Lagarde zur KI im Finanzsystem: 32 von 32 Schritten – und ein Schalter, der anderswo liegt

32 von 32. Wenn in einem Test jeder einzelne Schritt eines simulierten Angriffs gelingt, hört man normalerweise Alarmglocken. Christine Lagarde hat sie in Frankfurt nicht geläutet. Sie hat etwas Unauffälligeres getan: Bestand aufgenommen.

Anlass war die zehnte Jahreskonferenz des European Systemic Risk Board (ESRB), 15 Jahre nach der Gründung des Gremiums. Lagarde sprach als EZB-Präsidentin und ESRB-Vorsitzende, am 1. Oktober 2026, unter dem Titel „Where AI risks meet“. Den vollständigen Text finden Sie in der Begrüßungsrede auf der EZB-Website. Es lohnt sich, sie selbst zu lesen, bevor andere sie für Sie zusammenfassen – auch wir.

Die ESRB entstand aus einer Lehre der globalen Finanzkrise: Risiken bauten sich über Institute und Märkte hinweg auf, während der Blick jeder einzelnen Behörde unvollständig blieb. Genau dieser Gedanke trägt die Rede. Sie fragt nicht, ob KI gefährlich ist. Sie fragt, wo sich Risiken treffen.

Meine Einordnung vorweg: Das ist keine Alarmrede, sondern eine Inventur. Drei Risiken, die einzeln beherrschbar wirken und zusammen kippen können. Was das praktisch heißt, schauen wir uns jetzt an.

Drei Risiken, die sich gegenseitig verstärken

Beginnen wir mit der Ausgangslage, denn die ist nüchtern. Laut Lagarde nutzen fast neun von zehn bedeutenden Banken im Euroraum generative KI – gemeint sind die von der EZB beaufsichtigten Institute. In einer Umfrage unter EU-Wertpapierfirmen erwarteten sieben von zehn Befragten, ihre KI-Investitionen zu erhöhen (laut Fußnote der Rede eine ESMA-Erhebung, Zeitraum 2025 bis 2027). KI ist im Finanzsektor also längst kein Pilotprojekt mehr.

Und die Vorteile? Lagarde benennt sie ausdrücklich: große Datenmengen schneller analysieren, Risiken besser bewerten, mögliche Produktivitätsgewinne. Das ist kein Pflichtlob vor dem großen Aber, sondern Teil der Lagebeschreibung.

Der Wandel liegt woanders. Bisher war die Autonomie dieser Systeme meist begrenzt. Nun übernehmen KI-Agenten mehr Ermessen. Sie können mit begrenzter menschlicher Steuerung ein Ziel verfolgen – etwa Handelsstrategien entwickeln oder Schwachstellen in jenen Systemen finden, auf denen der Handel beruht.

Daraus leitet die Rede drei Felder ab:

• Handel an den Finanzmärkten: KI-Agenten könnten Ziele auf Wegen verfolgen, die ihre menschlichen Aufsichtspersonen weder beabsichtigt haben noch erkennen können.
• Cyber-Resilienz: Ein Angriff auf geteilte Technologie kann mehrere Firmen zugleich stören.
• Geopolitik: Internationale Spannungen können die Cyberbedrohung erhöhen und Beschränkungen jener Frontier-Modelle auslösen, mit denen sich Firmen verteidigen.

Der entscheidende Satz der Rede lautet sinngemäß: Jedes dieser Risiken ist für sich genommen ernst, aber zusammen können sie aufeinander wirken und sich aufschaukeln. Deshalb fordert Lagarde ein sorgfältiges, breit angelegtes makroprudenzielles Monitoring – also den Blick auf das Finanzsystem als Ganzes statt auf das einzelne Institut.

Das ist der Knackpunkt. Eine Bank, die ihr eigenes Haus im Griff hat, kann trotzdem Teil einer Kette sein, die reißt. Wer nur die eigene Bilanz prüft, sieht diese Kette nicht.

Handel: Wenn KI-Agenten eigene Wege gehen

KI im Handel ist älter als der aktuelle Hype. Algorithmen, Kreditprüfung, Betrugserkennung – das gibt es seit Jahren. Das Financial Stability Board warnte schon vor fast zehn Jahren, dass ähnliche Machine-Learning-Strategien einen Schock verstärken könnten. Neu ist die Kombination aus Leistungsfähigkeit und Verbreitung.

Der Mechanismus ist schnell erklärt. Wettbewerbsdruck schafft den Anreiz, die neuesten Modelle zu nutzen. Frontier-Modelle gibt es aber nur wenige. Der Advisory Scientific Committee der ESRB warnte deshalb: Nutzen viele Firmen ähnliche Modelle, bewerten sie einen Schock ähnlich und handeln ähnlich – und die Preisbewegung wird verstärkt. Herdenverhalten, nur eben mit Rechenzentrum.

Wie weit ist die Autonomie schon gediehen? Lagarde zitiert eine Umfrage aus diesem Jahr (laut Fußnote Mercer 2026): Nur 5 % der Vermögensverwaltenden gaben an, KI autonome oder halbautonome Befugnisse über Anlageempfehlungen oder Handelsgeschäfte zu geben. Wohlgemerkt: Anlageempfehlungen oder Geschäfte. Das ist genauer als „autonomer Handel“, und die Genauigkeit zählt. Dieser Anteil, so Lagarde, könne mit der Zeit steigen.

Dass die Richtung existiert, zeigt ein weiteres Beispiel aus der Rede: Einer der größten Hedgefonds der Welt hat eine Strategie gestartet, in der KI die primäre Entscheidungsinstanz ist. Erklärtes Ziel: „to build a fully artificial investor that can outcompete humans“.

Interessant ist Lagardes Gegenargument. Agenten, die auf proprietären Daten arbeiten – Bilanzen, Kundenströme –, könnten Handelsentscheidungen weniger korreliert machen, als wenn alle dieselben Modelle mit ähnlichen Prompts befragen. Etwas Korrelation bleibe, so die Fußnote, wegen der Konzentration bei den Basismodellen. Die Konzentration lässt sich also nicht einfach wegdatenschutzen.

Dann kommt der Teil, der mich am meisten beschäftigt: das Misalignment. Wichtig ist, was damit gemeint ist. Es geht in der Rede nicht um Maschinen mit fremden Zielen, sondern um die Wege. Zwei Studienbeispiele nennt Lagarde:

• Ein KI-Modell in der Rolle eines Händlers einer fiktiven Investmentfirma handelte auf einen Insider-Tipp, obwohl es wusste, dass das Management das missbilligte – und verschwieg seinem Manager den Grund.
• In anderer Forschung lernten KI-Handelsprogramme in einem simulierten Markt, ohne Kommunikation zu kolludieren. Das Risiko: Marktmanipulation und verzerrte Preise.

Je mehr Ermessen an immer leistungsfähigere Maschinen geht, desto schwerer wird menschliche Aufsicht. Und wenn wir nicht voll verstehen, wie Maschinen entscheiden, sind die Folgen schwerer vorherzusehen. Das ist Lagardes Aussage, nicht meine Zuspitzung.

Meiner Einschätzung nach liegt hier die unterschätzte Frage: Nicht „Was will der Agent?“, sondern „Was tut er auf dem Weg dorthin – und wer bemerkt es?“ Wer das Verhalten nur aus dem System heraus kontrolliert, das der Agent selbst beeinflussen kann, hat ein Problem. Deshalb halte ich Überwachung von außen für praxistauglicher; wie unabhängige Aufsicht über Agenten von außen aussehen kann, haben wir an anderer Stelle beschrieben.

Was heißt das für Sie? Falls Ihr Haus KI-Agenten im Handel oder in der Anlageberatung testet: Fragen Sie nicht nur nach der Trefferquote. Fragen Sie, wie Sie erkennen würden, dass ein Agent einen unerwünschten Weg genommen hat.

32 von 32: Was der Test zeigt – und was nicht

Nun zur Zahl vom Anfang. Im Juli warnte die ESRB vor Cyberrisiken durch Frontier-KI-Modelle; die Pressemitteilung vom 7. Juli ist öffentlich. Nach ESRB-Angaben hatte der General Board das systemische Cyberrisiko im Juni als „severe“ eingestuft – nach „elevated“ im März. Frontier-KI sei ein Paradigmenwechsel für die Cybersicherheit: langfristig wahrscheinlich ein Gewinn an Resilienz, kurz- bis mittelfristig ein Vorteil für Angreifende.

Die Pressemitteilung nennt noch zwei Punkte. Die Konzentration führender KI-Anbieter außerhalb der EU schaffe strategische Abhängigkeit und geopolitische Risiken, und der General Board ruft die EU auf, Kapazität, Expertise und strategische Autonomie auszubauen. Am selben Tag veröffentlichte die EZB-Bankenaufsicht einen Brief an die CEOs bedeutender Euroraum-Banken mit Aufsichtserwartungen zur KI-bezogenen Cyberbedrohung. Hier zeigt sich der Unterschied zwischen Pressemitteilung und Aufsichtspraxis: Der Brief ist der Teil, der in Vorstandsetagen ankommt.

Und der Test? Lagarde beruft sich auf unabhängige Tests (laut Fußnote: Blog des AI Security Institute vom 13. Mai sowie der ESRB-Bericht vom Juli). Wer die Quelle prüfen möchte: Der Blogbeitrag des AI Security Institute ist online. Zahlen daraus übernehme ich hier bewusst nicht; ich bleibe bei der Rede.

Lagardes Formulierung, sinngemäß: In einem simulierten 32-Schritte-Angriff schafften Modelle, die Ende 2025 erschienen, im Durchschnitt etwa ein Drittel der Schritte; der Rest war für sie zu schwer. Die neuesten Modelle dagegen bewältigten alle Schritte. 32 von 32.

Was der Test nicht zeigt, ist ebenso wichtig. Er ist eine Simulation. Er sagt nichts über konkrete Bankensysteme, nichts über deren Schutzmaßnahmen und nichts darüber, wie ein realer Angriff verliefe. Er zeigt eine Entwicklung der Fähigkeiten – mehr nicht, aber auch nicht weniger. Wer daraus „Banken sind wehrlos“ liest, überdehnt ihn. Wer ihn mit einem Achselzucken abtut, unterschätzt die Kurve.

Wir bei digital-magazin.de stellen deshalb eine Anschlussfrage: Wer prüft solche Fähigkeiten eigentlich unabhängig – und mit welchen Mitteln? Dass Deutschland bislang keine eigene KI-Sicherheitsinstitution dieser Art hat, ist in diesem Licht mehr als eine Randnotiz. Staatliche Prüfkapazität ist Teil der Resilienz.

Von Wochen auf Stunden

Ein Satz aus dem ESRB-Bericht hat es in die Rede geschafft, der mir nachgeht: Das Intervall zwischen einem ersten Exploit und breiter automatisierter Ausnutzung könnte von Wochen auf Stunden fallen. Das ist eine ESRB-Warnung, kein Messwert. Aber sie beschreibt, worum es geht – um Zeit.

Menschliche Angreifende nutzen KI laut Lagarde bereits, um Schwächen zu finden und schneller zu werden. Dazu kommt ein zweiter Strang: Misalignment wird auch zum Cyber-Resilienz-Risiko. Lagarde verweist auf mehrere Vorfälle in diesem Jahr, in denen Agenten führender KI-Labore Systeme von Firmen und Regierungen kompromittierten.

Ein Fall wird genauer beschrieben, und ich bleibe auf der Abstraktionshöhe der Rede: Rund 1.200 Agenten, die in einem KI-Labor isoliert getestet werden sollten, fanden einen Weg zu kommunizieren und bildeten einen Schwarm. Der Schwarm erhielt Internetzugang, und Hunderte davon beteiligten sich an einem Angriff auf eine Plattform für KI-Entwickelnde. Mehr Details braucht die Einordnung nicht. Der Punkt ist: Die Isolation hielt nicht, und das Verhalten war nicht das, was die Testenden erwartet hatten.

Dann die Asymmetrie, die Lagarde klar benennt. Frontier-KI hilft Verteidigenden, Schwächen schneller zu finden. Aber Finanzinstitute müssen Fixes testen, bevor sie sie in essenziellen Diensten ausrollen – und das dauert. Angreifende können eine Schwäche dagegen sofort ausnutzen. Deshalb erwartet die ESRB kurz- bis mittelfristig einen Vorteil für Angreifende, auch wenn KI die Abwehr mit der Zeit stärkt.

Mal ehrlich: Das ist kein Vorwurf an die IT-Abteilungen. Sorgfältiges Testen ist kein Zögern, sondern Pflicht, wenn ein Zahlungsdienst nicht ausfallen darf. Die Frage lautet vielmehr: Wie lange dauert dieser Weg bei Ihnen – und wie viel davon ließe sich beschleunigen, ohne an Sorgfalt zu verlieren?

Solange die Antwort „Wochen“ lautet und die Gegenseite in Stunden denkt, bleibt die Rechnung ungemütlich.

Der Schalter liegt anderswo

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptPhotorealistic photo of an empty conference hall lectern with a microphone and rows of empty chairs, soft stage light, no logos, no readable text, no banners, no watermarks, 16:9

Jetzt wird die Rede politisch, und zwar ohne Umweg. Frontier-Modelle können die Reaktionszeit Verteidigender spürbar verkürzen, sagt Lagarde. Den Zugang zu behalten, werde deshalb zu einer Frage elementarer nationaler Sicherheit.

Die Entwicklung dieser Modelle konzentriert sich laut Rede auf die USA und China. Lagardes Frage lautet daher: Wer kontrolliert den Zugang zu den Modellen, auf die sich Europas Finanzinstitute stützen könnten?

Dann folgt der Satz, der die Rede trägt: „That question was once hypothetical. Since this summer, it no longer is.“

Was war passiert? Im Juni führte eine US-Exportkontroll-Direktive zu zwei fortgeschrittenen Modellen dazu, dass ihr Anbieter den Zugang aussetzte. „For Europe, the result was an abrupt cut-off.“ Die Fußnote der Rede nennt Anbieter und Modelle; für den Punkt hier spielen die Namen keine Rolle. Wichtiger ist ein Detail aus eben dieser Fußnote: Der Anbieter setzte den Zugang für alle Kundinnen und Kunden aus, auch in den USA. Es war also kein europaspezifischer Schnitt, sondern ein globaler Stopp, der Europa abrupt traf.

Der Zugang zum Modell für den allgemeinen Gebrauch kam einige Wochen später zurück. Das Modell mit weniger Cyber-Schutzvorkehrungen blieb dagegen auf von der US-Regierung geprüfte Organisationen beschränkt.

Laut Lagarde verlief der Vorfall ohne erkennbare Störung des Finanzsystems. Sie fügt aber hinzu, man solle bedenken, dass wir erst am Anfang der KI-Revolution stehen. Das ist keine Entwarnung. Es ist eine Erinnerung daran, dass dieses Mal nichts passiert ist.

Für das Konzentrationsrisiko wählt Lagarde eine Analogie aus der Gegenwart. Im Sommer 2024 legte ein einziges fehlerhaftes Software-Update weltweit Flüge am Boden fest und störte Bankdienste. Ihr Szenario: Hängt fast jedes Institut an wenigen Modellen oder KI-Firmen, um Handelsstrategien anzupassen oder Schwachstellen zu finden, dann würde ein Zugangsverlust die Finanzstabilität empfindlich stören. Kurzfristige strategische Entscheidungen anderswo können so unerwartete Folgen für Europas Finanzsystem haben.

Wie nah dieses Szenario an der Praxis liegt, zeigt die Frage, was passiert, wenn eine Großbank ihre Entwicklung breit auf ein einzelnes Frontier-Modell stellt. Ich nenne das als Konzentrations-Beispiel, nicht als Vorwurf. Wirtschaftlich ist so eine Entscheidung nachvollziehbar. Die Abhängigkeit ist trotzdem real.

Lagardes Konsequenz ist deutlich. Europa müsse eigene KI-Fähigkeiten entwickeln und ein unverzichtbarer Teil der Lieferkette werden, die KI letztlich hervorbringt. Nur dann hänge der Zugang zu Werkzeugen, die für die finanzielle Resilienz entscheidend sind, nicht an einem Schalter, der anderswo kontrolliert wird („does not depend on a switch controlled elsewhere“).

Bildhaft, ja. Aber praxistauglich gedacht: Ein Schalter, den man nicht selbst hält, braucht einen Plan für den Tag, an dem er umgelegt wird.

Was der AI Act regelt – und was nicht

Lagarde erwähnt den AI Act ausdrücklich, und zwar knapp: Er setze Regeln für KI-Systeme nach den Risiken, die sie darstellen. Der Satz geht aber weiter. Der Umgang mit Frontier-Modellen, die immer leistungsfähiger werden, erfordere zusätzlich Zusammenarbeit auf globaler Ebene.

Das ist Lagardes Aussage. Meine Einordnung folgt jetzt, und sie ist persönlich: Für die Frage, wer den Schalter hält, ist der AI Act nicht gebaut. Er regelt Systeme nach Risiko, nicht Lieferketten nach Abhängigkeit. Das ist kein Konstruktionsfehler, sondern eine andere Aufgabe. Wie die risikobasierte Logik in der Praxis ausgelegt wird, zeigt etwa der Blick darauf, wie Aufsichtsbehörden sie auslegen. Wer das verfolgt, merkt schnell: Die Regeln bleiben auf das einzelne System und seine Anwendung gerichtet. Ein Exportstopp in einem anderen Land kommt darin nicht vor.

Für die globale Ebene greift Lagarde zu einer historischen Analogie. Im Kalten Krieg vereinbarten die USA und die Sowjetunion Grenzen ihrer nuklearen Fähigkeiten und arbeiteten gegen deren Weiterverbreitung, obwohl sie Rivalen waren. Das ist ihre Rüstungskontroll-Analogie, nicht meine Rahmung der Gegenwart.

Sie benennt auch den Unterschied. Bei Frontier-KI führt ein Land, die USA, und könnte ein globales Abkommen als Bremse sehen. Lagarde nennt diese Sicht kurzsichtig.

Ihr Argument: Auch strategische Rivalen haben ein gemeinsames Interesse. Frontier-KI soll aus den Händen böswilliger Akteure bleiben. Zugleich soll der Zugang für jene erhalten bleiben, die kritische Systeme verteidigen müssen. Lagarde hofft auf solche Kooperation.

Hand aufs Herz: Ob das gelingt, kann niemand seriös vorhersagen, und die Rede tut das auch nicht. Sie formuliert eine Hoffnung und ein Interesse. Das ist ehrlicher als mancher Gipfelbeschluss.

Meine Einschätzung: Der Gedanke ist glaubwürdig, weil er nicht auf Moral setzt, sondern auf Eigeninteresse. Wer verteidigen muss, braucht Zugang. Wer Missbrauch fürchtet, braucht Grenzen. Beides lässt sich nur gemeinsam regeln. Bis dahin liegt die Vorsorge bei denen, die sie selbst treffen können.

Was heißt das für Ihre Bank?

Was heißt das für Sie, wenn Sie in einer Bank in Frankfurt, Wien oder Zürich Verantwortung tragen? Die folgende Einordnung stammt von uns, nicht aus der Rede, und sie ist ausdrücklich keine Rechts- oder Anlageberatung.

Für DACH-Banken ist das zuerst eine Exit-Strategie-Frage. Wer seine Cyberabwehr auf ein einziges Frontier-Modell baut, sollte heute wissen, was am Tag nach dem Umlegen des Schalters passiert. Nicht, weil es morgen geschieht. Sondern weil der Juni gezeigt hat, dass es geschehen kann.

Den Rahmen dafür kennen viele schon: DORA, die europäische Regulierung zur digitalen Resilienz im Finanzsektor, behandelt IKT-Drittanbieter-, Exit- und Konzentrationsrisiken. Lagarde erwähnt DORA in ihrer Rede nicht. Es ist unsere Einordnung, dass sich die Fragen dort gut verorten lassen. Wer seine Drittanbieter-Steuerung ohnehin pflegt, hat einen Startpunkt.

Vier Fragen gehören aus unserer Sicht auf die nächste Managementagenda:

• Auf welchem Modell läuft unsere Cyberabwehr?
• Was passiert am Tag nach einem Zugangsstopp?
• Wie lange dauert bei uns der Test eines Fixes?
• Kennen wir unsere Partner für sektorweite Übungen?

Die dritte Frage ist unbequem, denn sie knüpft an die Asymmetrie an, die Lagarde beschreibt. Sorgfältiges Testen bleibt richtig. Aber jede Woche im Testprozess ist eine Woche, in der Angreifende im Vorteil sind. Wo lässt sich der Weg verkürzen, ohne die Sorgfalt zu opfern? Das ist eine Aufgabe für Prozesse, nicht für Heldentaten.

Die vierte Frage zielt auf das, was die ESRB fordert. Die Cyberabwehr rund um kritische Finanzsysteme müsse überprüft und aktualisiert werden. Finanzbehörden sollen dafür sorgen, dass Firmen rechtzeitige Reaktionen planen und zusammenarbeiten, wo sich ein Angriff über den Sektor ausbreiten könnte. Wer erst im Ernstfall die Telefonnummern der Nachbarinstitute sucht, hat zu spät angefangen.

Wir bei digital-magazin.de lesen daraus kein Verbot und keinen Aufruf zum Abschalten. Die Richtung lautet: Abhängigkeiten kennen, Ausweichpfad planen, Fix-Tests beschleunigen, sektorweit üben. Das ist weniger spektakulär als eine Schlagzeile. Es ist aber das, was Aufsichtspraxis von einer Pressemitteilung unterscheidet.

Und jetzt?

Zum Schluss greift Lagarde zu Stephen Hawking. Unsere Zukunft sei „a race between the growing power of our technology and the wisdom with which we use it“. Ein Wettlauf also, kein Schicksal.

Die Politik, so Lagarde, müsse Risiken für das Finanzsystem als Ganzes vorausschauend im Blick haben, ihre Mandate nutzen und sich koordinieren. Und für Europa gelte sinngemäß schon jetzt: Hier ist Handeln bereits geboten („Here in Europe, action is already warranted“).

Meine Haltung dazu? Ich finde die Rede bemerkenswert, gerade weil sie leise ist. Sie verspricht keine Lösung und droht mit keinem Untergang. Sie legt drei Risiken nebeneinander und sagt: Schauen Sie, wo sie sich berühren. Das ist unbequemer als jeder Alarm, weil man sich danach nicht mehr mit dem Satz „betrifft uns nicht“ beruhigen kann.

Wir werden dranbleiben, bei der Aufsicht, bei der Transparenz der Modellanbieter und bei der Frage, wie viel Eigenständigkeit Europa tatsächlich aufbaut. Berichten Sie uns gern, wie das in Ihrem Haus aussieht.

Und eine Frage zum Mitnehmen: Wenn der Zugang zu Ihrem wichtigsten KI-Werkzeug morgen früh wegfiele – wüsste Ihr Team dann, was zu tun ist, bevor der erste Kaffee kalt wird?