Die Sicherheitsrealität von Banken, die Kunden nicht erkennen

Es gibt eine Version von Bankensicherheit, die in Vorfallprotokollen, Betriebs-Dashboards und Management-Briefings existiert. Und es gibt eine Version, die in den Köpfen der Kunden dieser Banken existiert. Der Integris Banking Trust and Technology Report 2026 zeigt deutlich, dass diese beiden Versionen kaum Gemeinsamkeiten haben – und dass die Distanz zwischen ihnen eines der folgenreichsten, unkontrollierten Risiken im heutigen Bankwesen darstellt.

Wichtige Erkenntnisse

1. Banken werden regelmäßig Opfer von Datenpannen. Kunden ahnen davon nichts. Laut dem Integris Banking Trust and Technology Report 2026 meldeten 51 % der Banken im vergangenen Jahr eine schwerwiegende E-Mail-basierte Datenpanne und 50 % eine Panne auf mobilen Endgeräten. Gleichzeitig glauben 57 % ihrer Kunden, dass ihre Bank noch nie kompromittiert wurde. Datenpannen sind heute betrieblicher Alltag. Die Wahrnehmung der Kunden hinkt noch hinterher.
2. Das Vertrauen der Kunden ist hoch, strukturell fragil und nur einen Vorfall vom Zusammenbruch entfernt. Fast 9 von 10 Bankkunden vertrauen darauf, dass ihre Bank ihre persönlichen und finanziellen Daten schützt, und 51 % haben sich gezielt wegen der Sicherheitsmaßnahmen für ihr Institut entschieden. Doch 67 % würden nach einer schwerwiegenden Panne wahrscheinlich die Bank wechseln. Das über Jahre aufgebaute Vertrauen kann in einem einzigen Nachrichtenzyklus zerstört werden.
3. Die Technologie-Budgets steigen stark – aber die meisten Bankmanager wissen nicht, wie viel aktuell ausgegeben wird. 45 % der Führungskräfte erwarten, dass die Technologie-Budgets 2026 um 40 % oder mehr steigen, 18 % rechnen mit Steigerungen von über 60 %. Dennoch geben 64 % an, nicht zu wissen, wie viel ihre Bank insgesamt für IT ausgibt. Mehr Geld in ein System zu investieren, das man nicht überblickt, ist keine Sicherheitsstrategie.
4. Banken setzen Tools für Betrugserkennung und Risikobewertung ein, die mehr als ein Drittel der eigenen Führungskräfte nicht auditieren kann. Über 36 % der Bankmanager geben an, dass sie Schwierigkeiten haben, automatisierte Ergebnisse zu interpretieren oder nachzuvollziehen, wie bestimmte Systemempfehlungen entstehen. Regulatorische Vorgaben zum Model Risk Management zielen genau auf diese Lücke ab. Das Compliance-Risiko ist real und nicht theoretisch.
5. Wer Sicherheit an einen MSP auslagert, ohne die Kontrolle zu behalten, betreibt kein Risikomanagement – sondern Risikoverlagerung. Rund 87 % der Banken verlassen sich bei Cybersecurity, Backup, Disaster Recovery und Cloud-Services auf MSPs. Dennoch bestehen weiterhin Compliance-Belastungen, Integrationsprobleme und Sicherheitsbedenken genau in den Bereichen, die MSPs abdecken sollen. Die Aufsichtsbehörden nehmen die Bank in die Pflicht. MSPs übernehmen diese Verantwortung nicht, wenn sie die Funktion übernehmen.

Im vergangenen Jahr meldeten 51 % der befragten Banken eine schwerwiegende E-Mail-basierte Sicherheitsverletzung und 50 % eine schwerwiegende Panne auf mobilen Endgeräten. Das sind keine Testangriffe, Beinahe-Vorfälle oder theoretische Risiken. Es handelt sich um Vorfälle, die von Bankmanagern in einer offiziellen Befragung bestätigt wurden. Operativ betrachtet sind Datenpannen heute ein wiederkehrendes Merkmal der Bankenlandschaft – kein seltenes Katastrophenereignis, das alle paar Jahre eine Krisenreaktion auslöst.

Die Wahrnehmung der Kunden steht dazu im direkten Gegensatz. Nur etwa 1 von 10 Bankkunden erinnert sich, jemals eine Benachrichtigung über eine Datenpanne von seiner Bank erhalten zu haben. 57 % glauben, dass ihre Bank noch nie betroffen war. Diese Kunden führen keine eigenen Bewertungen durch und kommen zu einem positiven Ergebnis. Sie wissen schlicht nicht, was in den Institutionen, die ihr Geld verwalten, tatsächlich passiert – weil diese Institutionen es ihnen nicht mitteilen.

Der Integris-Report bezeichnet dies als „Breach-Perception-Gap“ – die Lücke zwischen tatsächlichen Datenpannen und der Wahrnehmung der Kunden. Sie ist das zentrale strukturelle Spannungsfeld des gesamten Berichts. Diese Lücke ist nicht harmlos. Fast 9 von 10 Kunden sagen, sie vertrauen ihrer Bank beim Schutz persönlicher und finanzieller Daten. 51 % haben sich gezielt wegen der Sicherheitsstrategie für ihre Bank entschieden. Und 40 % nennen böswillige Angriffe auf Bankdaten als ihre größte Angst. Die Kunden mit dem größten Vertrauen sind am stärksten von einem Vertrauensverlust bedroht – weil ihr Vertrauen auf einem falschen Bild der Realität beruht.

Das Szenario eines Vertrauenszusammenbruchs ist in den Daten dokumentiert. 67 % der Kunden würden nach einer schwerwiegenden Panne wahrscheinlich die Bank wechseln. Das bedeutet: Mehr als zwei Drittel der Kunden, deren Vertrauen über Jahre aufgebaut wurde, würden nach einem einzigen öffentlich gewordenen Vorfall gehen. Das Vertrauen ist real – seine Beständigkeit nicht. Banken, die die Breach-Perception-Gap bestehen lassen, häufen eine Haftung an, die mit jedem nicht offengelegten Vorfall wächst und fällig wird, wenn der nächste nicht mehr unter Verschluss gehalten werden kann.

Mehr Ausgeben ohne mehr Einblick: Die IT-Transparenzkrise der Banken

Das Bild der Technologie-Investitionen, das der Integris-Report zeichnet, wirkt auf den ersten Blick beruhigend. Banken investieren. 45 % der Führungskräfte erwarten, dass die Technologie-Budgets 2026 um 40 % oder mehr steigen. 18 % rechnen mit einem Wachstum von über 60 %. Cybersecurity ist einer der Haupttreiber, neben Cloud-Expansion, Anforderungen an digitale Kanäle und Technologiemodernisierung. Die Budgetverteilung folgt der Bedrohungslage.

Das Problem liegt eine Ebene unter den Ausgabenzahlen. 64 % der Bankmanager – also die Personen, die diese Budgetsteigerungen genehmigen – wissen nicht, wie viel ihre Bank insgesamt für IT ausgibt. Die Ausgangsbasis ist unbekannt. Das Wachstum fließt in eine Umgebung, die das Management nicht vollständig überblickt. Wie der Integris-Report beschreibt, machen fragmentierte Altsysteme und isolierte Ausgaben es strukturell schwierig, Investitionen zu priorisieren oder zu messen, wie viel tatsächliches Sicherheitsrisiko durch die eingesetzten Mittel reduziert wird.

Dies ist kein reines Finanzmanagement-Problem. Es ist ein Problem der Security-Governance. Wenn eine Institution ihre gesamten IT-Ausgaben nicht abbilden kann, kann sie auch nicht beurteilen, ob Sicherheitsinvestitionen dem tatsächlichen Risiko entsprechen, ob bestehende Kontrollen wie vorgesehen funktionieren oder ob die Schwachstellen, die beim nächsten Vorfall am ehesten ausgenutzt werden, tatsächlich geschlossen oder nur von weiteren Tools umgeben werden. Investieren ohne Transparenz führt zu einer teureren Version derselben fragmentierten Sicherheitslage – nicht zu mehr Sicherheit.

Community- und Regionalbanken sind hiervon besonders betroffen. Der Bericht beschreibt sie als Institute, die denselben regulatorischen Standards und Kundenerwartungen wie Großbanken unterliegen, sich aber mit einem Bedrohungsumfeld konfrontiert sehen, das seine Angriffe nach Chancen statt nach Vermögensgröße ausrichtet – mit Budgets und Personal, die nicht mit den Ressourcen der großen Wettbewerber mithalten können. Die Banken, die dies am besten meistern, sind nicht die mit den höchsten Ausgaben. Es sind die, die zuerst Transparenz über ihre Ausgaben schaffen und dann gezielt und faktenbasiert entscheiden, wo jeder Euro den größten Schutz pro Investitionseinheit bringt.

Automatisierte Entscheidungen im Bankwesen: Eine Compliance-Lücke, die Regulierer bereits im Blick haben

Die Erkenntnisse zu automatisierten und technologiegestützten Entscheidungen im Integris-Report sind für Compliance-Zwecke besonders relevant – und haben bislang weniger Aufmerksamkeit erhalten als die Datenpannen-Statistiken. Über 36 % der Bankmanager geben an, dass sie Schwierigkeiten haben, die Ergebnisse automatisierter Systeme zu interpretieren oder nachzuvollziehen, wie bestimmte Systemempfehlungen entstehen. Das ist kein allgemeines Technologieverständnis-Problem. Es beschreibt einen konkreten Zustand mit direkten regulatorischen Auswirkungen: Banken setzen automatisierte Tools für Betrugserkennung, Transaktionsüberwachung und Risikobewertung ein, und die Verantwortlichen können die Empfehlungen dieser Systeme nicht zuverlässig auditieren oder erklären.

Regulatorische Rahmenbedingungen zielen genau auf diese Lücke. Vorgaben zum Model Risk Management von OCC, FDIC und Federal Reserve verlangen bereits Dokumentation der Modelle, Validierungsprozesse und menschliche Kontrolle bei automatisierten Entscheidungen mit hoher Tragweite. Die Erwartung, dass Banken Fairness, Auditierbarkeit und Nachvollziehbarkeit bei automatisierten Systemen nachweisen können, die Kundenkonten betreffen, ist nicht neu – sie gilt bereits. Der Integris-Report ist hier eindeutig: Banken müssen Nutzungsrichtlinien für automatisierte Entscheidungstools formalisieren, Modelle und deren Entscheidungen dokumentieren, menschliche Überprüfungsprozesse für kritische Ergebnisse etablieren und Eskalationswege für systemgenerierte Probleme schaffen, die menschliches Eingreifen erfordern – um sowohl regulatorische Anforderungen als auch die Erwartungen der betroffenen Kunden zu erfüllen.

Die Kundendimension verschärft den Compliance-Druck über die formalen Vorgaben hinaus. 52 % der Bankkunden befürchten, dass automatisierte Systeme ihre Konten zu Unrecht einfrieren oder legitime Transaktionen blockieren könnten. Rund 40 % sorgen sich, dass diese Systeme ihre persönlichen Daten preisgeben. 23 % geben an, gar nicht zu verstehen, wie ihre Bank Technologie für Entscheidungen über ihre Konten einsetzt. Der Bericht stellt klar: Kunden erleben ein fehlerhaftes automatisiertes Konten-Freeze als gleichwertig mit einer Datenpanne. Es blockiert den Zugriff auf Geld, untergräbt das Vertrauen in die Bank und löst dieselbe Reaktion aus – Alarm, Vertrauensverlust und Wechselbereitschaft – wie ein Datenleck, unabhängig davon, ob tatsächlich Daten kompromittiert wurden.

Dadurch entsteht eine Compliance- und Governance-Pflicht auf zwei Ebenen. Auf der formalen regulatorischen Ebene: Modelldokumentation, Validierung, Audit-Trails und Nachvollziehbarkeitsanforderungen, die bereits in den Vorgaben enthalten sind und zunehmend konkreter werden. Auf der Kundenvertrauens-Ebene: Die praktische Pflicht, sicherzustellen, dass automatisierte Systeme, die den Zugang zu Konten steuern, korrekt arbeiten, überprüft und korrigiert werden können und Kunden zumindest ansatzweise verstehen, wie diese Systeme funktionieren. Banken, die automatisierte Entscheidungstools implementiert haben, ohne die Governance-Strukturen für beide Anforderungen zu schaffen, tragen ein Risiko, das sie womöglich nicht vollständig erfasst haben.

Die MSP-Accountability-Gap: Wo die Auslagerung von Sicherheit endet und Compliance-Haftung beginnt

Die im Integris-Report dokumentierte Abhängigkeit von Managed Service Providern prägt die operative Struktur der Bankensicherheit für die große Mehrheit der befragten Institute. Rund 87 % der Banken nutzen MSPs für grundlegende und fortgeschrittene Cybersecurity-Funktionen. Über 80 % verlassen sich auf MSPs für Backup, Disaster Recovery, Cloud-Services und Helpdesk. 34 % planen, den MSP-Einsatz in den nächsten sechs bis zwölf Monaten gezielt für Compliance- und Regulierungsunterstützung auszubauen. MSPs sind kein Zusatz zu den Sicherheitsoperationen – für die meisten Community- und Regionalbanken sind sie die Sicherheitsabteilung.

Das strukturelle Problem zeigt sich in den weiteren Ergebnissen des Berichts. 31 % der Führungskräfte berichten von anhaltenden Compliance-Belastungen – selbst in Instituten, die MSPs für regulatorische Unterstützung und automatisierte Compliance-Dokumentation einsetzen. Datenintegrationsprobleme, fortbestehende Sicherheitsbedenken und Schwierigkeiten bei der Technologieplanung bestehen genau in den Bereichen, in denen MSPs eigentlich Lösungen liefern sollten. Banken lagern die Durchführung von Sicherheits- und Compliance-Aufgaben aus und berichten dennoch über dieselben Lücken, die diese Funktionen eigentlich schließen sollten.

Die Interpretation des Berichts ist eindeutig: Auslagerung ohne starke Kontrolle und Transparenz über MSP-gesteuerte Umgebungen hinterlässt wichtige Lücken in der Kontrolllandschaft. Ein MSP kann das Security-Monitoring einer Bank betreiben, die Cloud-Infrastruktur verwalten und Compliance-Dokumentation übernehmen. Was ein MSP nicht kann: Die regulatorische Verantwortung der Bank übernehmen. Wenn Prüfer von OCC, FDIC oder staatlichen Behörden Belege für Kontrollen verlangen – Vorfallprotokolle, Audit-Trails, Modelldokumentationen, Zugriffsmanagement – muss die Bank diese liefern. Wenn die Bank keinen eigenen Einblick hat, was ihr MSP überwacht, welche Alarme bearbeitet werden und welche Nachweise im Namen der Bank generiert werden, hat sie ihre Compliance-Pflichten nicht ausgelagert, sondern ihre Fähigkeit, deren Erfüllung zu überprüfen. Das ist ein wesentlich anderes und deutlich riskanteres Szenario, als es auf den ersten Blick erscheint – wie auch im Integris-Report betont wird.

Die Governance-Lösung, die der Bericht empfiehlt, ist nicht weniger MSP-Einsatz – sondern mehr strukturierte Verantwortlichkeit beim MSP-Einsatz. Klarere vertragliche Verantwortungsrahmen. Transparenz der Bank über Monitoring, Alarmierung und Nachweiserstellung in MSP-geführten Umgebungen. Kontrollmöglichkeiten, mit denen die Bank unabhängig überprüfen kann, ob die vom MSP bereitgestellten Kontrollen tatsächlich funktionieren. Für Community-Banken, die den MSP-Einsatz für Compliance-Zwecke ausbauen wollen, ist der Aufbau dieser Kontrollstrukturen vor der Expansion entscheidend: Er trennt ein skalierbares Compliance-Programm von einer wachsenden Haftung.

Compliance als Kommunikationspflicht: Warum Sicherheit allein nicht ausreicht

Einer der zentralen Punkte des Integris-Reports ist, dass Compliance im Jahr 2026 nicht nur durch regulatorische Anforderungen definiert werden kann. Sie muss auch das Verständnis der Kunden einschließen. Die Daten dazu sind eindeutig: 15 % der Bankkunden geben an, dass ihre Bank selten oder nie über Sicherheitsupdates informiert. Fast die Hälfte berichtet, dass Sicherheitskommunikation von ihrer Bank selten erfolgt. Die Breach-Perception-Gap – 57 % der Kunden glauben, ihre Bank sei nie betroffen gewesen, während operative Daten das Gegenteil zeigen – ist kein Zufall mangelnder Aufmerksamkeit. Sie ist das vorhersehbare Ergebnis von Banken, die nur das gesetzlich geforderte Minimum kommunizieren und Transparenz als Risiko statt als Chance betrachten.

Vorgaben zur Benachrichtigung über Datenpannen nach GLBA, bundesstaatlichen Datenschutzgesetzen und branchenspezifischen Richtlinien legen Mindestanforderungen fest, wann und wie Kunden über Vorfälle informiert werden müssen. Banken können all diese Vorgaben formal erfüllen und gleichzeitig zulassen, dass ihre Kunden ein völlig falsches Bild von der Sicherheitslage der Bank entwickeln. Wenn ein schwerwiegender Vorfall schließlich eine Offenlegung erzwingt, auf die die Kunden nicht vorbereitet sind, wird dies nicht als transparente Information wahrgenommen – sondern als Enthüllung vorheriger Verschleierung. Das löst genau den Vertrauensverlust aus, den die Daten des Berichts vorhersagen.

Community-Banken stehen hier vor der größten Herausforderung. Sie sind stark von MSPs abhängig, unterliegen denselben digitalen Sicherheits- und Compliance-Erwartungen wie Großbanken, verfügen aber über kleinere Kommunikationsteams und weniger Ressourcen für eine kontinuierliche, proaktive Sicherheitskommunikation, die die Wahrnehmungslücke im Vorfeld einer Krise schließen könnte. Und ihre Kundenbeziehungen – oft persönlicher und langjähriger als bei großen Instituten – machen einen Vertrauensverlust gleichzeitig schädlicher und besser wiederherstellbar, je nachdem, wie gut die Bank Transparenz im Ernstfall managt.

Die Empfehlung des Berichts für 2026: Eine konsistente Kommunikationsstrategie zu Sicherheit und Governance – nicht nur gelegentliche Offenlegungen, die durch regulatorische Mindestanforderungen ausgelöst werden, sondern kontinuierliche Kundenaufklärung darüber, wie Sicherheitsmaßnahmen funktionieren, was bei Vorfällen passiert, wie automatisierte Systeme gesteuert werden und an wen sich Kunden bei Bedenken wenden können. Banken, die diese Kommunikationskultur etablieren, steuern nicht nur Reputationsrisiken. Sie schaffen ein informiertes Kundenvertrauen, das auch einen Vorfall übersteht – statt daran zu zerbrechen.

Was der Integris-Report 2026 für das Sicherheits- und Compliance-Programm Ihrer Bank bedeutet

Der Integris Banking Trust and Technology Report 2026 beschreibt keinen Bankensektor, der bei Sicherheit versagt. Er beschreibt einen Sektor, der massiv in Sicherheit investiert, aber mit strukturellen Blindstellen arbeitet, die die Fähigkeit einschränken, den Wert dieser Investitionen nachzuweisen, zu messen und zu kommunizieren. Die dokumentierten Lücken sind konsistent und verstärken sich gegenseitig: zwischen Häufigkeit von Datenpannen und Kundenwahrnehmung, zwischen Technologieausgaben und Ausgabentransparenz, zwischen Einsatz automatisierter Systeme und der dafür nötigen Governance, zwischen MSP-Abhängigkeit und bankseitiger Kontrolle sowie zwischen formalen Compliance-Pflichten und der Kundenkommunikation, die diese Pflichten nicht vollständig abdecken.

Vier Maßnahmen bringen laut Bericht den größten Effekt für Sicherheits- und Compliance-Programme von Banken. Erstens: Die Breach-Perception-Gap als aktives Compliance- und Vertrauensrisiko behandeln, nicht als Kommunikations-Nachgedanken. Jeder nicht offengelegte Vorfall, den ein Kunde nicht einordnen kann, erhöht die Vertrauensschuld, die beim nächsten öffentlichen Vorfall fällig wird. Banken, die diese Lücke durch konsistente Sicherheitskommunikation proaktiv geschlossen haben, werden den nächsten Vorfall grundlegend anders managen als diejenigen, die das nicht getan haben.

Zweitens: Transparenz über IT-Ausgaben schaffen, bevor die von 45 % der Führungskräfte geplanten Budgetsteigerungen umgesetzt werden. Ohne klare Ausgangsbasis können zusätzliche Sicherheitsausgaben nicht auf die größten Risiken ausgerichtet, nicht auf Wirksamkeit überprüft und nicht gegenüber Prüfern oder Aufsichtsgremien mit der für gutes Governance erforderlichen Präzision begründet werden. Drittens: Das Governance-Framework für automatisierte Entscheidungstools in Betrugserkennung, Risikobewertung und Transaktionsüberwachung formalisieren. Modelle dokumentieren. Menschliche Überprüfungsprozesse für kritische Ergebnisse etablieren. Eskalationswege schaffen. Das ist keine Zukunftsaufgabe – der Integris-Report identifiziert dies als aktuelles regulatorisches Risiko für die 36 % der Bankmanager, die Systemausgaben derzeit nicht auditieren können.

Viertens – und besonders relevant für die 34 % der Banken, die den MSP-Einsatz für Compliance-Zwecke ausbauen wollen: Kontrollstrukturen aufbauen, bevor die Zusammenarbeit erweitert wird. Vertragliche Verantwortlichkeiten klar definieren. Bankseitige Transparenz über Monitoring, Dokumentation und Nachweiserstellung in MSP-geführten Umgebungen schaffen. Die Aufsichtsbehörden nehmen die Bank für das verantwortlich, was der MSP im Namen der Bank liefert. Kann die Bank nicht unabhängig überprüfen, ob der MSP dies tatsächlich liefert, bleibt die Haftung bei der Bank.

Institute, die diese Lücken 2026 schließen, sind besser auf die nächste Prüfung vorbereitet, können die jährlich auftretenden Vorfälle besser managen und das Kundenvertrauen sichern, von dem ihre Wettbewerbsfähigkeit abhängt. Wer das nicht tut, verwaltet dieselben Blindstellen zu höheren Kosten – in einem regulatorischen Umfeld, das immer weniger Toleranz für bekannte Governance-Lücken zeigt.