Stand: Oktober 2026
Lesezeit: ca. 5 Minuten

Die Nutzung von KI erstreckt sich mittlerweile über die gesamte Wertschöpfungskette von Finanzunternehmen – von der Kreditvergabe über Risikomodellierung und Kundenkommunikation bis hin zur Schadenbearbeitung. Die BaFin hat eine Orientierungshilfe veröffentlicht, die Finanzunternehmen dabei unterstützen soll, die Anforderungen des Digital Operational Resilience Act (DORA) im Umgang mit KI-Systemen rechtssicher umzusetzen.

Die Leitlinien richten sich insbesondere an CRR-Institute sowie Solvency II-Versicherer und betrachten gezielt die IKT-Risiken, die durch den Einsatz von KI in der technischen Infrastruktur entstehen.

Das Wichtigste zu DORA und KI auf einen Blick

• Einordnung als IKT-Asset: KI-Systeme definieren sich gemäß EU-KI-Verordnung als Kombination aus Hard- und Software. Ihr Risikoprofil muss analog zu anderen IKT-Assets vollumfänglich im DORA-Risikomanagementrahmen bewertet werden.

• Fokus auf den gesamten KI-Lebenszyklus: Die Anforderungen erstrecken sich über die gesamte Lebensdauer eines KI-Systems – von der Entwicklung und Quellcodeprüfung über das laufende Monitoring bis hin zur sicheren Stilllegung.

• Verantwortung des Leitungsorgans: Das Management muss eine klare KI-Strategie etablieren und über adäquate Fachkenntnisse verfügen, um Prozesse, Kontrollen und Verantwortlichkeiten risikoadäquat zu steuern.

• Besondere Hürden bei Generativer KI & Cloud: Hohe Anforderungen an das Drittanbieter-Management, den Schutz vor Datenabflüssen, Auditrechte, Exit-Strategien sowie die Beherrschbarkeit nicht-deterministischer Modelle (z. B. LLMs).

Hintergrund & Ziele des BaFin-Leitfadens

Durch den flächendeckenden Einsatz von Künstlicher Intelligenz in der Finanzbranche entstehen spezifische IKT-Risiken, die unabhängig von den eigentlichen fachlichen Prozessen auftreten.

Mit der Orientierungshilfe stellt die BaFin eine unverbindliche Handreichung bereit, die Unternehmen bei der Einhaltung der verbindlichen DORA-Vorgaben unterstützt. Das übergeordnete Ziel ist es, die digitale operational Resilienz von KI-Systemen zu erhöhen, Governance-Strukturen nachhaltig zu stärken und technische Schwachstellen frühzeitig zu identifizieren.

Wesentliche Regelungsinhalte im Detail

1. Governance & Risikomanagementrahmen

Der IKT-Risikomanagementrahmen nach DORA ist vollständig auf KI-Systeme anzuwenden. Unternehmen müssen sicherstellen, dass Prozesse, Kompetenzen und Kontrollmechanismen für den Einsatz von KI geeignet sind. Dies umfasst die kontinuierliche Identifikation, Prävention, Erkennung sowie die zielgerichtete Reaktion und Wiederherstellung bei KI-bezogenen Vorfällen.

2. KI-Lebenszyklus: Von Entwicklung bis Stilllegung

Die Orientierungshilfe beschreibt konkrete Anforderungen an die Softwareentwicklung, Testverfahren, Dokumentation und Quellcodeprüfungen. Besonders der Umgang mit Open-Source-Bibliotheken und maschinell erzeugtem Code steht im Fokus. Generative KI gilt als besonders herausfordernd, da Testbarkeit, interne Modellstrukturen und externe Modellanpassungen schwer kontrollierbar sind. Im operativen Betrieb werden klare Prozesse für Installation, Monitoring, Zugriffskontrollen, Logfiles und eine sichere Stilllegung gefordert.

3. Cloud-Betrieb & Drittanbieter-Risiken

Beim Fremdbezug von KI-Lösungen gewinnen Cloud-Spezifika und Unterauftragsketten an Bedeutung. Unternehmen müssen Risiken durch Datenabflüsse und Vendor Lock-in aktiv begrenzen. Eine rechtssichere Ausgestaltung erfordert klare Service Level Agreements (SLAs), durchsetzbare Audit- und Prüfungsrechte sowie funktionierende Exit-Strategien.

4. Cyber-Sicherheit & Resilienz

Die technischen Schutzmaßnahmen umfassen strikte Netzwerksegmentierung, granulare Zugriffskontrollen, durchgängige Verschlüsselung und regelmäßige Resilienztests, um KI-Assets wirksam gegen neuartige Angriffsvektoren abzusichern.

Durchsetzung, Aufsichtsrecht & Compliance-Haftung

Obwohl die Orientierungshilfe formell unverbindlich ist, unterstreicht die BaFin, dass Nichteinhaltungen von Governance- und Sicherheitsanforderungen im Rahmen von DORA-Audits als aufsichtsrechtliche Mängel gewertet werden können. Unternehmen müssen eine lückenlose Dokumentation und Nachweisführung sicherstellen, um sowohl die regulatorischen Mindestanforderungen einzuhalten als auch Haftungsrisiken für das Management zu minimieren.

Handlungsbedarf für Geschäftsleiter & IT-Compliance-Teams

Um Risiken beim Einsatz von KI-Systemen im DORA-Kontext rechtssicher zu steuern, sollten Unternehmen folgende Schritte einleiten:

• KI-Asset-Inventar aufbauen: Sämtliche im Haus genutzten KI-Anwendungen, Module und Schnittstellen (inkl. Cloud-Dienste) erfassen und klassifizieren.

• Drittanbieter-Verträge prüfen: SLAs, Auditrechte und Exit-Pfade bei externen KI- und Cloud-Anbietern DORA-konform nachverhandeln.

• Governance & Schulung verankern: KI-Strategie verfassen, Überwachungsprozesse etablieren und Nachweisstrukturen für die Fachkompetenz der Entscheidungsträger schaffen.

Quelle