KI-Sicherheitsprüfung erzeugt massive Personalspitze
Bank of America hat im zweiten Quartal 2026 zusätzlich 1.000 externe IT-Spezialisten eingestellt. Sie sollen Sicherheitslücken beheben, die Anthropics KI-Modell Mythos im Code der Bank identifiziert hat. Die externen Kräfte ergänzen eine bestehende technische Belegschaft von 3.000 Mitarbeitern.
CEO Brian Moynihan bezeichnete den zusätzlichen Personalbedarf als anfängliche Spitzenbelastung. Langfristig sollen die externen Kräfte nicht mehr benötigt werden. Wie lange die Arbeiten dauern und welche Systeme untersucht wurden, ist nicht bekannt.
Die Behebungskosten für die Mythos-Funde und parallel laufende Auflagen zur Geldwäscheprävention beliefen sich laut Moynihan sinngemäß auf „ein paar hundert Millionen plus“.
Diese Summe lässt sich nicht allein Mythos zurechnen. Bank of America hat die Kosten der KI-basierten Sicherheitsprüfung mit Aufwendungen für AML-Auflagen zusammengefasst. AML steht für Anti-Money Laundering und bezeichnet Maßnahmen zur Verhinderung von Geldwäsche.
Mythos findet Schwachstellen schneller als Teams sie beheben
Mythos ist darauf ausgelegt, komplexe Schwachstellen in Software automatisiert zu erkennen. Das Modell kann entsprechende Analysen erheblich schneller durchführen als menschliche Sicherheitsforscher. Ein vergleichbarer Einsatz bei Mozilla brachte im April 2026 insgesamt 271 Schwachstellen in Firefox 150 ans Licht.
Mozilla-CTO Bobby Holley erklärte sinngemäß, bislang sei keine Kategorie oder Komplexität von Schwachstellen bekannt, die Menschen finden könnten und Mythos nicht. Gleichzeitig seien keine Fehler aufgetaucht, die ein menschlicher Spitzenforscher grundsätzlich nicht ebenfalls hätte finden können.
Der entscheidende Vorteil liegt damit weniger in einer völlig neuen Art der Sicherheitsforschung als in Geschwindigkeit und Skalierung. Bereits ein früherer Einsatz zeigte, wie Anthropic Mythos eine kritische Sicherheitslücke aufdeckte. Genau diese Skalierung kann jedoch einen Patch-Rückstau erzeugen, wenn die Behebungskapazität nicht im gleichen Maß wächst.
Die wichtigsten Zahlen im Überblick
| Kennzahl | Angabe |
|---|---|
| Zusätzliche externe IT-Kräfte | 1.000 |
| Bestehende technische Mitarbeiter | 3.000 |
| Gebündelte Behebungskosten für Mythos und AML | Ein paar hundert Millionen US-Dollar plus |
| Aktive KI-Projekte | Rund 130 |
| Erwarteter Return on Investment je KI-Projekt | 2x bis 3x über die Zeit |
| Erwarteter KI-Nutzen 2026 | 250 bis 300 Millionen US-Dollar |
| Erwarteter KI-Nutzen bis Ende 2027 | Bis zu 700 Millionen US-Dollar |
| Durch Mythos gefundene Firefox-Schwachstellen | 271 |
Bank of America hat parallel rund 3.000 Stellen abgebaut, darunter 5 % der Führungspositionen. Welchen Anteil KI an diesem Abbau hatte, nannte die Bank nicht. Auch die erwarteten finanziellen Vorteile der rund 130 KI-Projekte wurden nicht nach einzelnen Anwendungen oder Einsparquellen aufgeschlüsselt.
Hinzu kommen mehr als 1,9 Milliarden US-Dollar an Strafen und Vergleichen mit US-Behörden wegen Geldwäsche- und Sanktionsverstößen. Diese regulatorischen Zahlungen sind von den laufenden Behebungskosten zu unterscheiden. Sie erklären jedoch, warum Mythos-Aufwendungen und AML-Maßnahmen in der Kommunikation gemeinsam betrachtet wurden.
Was der Fall für Unternehmen im DACH-Raum bedeutet
Für Banken, Versicherungen und andere regulierte Unternehmen entsteht ein neues Kapazitätsproblem. DORA und NIS-2 erhöhen den Druck, technische Risiken strukturiert zu erfassen und zu bearbeiten. Wenn eine KI in kurzer Zeit Hunderte Altlasten findet, müssen Bewertung, Priorisierung, Tests und Freigaben dennoch von geeigneten Teams übernommen werden.
Die Kosten der Fehlersuche sinken, während sich ein größerer Teil des Aufwands auf die Behebung verlagert. Das gilt für proprietäre Eigenentwicklungen ebenso wie für Open-Source-Komponenten. Werkzeuge wie Anthropics kostenloser OSS Scanner können die Analyse erleichtern, ersetzen aber weder Entwicklerkapazität noch belastbare Prozesse für Updates und Notfallkorrekturen.
KI-Audits brauchen ein eigenes Behebungsbudget
Unternehmen sollten automatisierte Sicherheitsprüfungen deshalb nicht nur als Lizenz- oder API-Posten kalkulieren. Vor dem Start müssen Verantwortlichkeiten, Priorisierungskriterien und verfügbare Entwicklungskapazitäten geklärt sein. Andernfalls produziert das Analysewerkzeug schneller neue Tickets, als bestehende Teams sie schließen können.
- Kritische Systeme und Schwachstellenklassen vorab priorisieren
- Kapazitäten für Prüfung, Behebung und Regressionstests reservieren
- Funde gestaffelt ausrollen, statt sämtliche Codebasen gleichzeitig zu prüfen
- Externe Spezialisten und deren Kosten für Lastspitzen einplanen
- Zugriffsrechte, Datenverarbeitung und Aufbewahrung des untersuchten Codes klären
Gerade bei Eigenentwicklung und Self-Hosting bleibt KI-gestützte Codeanalyse ein starkes Werkzeug. Sie kann Abhängigkeiten von teuren Prüfangeboten reduzieren und die Sicherheit eigener Systeme verbessern. Der Bankfall macht jedoch deutlich, dass die eigentliche Kostenfrage erst nach dem Scan beginnt, ein Punkt, der auch zur verbreiteten Skepsis gegenüber den Ergebnissen von KI-gestützter Softwareentwicklung passt.