunden-Welt unter Druck — nicht weil sie falsch sind, sondern weil ihre Umsetzungs-Praxis auf längere Zeitskalen kalibriert wurde.

Drei besonders betroffene Stellen:

MaRisk AT 4.4 — Risikomanagement und 2. Verteidigungslinie. Die zweite Linie muss die Wirksamkeit der ersten überwachen. In der traditionellen Praxis bedeutet das quartalsweise Berichte, halbjährliche Reviews. Wenn die Bedrohungslage sich monatlich strukturell verändert, ist diese Frequenz strukturell zu langsam. Empfehlung: Eine 2L-Funktion mit höherer Taktung (mindestens monatlich) für AI-spezifische Bedrohungen, mit klarem Eskalationspfad in den Vorstand bei materiellen Veränderungen.

MaRisk AT 7.2 — Technisch-organisatorische Ausstattung. Die hier verlangte Angemessenheit der IT-Ressourcen ist nicht statisch zu verstehen. „Angemessen für 2022” und „angemessen für 2026” sind nicht dasselbe. Die jährliche Selbstbewertung der IT-Ressourcen muss explizit die AI-Bedrohungslage und die eigene AI-Verteidigungs-Capability adressieren.

DORA Art. 9 (Schutz & Prävention mit Patch-Management) und DORA Art. 17–19 (IKT-Vorfallmanagement, Klassifizierung, Meldung). Die hier geforderten Patch- und Vorfallprozesse sind in den meisten deutschen Banken auf Werktags-Frequenz ausgelegt — diese Themen werden parallel auch in BAIT Kap. 8 (IT-Betrieb) und MaRisk AT 7.3 adressiert. In der neuen Lage müssen sie um zwei Komponenten ergänzt werden: vordefinierte Mitigation-Playbooks für unpatchbare Lücken (siehe 13.2) und vorab autorisierte Containment-Aktionen (siehe 13.3).

Der EU AI Act (Verordnung 2024/1689) trat am 1. August 2024 in Kraft. Die wichtigsten Pflichten für Hochrisiko-KI-Systeme greifen ab 2. August 2026. Für die Bank-IT-Security ergeben sich daraus mehrere Punkte:

Klassifizierung von AI-Systemen in der Sicherheit. Defensive AI-Systeme können je nach Konfiguration unter die Hochrisiko-Klassifizierung fallen — insbesondere, wenn sie autonome Entscheidungen treffen, die Mitarbeiter betreffen (Account-Sperrungen, Privilegienänderungen). Solche Systeme brauchen dann eine vollständige Konformitätsbewertung mit allen formalen Anforderungen.

Verbotene Praktiken. Bestimmte Anwendungen sind seit Februar 2025 ausdrücklich verboten — etwa Social Scoring durch Behörden oder bestimmte Formen der biometrischen Überwachung. Für die Bank-IT relevant: Manche AI-gestützten Mitarbeiter-Monitoring-Funktionen, die unter dem Banner „Insider Threat Detection” verkauft werden, können in diesen Bereich rutschen. Vorher prüfen.

Transparenzpflichten. Wenn Kunden mit einem AI-System interagieren (etwa Chatbot in der Kundenkommunikation), müssen sie darüber informiert werden. Für reine Backend-Sicherheits-AI ist das normalerweise irrelevant — aber bei Mischformen (z.B. AI-gestützte Identitätsverifikation im Onboarding) ist die Pflicht zu beachten.

Dokumentations- und Aufbewahrungspflichten. Hochrisiko-Systeme brauchen eine vollständige technische Dokumentation, eine fortlaufende Risikobewertung und Logs der Systementscheidungen. Das ist für Banken nicht ungewohnt — es überschneidet sich erheblich mit DORA- und MaRisk-Pflichten.

Ein Banking-spezifisches Risikoregister für AI

Das CSA-Strategy-Briefing („AI Vulnerability Storm”) liefert ein generisches Risikoregister mit 13 Einträgen, gemappt auf OWASP LLM Top 10, OWASP Agentic Top 10, MITRE ATLAS und NIST CSF 2.0. Hier ist eine banking-übersetzte Kurzfassung auf 8 Einträge, ausgerichtet an MaRisk-Risikokategorien und DORA-Pflichten:

Dieses Register ist als Startpunkt gedacht, nicht als Vollständigkeit. Jede Bank wird Eintrag 4 (TPRM) anders kalibrieren als eine andere, und Eintrag 7 (EU AI Act) hängt davon ab, wie umfangreich die eigene AI-Nutzung schon ist.

Banking-Szenario: Die xbank am Tag X+2

Was du aus dieser Einheit mitnimmst

1. DORA, MaRisk und der EU AI Act sind nicht durch AI obsolet — aber sie stehen unter Stress, weil ihre Praxis auf andere Zeitskalen kalibriert wurde. BAIT befindet sich in der Übergangsphase bis 31.12.2026.
2. Die DORA-Meldefristen (4 / 72 Stunden, 1 Monat) bleiben gültig, müssen aber mit Klassifizierungs-Tooling kombiniert werden, das in Sekunden urteilt.
3. MaRisk AT 4.4 verlangt jetzt eine taktreichere 2L-Funktion; AT 7.2 fordert die explizite Adressierung der AI-Lage in der jährlichen Selbstbewertung.
4. Der EU AI Act ab August 2026 bringt eine zweite Aufsichtslinie ins Spiel — relevant für autonome Defensive-Systeme und Misch-Anwendungen mit Kundenkontakt.
5. Ein banking-übersetztes Risikoregister mit 8 Einträgen ist der pragmatische Startpunkt für die eigene Bank.

In 13.5 fügen wir alles zusammen: ein 90-Tage-Plan für die xbank, mit Verantwortlichkeiten über die drei Verteidigungslinien und einer Vorlage für das Vorstands-Briefing.

Quellen und weiterführendes Material

• xbank Academy — DORA-Dokumentenlandschaft — alle 14 Rechtsakte mit Kernaussagen und Originallinks
• BaFin — MaRisk Rundschreiben 05/2023 — aktuelle Fassung der MaRisk
• BaFin — BAIT Rundschreiben 10/2021 — aktuelle, bis 31.12.2026 gültige Fassung; ab 2027 ersetzt durch DORA + RTS/ITS
• EU AI Act — Verordnung 2024/1689 im EUR-Lex
• EBA — Operational Resilience und DORA
• Modul 6 dieser Academy — Regulatorik-Grundlagen
• Modul 7 dieser Academy — Drittanbieter-Risikomanagement
• Modul 9 dieser Academy — Vorfallmanagement nach ISO 27035