„Das ist die größte Bedrohung der nächsten Jahre.“ Mit diesen Worten beschreibt Erste-Group-Chef Peter Bosek das wachsende Gewicht operativer Risiken durch Cyberangriffe oder KI für die Banken. Auf der 17. FMA-Aufsichtskonferenz in Wien wurde deutlich: Die europäischen Banken sind heute deutlich robuster aufgestellt als vor der Finanzkrise, was die finanziellen Risikokennzahlen betrifft. Doch gleichzeitig verändert sich ihr Risikoprofil. Die Experten warnten davor, die Widerstandsfähigkeit des Systems weiterhin vor allem über Eigenkapital und klassische Kreditrisiken zu definieren.
Das Risikoprofil europäischer Banken habe sich „massiv geändert“, erklärt Bosek. Traditionell habe man sich stark auf Kreditrisiken und Kennzahlen wie Value at Risk konzentriert. Heute gewinnen jedoch operative Risiken an Bedeutung. DORA (Digital Operational Resilience Act) – 2025 in Kraft – sei ein Schritt in die richtige Richtung, dennoch müsse sich der Blick weiter verändern. Bosek fordert deshalb keine Deregulierung – „das wäre naiv“ –, sondern eine stärkere Verlagerung des Fokus vom Kreditrisiko auf das operative Risiko. Auch der Raiffeisen-Chef Michael Höllerer warnt vor den neuen technologischen Risiken. „Die Banken müssen ihre operative Resilienz gegen KI, Cyberangriffe und neue Technologien stärken.“ OeNB-Chef Robert Koch sieht ebenfalls eine Verschiebung der Risiken. „Risiken verschieben sich zunehmend außerhalb des Finanzsektors.“ Digitalisierung und KI böten große Chancen, gleichzeitig würden Cyberrisiken und operative Risiken wichtiger. Die Geschwindigkeit der technologischen Entwicklung stelle Finanzmarktteilnehmer und Aufseher vor neue Herausforderungen, betont Koch.
Prinzipien statt Regeln
Um mit der Geschwindigkeit technologischer Veränderungen Schritt halten zu können, plädiert Andreas Brandstetter, CEO der UNIQA Insurance Group, für einen leichten Gesinnungswandel in der Aufsicht: „Wir brauchen statt einer regelbasierten-, eine stärker prinzipienbasierte Aufsicht.“ Gerade bei KI könne ein Regelwerk kaum jede Entwicklung vorwegnehmen. Zugleich müsse die Aufsicht ihre Erwartungen klarer kommunizieren. Die EZB hat jedenfalls auf die veränderte Risikolandschaft bereits reagiert: In ihren Aufsichtsprioritäten 2026–2028 ist die operationelle Resilienz neben geopolitischen Risiken ein zentraler Schwerpunkt. Im Fokus stehen Cybersicherheit, IT-Drittdienstleister und Cloud-Abhängigkeiten. Die EZB will dabei auch mit gezielten Prüfungen und Tests untersuchen, wie widerstandsfähig Banken gegenüber Cyberangriffen und IT-Ausfällen sind. Für Versicherer gilt seit 2025 ebenfalls DORA. In Österreich ist dafür die FMA zuständig, die unter anderem Cyberresilienz, IKT-Risikomanagement, Drittanbieterabhängigkeiten und die Notfallfähigkeit der Versicherer prüft.
