Pexon Consulting | 8 Min. Lesezeit | 16.07.2026
TL;DR
KI im Bankwesen 2026 heißt: Core-Banking per Strangler-Pattern modernisieren, Fraud-Detection und KYC automatisieren, KI-Governance DORA- und BaFin-konform aufsetzen. Wir bei Pexon (80 Mitarbeiter, Microsoft Partner) bringen Piloten in den Produktivbetrieb – typisch 30 bis 50 Prozent kürzere Fraud-Reaktionszeit und auditierbare Modelle statt Schatten-KI. Der Aufwand bleibt planbar.
Das Problem: Der Core-Banking-Monolith bremst jede KI-Initiative
Die meisten Banken scheitern nicht an fehlenden KI-Ideen. Sie scheitern am Kern ihrer eigenen IT. Ein Core-Banking-System, das seit zwei Jahrzehnten läuft, ist selten dokumentiert, kennt keine offenen Schnittstellen und speichert Kundendaten in einer Struktur, die niemand mehr vollständig überblickt. Genau darauf soll dann Echtzeit-Betrugserkennung oder ein KI-Kreditscoring aufsetzen.
Das funktioniert nicht. Wer ein ML-Modell mit Transaktionsdaten füttern will, braucht diese Daten in Minuten, nicht im nächtlichen Batch. Wer KYC automatisieren will, braucht einen sauberen Datenfluss vom Onboarding bis in den Bestand. Die Realität sieht anders aus: Daten liegen in getrennten Silos, jede Abteilung pflegt ihre eigene Wahrheit, und ein einheitliches Kundenbild existiert nur auf PowerPoint-Folien.
Unsere Position dazu ist unbequem, aber klar: Solange der Monolith die einzige Datenquelle bleibt, ist jede KI-Initiative ein teurer Prototyp. Der erste Schritt ist nicht das Modell. Der erste Schritt ist der Datenzugang.
Strangler-Pattern statt Big-Bang: So modernisieren Sie Core-Banking
Der klassische Reflex ist der große Wurf: Kernbankensystem ablösen, alles neu, in drei Jahren fertig. Diese Projekte scheitern zuverlässig, überziehen Budgets und binden IT-Teams, die dann für nichts anderes mehr Kapazität haben. Wir raten grundsätzlich davon ab.
Der bessere Weg ist das Strangler-Pattern. Statt den Monolithen in einem Rutsch zu ersetzen, legen Sie eine moderne Schicht davor und ziehen Funktion für Funktion heraus. Neue Services entstehen als eigenständige Bausteine, greifen zunächst noch auf den alten Kern zu und übernehmen dann schrittweise die Datenhoheit. Der Monolith wird über Jahre „erwürgt“, nie stillgelegt in einem riskanten Big-Bang.
Konkret heißt das für uns: Ein Event-Streaming-Layer entkoppelt die Datenströme, eine Data-Mesh-Architektur gibt jeder Fachdomäne Eigentum über ihre Daten samt Qualitätszusage, und die Analytik läuft auf einer Plattform wie Databricks oder Microsoft Fabric, ohne den Produktivbetrieb des Kernsystems zu belasten. So bekommen Sie Real-time-Daten, ohne den Monolithen anzufassen. Für Banken, die Sprachmodelle auf sensiblen Daten betreiben wollen, ohne sie in eine Public Cloud zu geben, haben wir das Muster in unserem Beitrag zu Private AI unter DORA und BAIT im Detail beschrieben.
Fraud-Detection und KYC in Echtzeit
Hier liegt der schnellste Hebel, weil sich der Nutzen direkt in Euro und Sekunden messen lässt. Regelbasierte Betrugserkennung produziert entweder zu viele Fehlalarme oder übersieht neue Muster. Ein ML-Modell, das auf Verhaltens- und Transaktionsdaten trainiert, erkennt Anomalien, die keine statische Regel je erfassen würde.
Die Zahlen aus der Branche stützen das. Laut einer BioCatch-Umfrage vom Juni 2026 unter 1.440 Fach- und Führungskräften der Bankenbranche berichten 85 Prozent der Institute mit Machine-Learning-Einsatz von einer verbesserten Betrugserkennung. Gleichzeitig sehen 84 Prozent der Befragten KI-Agenten als die größte ausnutzbare Schwachstelle des kommenden Jahres. Beides gehört zusammen: KI erkennt Betrug besser und ermöglicht ihn zugleich raffinierter. Wer hier nur zuschaut, verliert.
Beim KYC-Onboarding ist die Rechnung ähnlich eindeutig. Dokumentenprüfung, Abgleich gegen Sanktionslisten und Plausibilitätschecks lassen sich mit Azure OpenAI und angebundenen Prüfdiensten so weit automatisieren, dass aus Tagen Minuten werden. Der Sachbearbeiter entscheidet nur noch die Grenzfälle. Unsere Empfehlung: Starten Sie mit Fraud oder KYC, nicht mit dem Kreditscoring. Fraud liefert schnellen, messbaren Wert und fällt regulatorisch nicht sofort unter die schärfsten Auflagen des EU AI Act.
DORA und EU AI Act: KI-Governance ist ab 2026 Pflicht
Regulatorik ist im Bankwesen kein Anhang, sondern die Bedingung für jeden Go-live. Zwei Rahmenwerke bestimmen 2026 das Tempo.
DORA ist seit dem 17.01.2025 anwendbar. 2026 ist BaFin in den Enforcement-Modus gewechselt. Das Meldefenster für das Informationsregister der IKT-Drittdienstleister lief vom 09. bis 30.03.2026, und die Nachsicht des Übergangsjahres 2025 ist vorbei. Nach Branchenerhebungen erfüllen rund 44 Prozent der Finanzinstitute die DORA-Anforderungen noch nicht vollständig. Parallel wird die BAIT zum 31.12.2026 aufgehoben, weil DORA sie ablöst. Wer seine Cloud-Nutzung und Auslagerungen nicht sauber dokumentiert, hat 2026 ein Prüfungsproblem. Die konkreten Anforderungen an Cloud-Auslagerung haben wir im Beitrag zu den Cloud-Vorgaben der Aufsichtsbehörden aufgeschlüsselt.
Der EU AI Act stuft KI-gestütztes Kreditscoring als Hochrisiko-System ein (Annex III). Ursprünglich sollten die Pflichten am 02.08.2026 greifen. Mit dem Digital-Omnibus, den das EU-Parlament am 16. Juni 2026 und der Rat am 29. Juni 2026 final gebilligt haben, verschiebt sich die Anwendung für eigenständige Annex-III-Systeme auf den 02.12.2027. Entwarnung ist das nicht: Die Änderungsverordnung (EU) 2026/1744 ist seit 27.07.2026 in Kraft, und Verstöße gegen die Hochrisiko-Vorgaben können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes kosten. Wer Credit-Scoring-Modelle baut, braucht Risikomanagement, Datengovernance, technische Dokumentation und menschliche Aufsicht von Anfang an, nicht als Nachrüstung.
Unsere Position: Governance ist kein Bremsklotz, sondern das, was Ihren Piloten überhaupt produktionsreif macht. Auditierbarkeit von Anfang an mitzudenken ist billiger als jede Nachdokumentation unter Prüfungsdruck.
Was kostet das, und wie lange dauert es?
Pauschale Zahlen sind unseriös, aber Größenordnungen helfen bei der Planung. Ein fokussierter Fraud- oder KYC-Anwendungsfall ist in der Regel in acht bis zwölf Wochen im Pilotbetrieb, wenn der Datenzugang steht. Der teure Teil ist selten das Modell, sondern die Datenanbindung an den Altbestand. Zum Vergleich der Größenordnung auf Marktseite: Für die 3.600 Institute in Deutschland werden allein die DORA-Umsetzungskosten branchenweit auf bis zu 150 Millionen Euro geschätzt.
Unsere Empfehlung zur Reihenfolge: Erst ein schmaler Anwendungsfall mit klarem ROI, parallel das Data-Mesh-Fundament, dann die schrittweise Core-Modernisierung. Wer die Reihenfolge umdreht und mit dem großen Plattform-Umbau startet, verbrennt Budget, bevor der erste Euro Nutzen entsteht.
Häufig gestellte Fragen
Was kostet ein KI-Projekt im Bankwesen realistisch?
Ein fokussierter Fraud- oder KYC-Pilot liegt meist im niedrigen sechsstelligen Bereich und ist in acht bis zwölf Wochen produktiv, sofern der Datenzugang steht. Der Hauptkostentreiber ist die Anbindung an den Core-Banking-Altbestand, nicht das Modell selbst.
Brauchen wir für KI-Kreditscoring schon 2026 eine EU-AI-Act-Zertifizierung?
Die Hochrisiko-Pflichten für eigenständige Credit-Scoring-Systeme wurden mit dem Digital-Omnibus (final gebilligt Ende Juni 2026) auf den 02.12.2027 verschoben. Wer jetzt baut, sollte Risikomanagement, Datengovernance und menschliche Aufsicht trotzdem von Beginn an mitziehen, weil Nachrüsten unter Prüfungsdruck teurer wird.
Können wir KI nutzen, ohne DORA zu verletzen?
Ja. DORA verbietet keine KI, sondern verlangt Nachweise: IKT-Risikomanagement, Register der Drittdienstleister, Incident-Reporting und Resilienz-Tests. Cloud-basierte KI ist zulässig, wenn Auslagerung und Datenresidenz sauber dokumentiert sind.
Müssen wir das Core-Banking-System komplett ablösen?
Nein, und wir raten in aller Regel davon ab. Das Strangler-Pattern zieht Funktionen schrittweise aus dem Monolithen, ohne einen riskanten Big-Bang. Sie modernisieren über Jahre, ohne den laufenden Betrieb zu gefährden.
Wie halten wir sensible Bankdaten bei KI in der Cloud sicher?
Über Datenresidenz in europäischen Regionen, Verschlüsselung, klare Zweckbindung nach DSGVO und wo nötig ein Private-AI-Setup, bei dem Modelle in Ihrer kontrollierten Umgebung laufen. Welcher Weg passt, hängt von Schutzbedarf und Aufsichtsvorgaben ab.
Nächster Schritt
Der schnellste Einstieg ist kein Plattform-Projekt, sondern ein Anwendungsfall mit messbarem ROI und ein ehrlicher Blick auf Ihren Datenzugang. Genau daran arbeiten wir mit Banken vom ersten Workshop bis in den Produktivbetrieb.
Verwandte Themen
