Die IT-Transformation der Finanzbranche im Sommer 2026: Strategische Weichenstellungen zwischen DORA, AI Act und technologischer Souveränität

Der europäische Finanzsektor befindet sich Ende Juli 2026 an einer entscheidenden Bruchlinie. Die Zeiten, in denen regulatorische Anforderungen und technologische Innovationen in getrennten Silos der IT-Abteilungen abgehandelt werden konnten, sind endgültig vorbei. Die Branche steht unter einem massiven Konsolidierungsdruck: Während schwächere Marktteilnehmer weichen müssen, übernehmen stärkere Akteure gezielt Lizenzen, Talente und Technologien, um ihre Position abzusichern. Parallel dazu steigen die IT-Budgets weiter an – in Deutschland allerdings mit einem Zuwachs von 5,9 % deutlich moderater als im europäischen Ausland (Großbritannien: 6,6 %, Frankreich: 7,0 %), was das Risiko eines strategischen Technologierückstands birgt.

In diesem Spannungsfeld stehen CIOs und IT-Leiter von Banken und Versicherern in einer regulatorischen Sandwichposition: Sie müssen extrem hohe Anforderungen bei oftmals begrenzten internen Kapazitäten bewältigen. Die Modernisierung veralteter Kernsysteme, die Skalierung von Echtzeitzahlungssystemen und der produktive Betrieb künstlicher Intelligenz kollidieren mit dem anspruchsvollsten aufsichtsrechtlichen Regime, das die europäische Finanzökonomie je gesehen hat.

1. DORA in der operativen Bewährung: Vom Konzept zur gelebten Resilienz

Die reine Aufbau- und Dokumentationsphase des Digital Operational Resilience Act (DORA) ist vorbei. Seit dem Ende der ersten Übergangsfristen im ersten Halbjahr 2026 bewerten nationale Aufsichtsbehörden wie die BaFin nicht mehr nur das Vorhandensein theoretischer Konzepte, sondern die tatsächliche, nachweisbare Widerstandsfähigkeit der Systeme im laufenden Betrieb. Die Tragweite der Bedrohungslage zeigt sich in den über 600 schwerwiegenden IKT-Vorfällen, die im ersten DORA-Anwendungsjahr gemeldet wurden. Diese hohe Zahl ist maßgeblich durch Cluster-Effekte geprägt: Ein einziger Ausfall bei einem dominanten IKT-Dienstleister zieht sofort eine Kaskade von Störungsmeldungen bei den abhängigen Finanzinstituten nach sich und verdeutlicht das massive systemische Konzentrationsrisiko.

Finanzinstitute stehen im operativen Alltag vor drei zentralen DORA-Schwachstellen:

Das IKT-Drittparteienrisiko und die Illusion des Outsorcings
Gemäß DORA-Artikel 28 müssen für alle kritischen Dienstleister vertraglich fixierte, voll funktionsfähige Exit-Strategien vorliegen. In der Realität fehlen diese Pläne bei der Mehrheit der Institute. Verträge mit globalen Hyperscalern lassen sich oft nur schwer nachverhandeln, um DORA-konforme Prüfungsrechte, Subunternehmer-Kontrollen und garantierte Migrationsunterstützung rechtlich abzusichern. Das regulatorische Prinzip bleibt jedoch unmissverständlich: Aufgaben können ausgelagert werden, das Risiko und die Letztverantwortung verbleiben vollständig beim Institut.

Die logistische Hürde des Incident Reportings
Bei der Meldung schwerwiegender Vorfälle gilt ein extrem enges Zeitfenster: Die Erstmeldung muss innerhalb von vier Stunden nach der formellen Klassifizierung als „schwerwiegend“, spätestens jedoch 24 Stunden nach der eigentlichen Entdeckung erfolgen. Viele Banken scheitern in Übungen daran, dass ihre IT-Monitoring-Schnittstellen nicht ausreichend parametrisiert sind. Technische Alarme und Anomalien im Netzwerk können dadurch im System nicht schnell genug in geschäftliche Risikometriken übersetzt werden, was zu gravierenden Verzögerungen in der Meldekette führt.

Die Kluft zwischen Verbund-IT und lokaler Governance
Besonders im deutschen Sektor der Sparkassen und Genossenschaftsbanken zeigt sich ein spezifisches Governance-Problem. Zwar decken die zentralen IT-Dienstleister (wie Finanz Informatik oder Atruvia) den Großteil der systemischen Anforderungen ab. Doch die verbleibende lokale Infrastruktur der einzelnen Institute – von spezialisierten Nischenanwendungen über lokale Schnittstellen bis hin zur Schatten-IT – bleibt oft ungeprüft. Ohne lokale Risiko-Schwellenwerte und klare interne Berichtslinien drohen bei BaFin-Prüfungen erhebliche Mängelrügen. Zudem bindet die Durchführung realitätsnaher, bedrohungsorientierter Penetrationstests (TLPT) mittels Purple Teaming über Monate hinweg kritische Ressourcen im operativen IT-Betrieb.

2. Der 2. August 2026: Die weitreichenden Konsequenzen des EU AI Acts

Am 2. August 2026 tritt die europäische KI-Verordnung (EU AI Act) für Hochrisiko-Systeme gemäß Anhang III in ihre Phase der Vollanwendung. Damit wird der Einsatz künstlicher Intelligenz im Finanzsektor an extrem strenge, gesetzliche Auflagen gebunden. Automatisch als Hochrisiko eingestuft sind alle Systeme, die zur Kreditwürdigkeitsprüfung (Credit Scoring) oder zur Risikobewertung und Preisberechnung bei Lebens- und Krankenversicherungen eingesetzt werden. Die mathematische Komplexität des Modells ist dabei unerheblich – selbst eine einfache logistische Regression, die nur wenige Variablen verarbeitet, fällt unter diese Definition.

Die Pflichten für betroffene Institute sind tiefgreifend und berühren die Kernarchitektur der IT-Systeme:

Die Betreiber-Haftung: Auch wenn Banken KI-Modelle über externe Dienstleister beziehen, agieren sie rechtlich als „Betreiber“ (Operator) und tragen die volle Verantwortung. Ein Verweis auf standardisierte Vorprüfungen von Auskunfteien ist rechtlich wirkungslos.

Menschliche Aufsicht und Kontrollbarkeit (Human-in-the-Loop): Autonome KI-Entscheidungen bei der Kreditvergabe sind untersagt. Autorisierte Mitarbeitende müssen in der Lage sein, jede Modellentscheidung in Echtzeit manuell zu übersteuern, ohne dafür langwierige bürokratische IT-Freigabeprozesse anstoßen zu müssen.

Nachvollziehbarkeit und Plain-Language-Explainability: Banken müssen auf Anfrage eines Kunden jede automatisierte Ablehnung oder Tarifberechnung in verständlichem Klartext begründen können. Dies erfordert die Implementierung von Erklärbarkeits-Frameworks (z. B. auf Basis von SHAP- oder LIME-Werten) direkt in der Anwendungsschicht.

Model Drift als DORA-Vorfall: Driften die statistischen Muster eines Scoring-Modells im Zeitverlauf ab (Model Drift), muss dies nach den Vorgaben der DORA-Säulen als meldepflichtiger IKT-Vorfall behandelt werden, sobald die operationelle Stabilität gefährdet ist.

Bei Verstößen gegen den AI Act drohen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Flankiert wird dies in Deutschland durch die im Herbst 2026 erwartete finale Fassung der MaRisk-Novelle (Modul AT 4.3.4), die qualitative AI-Prüfungen durch die BaFin verankert und bei Mängeln zu drastischen regulatorischen Eigenkapitalaufschlägen führen kann, was für viele Institute wirtschaftlich weitaus schwerer wiegt als Einmalzahlungen.

3. Zahlungsverkehr unter Echtzeitdruck: Instant Payments und PSD3/PSR

Der europäische Zahlungsverkehr erlebt im Sommer 2026 eine fundamentale Beschleunigung. Mit dem Ablauf der regulatorischen Übergangsfristen der SEPA-Instant-Payments-Verordnung (IPR) sind fast alle Banken im Euroraum verpflichtet, den Empfang und das Senden von Echtzeitüberweisungen rund um die Uhr anzubieten – und das ohne zusätzliche Gebühren im Vergleich zu Standardüberweisungen.

Diese Umstellung entzieht der traditionellen IT-Infrastruktur im Backoffice den Boden. Da jede Transaktion innerhalb von maximal 10 Sekunden final verbucht sein muss, ist die klassische, zeitversetzte Batch-Verarbeitung über Nacht endgültig obsolet.

Technisch müssen zwei rechenintensive Prozesse im Millisekundenbereich orchestriert werden:

Verification of Payee (VoP): Vor der Freigabe einer Zahlung muss das System vollautomatisch und in Echtzeit prüfen, ob der Name des Empfängers exakt zur angegebenen IBAN passt, und dem Zahler etwaige Abweichungen sofort zurückmelden.

Echtzeit-Sanktionsscreening: Da ein transaktionsbasiertes Screening die 10-Sekunden-Frist unweigerlich reißen würde, fordert die IPR einen Systemwechsel: Institute müssen mindestens einmal täglich ein vollständiges, entitätsbasiertes Screening ihres gesamten Kundenstamms gegen die aktuellen Sanktionslisten durchführen.

Flankiert wird dieser Echtzeitdruck durch die politische Einigung auf das PSD3- und PSR-Paket. Die neue Zahlungsdiensteverordnung (PSR) verschärft die Haftung der Banken dramatisch: Bei „Spoofing“-Angriffen (wenn Betrüger Telefonnummern oder E-Mails der Bank imitieren) haften künftig standardmäßig die Zahlungsdienstleister.

Als technologische Antwort darauf etablieren fortschrittliche Institute Verhaltensbiometrie (wie das Tippverhalten oder die typische Gerätehaltung) als festen, unsichtbaren Bestandteil der starken Kundenauthentifizierung (SCA), um betrügerische Transaktionen im Hintergrund ohne Komforteinbußen für den Nutzer zu blockieren. Gleichzeitig fordert das Open-Banking-Regime performante APIs und dedizierte Berechtigungs-Dashboards, über die Kunden ihre Datenfreigaben transparent verwalten und in Echtzeit widerrufen können.

4. Digitale Identitäten und ESG-Datenströme: Die unterschätzten Pflichten

Bis zum Jahresende 2026 ticken zwei weitere regulatorische Uhren, die eine tiefgreifende technologische Anpassung erfordern:

eIDAS 2.0 und die EUDI-Wallet
Bis Dezember 2026 müssen alle EU-Mitgliedstaaten ihren Bürgern eine zertifizierte Europäische Digitale Identitätswallet (EUDI-Wallet) zur Verfügung stellen. In Deutschland wurde dazu im Januar 2026 die offizielle Test-Sandbox der Bundesagentur für Sprunginnovationen (SPRIND) gestartet, gefolgt vom nationalen Hackathon im Juni 2026 zur praktischen Erprobung.

Für regulierte Finanzinstitute besteht ab Ende 2027 eine gesetzliche Verpflichtung, Wallet-basierte Identitäten im Onboarding (KYC) zu akzeptieren. Da die manuelle Prüfung von Ausweisen via Video-Ident fehleranfällig und teuer ist, investiert die Branche 2026 massiv in die Anbindung von Wallet Connectors. Ziel ist ein vollständig automatisiertes Straight-Through-Processing (STP) auf Basis kryptografisch verifizierter Personendaten (PID) und elektronischer Attestate (QEAA).

ESG-Risikoanalysen unter dem BRUBEG-Regime
Nachhaltigkeit ist im Sommer 2026 längst kein Thema mehr, das sich in freiwilligen CSRD-Berichten erschöpft. Durch das deutsche Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) sind Kreditinstitute gesetzlich verpflichtet, ESG-Risiken (Umwelt, Soziales, Governance) explizit in ihre MaRisk-Risikoanalysen und Kreditentscheidungsprozesse zu integrieren.

Banken müssen bei der Kreditvergabe detaillierte Nachhaltigkeitsdaten abfragen – von Scope-1-, Scope-2- und den hochkomplexen Scope-3-Emissionsdaten der Unternehmen bis hin zu Energieeffizienzklassen und standortbezogenen physischen Klimarisiken (z. B. Hochwasser- oder Starkregenanfälligkeit) der finanzierten Immobilienportfolios.

Da insbesondere kleine und mittlere Unternehmen (KMU) diese Daten nicht strukturiert vorhalten, müssen IT-Systeme der Banken in der Lage sein, unstrukturierte Datenströme und ESG-Fragebögen über intelligente Plattformen und KI-gestützte Erfassungsmodule automatisiert auszuwerten.

5. Strategische Lösungsarchitekturen: Souveräne IT-Infrastrukturen als Fundament

Die Umsetzung all dieser Anforderungen – von der Echtzeitprozessierung über KI-Governance bis hin zu DORA-konformen Ausstiegsstrategien – scheitert in der Praxis oft an historisch gewachsenen IT-Landschaften. Rund 70 % der Tier-1-Banken betreiben im Kern noch immer Legacy-Systeme, die vor der Jahrtausendwende konzipiert wurden.

Laut aktuellen Erhebungen stufen zwar 83 % der Banken und Versicherungen die IT-Modernisierung als das wichtigste strategische Handlungsfeld ein. Doch extreme Komplexität (63 %) und akuter Personalmangel (50 %) bremsen den Fortschritt. Da ein riskantes „Big-Bang“-Ablöseprojekt aufgrund regulatorischer Vorgaben kaum noch finanzierbar ist, setzen zukunftsorientierte Institute auf das Strangler Fig Pattern: Einzelne fachliche Domänen (wie der Instant-Payment-Hub oder das KYC-Onboarding) werden schrittweise aus dem alten Monolithen herausgelöst und in moderne Cloud-Services überführt.

Für diese hybride, hochregulierte Zielarchitektur bietet noris network als spezialisierter Partner der Finanzbranche modulare und souveräne IT-Infrastrukturlösungen, die Compliance direkt auf Systemebene verankern:

Sicheres Outsourcing und DORA-konforme Infrastruktur

EN 50600 VK4 SK4 & ISO 27001: Die physische Resilienz wird durch das Hosting in den noris-eigenen, nach der strengsten europäischen Norm EN 50600 in der Schutzklasse 4 (höchste Katastrophensicherheit) errichteten Rechenzentren garantiert. Der Betrieb ist nach ISO 27001 auf Basis von BSI IT-Grundschutz zertifiziert und verfügt über das umfassende C5-Typ-2-Testat.

nEC4Finance: Speziell für die strengen Anforderungen des Finanzsektors hat noris network die nEC4Finance entwickelt. Diese Cloud-Plattform ist nativ darauf ausgelegt, die Auslagerungsrichtlinien nach MaRisk, BAIT und DORA lückenlos zu erfüllen, und vereinfacht die behördliche Auditierung signifikant.

Souveränes ServiceNow: Das für DORA-Meldeprozesse kritische Vorfallsmanagement lässt sich über ein souveränes ServiceNow-Modell abbilden. Da der gesamte Betrieb georedundant in deutschen Rechenzentren erfolgt und eine standardmäßige Verschlüsselung (at Rest und in Transit) genutzt wird, bleibt die volle Datenhoheit gewahrt. Ein unbefugter Datenabfluss ins Ausland oder der Zugriff durch Drittstaatenbehörden (z. B. über den US CLOUD Act) ist vertraglich und technisch ausgeschlossen.

Rechtskonforme Hochleistungs-KI unter dem AI Act

Ultra-High-Density-KI-Housing: Um die enormen thermischen Lasten moderner GPU-Server für KI-Modelle effizient zu bewältigen, bietet noris network hochgradig skalierbare Colocation-Lösungen. Das Spektrum reicht von luftgekühlten UHD-KI-Racks mit einer Leistungsaufnahme von bis zu 50 kVA pro Rack bis hin zu schlüsselfertigen HPC-Containern für wassergekühlte GPU-Systeme.

KI as a Service (KIaaS) / LLM as a Service: Für Banken, die sich rein auf die Applikationsebene fokussieren wollen, stellt noris network dedizierte, voll managed Large Language Models auf eigenen Hochleistungs-KI-Clustern bereit. Durch den Einsatz modernster GPU-Generationen (wie der Blackwell B300-Plattform) wird maximale Performance erzielt. Eine vertraglich zugesicherte Zero Data Retention stellt sicher, dass sensible Kundendaten zu keiner Zeit unkontrolliert gespeichert werden oder das Rechenzentrum verlassen, womit die strengen Datenschutz- und AI-Act-Vorgaben nativ erfüllt werden. Die Abrechnung erfolgt dabei flexibel nach genutzter GPU-Slice (S bis XL).

Cloud-Flexibilität ohne Vendor-Lock-in

noris Sovereign Cloud (nSC): Um die für Instant Payments und API-Schnittstellen benötigte Skalierbarkeit zu gewährleisten, bietet die noris Sovereign Cloud eine vollständig quelloffene IaaS- und PaaS-Plattform auf Basis des Sovereign Cloud Stacks (SCS) und OpenStack. Dies verhindert systemische Abhängigkeiten und entspricht vollumfänglich den Mindestanforderungen für regulierte Sektoren.

noris Enterprise Cloud (nEC) Private: Für dedizierte Architekturen steht eine VMware-basierte Private-Cloud-Lösung zur Verfügung, die sich über APIs vollständig automatisiert via Infrastructure as Code (IaC) mit Terraform oder OpenTofu steuern lässt. Die Abrechnung erfolgt transparent über ein flexibles Cloud-Punkte-Modell nach tatsächlichem Verbrauch.

Green IT für das Nachhaltigkeitsreporting: Zur Senkung der Scope-3-Emissionen der Banken-IT sind alle noris-Rechenzentren nach den strengen Umwelt- und Energiestandards ISO 14001 und ISO 50001 zertifiziert und werden zu 100 % mit Ökostrom betrieben. Dank patentierter Kühlsysteme (CECC) gehören sie zu den effizientesten Anlagen weltweit – das im Bau befindliche Hochleistungs-Datacenter in Frankfurt wird beispielsweise einen PUE-Wert von unter 1,2 im Volllastbetrieb erreichen und liefert damit die für BRUBEG- und CSRD-Audits benötigten, harten Umweltkennzahlen.

Fazit: Die strategische Rolle der IT-Infrastruktur

Der Sommer 2026 markiert das Ende von IT-Projekten, die Compliance lediglich kosmetisch behandeln. Die dichte Taktung regulatorischer Fristen – angefangen bei den DORA-Resilienztests über die harte Vollanwendung des EU AI Acts für Scoring-Modelle bis hin zu den Echtzeitanforderungen von Instant Payments und eIDAS 2.0 – zwingt Finanzinstitute zu einer fundamentalen architektonischen Neuausrichtung.

Wer versucht, diese komplexen Anforderungen auf veralteten, intransparenten Systemen abzubilden, scheitert an den operativen Hürden und riskiert existenzbedrohende Sanktionen. Erst eine technologisch souveräne, hochverfügbare und konsequent zertifizierte Infrastruktur schafft das Fundament, auf dem Banken und Versicherer regulatorische Risiken in echte operative Wettbewerbsvorteile übersetzen können.

Erfahren Sie mehr auf: noris.de