KI-Agenten greifen Zahlungs-APIs an: CERT-In verlangt Meldung binnen sechs Stunden

Indische Sicherheitsbehörden schlagen Alarm angesichts einer neuen Welle automatisierter Cyberangriffe auf das Finanzsystem. In einer gemeinsamen Warnung rufen die Cybercrime-Behörde I4C des indischen Innenministeriums und das Computer Emergency Response Team CERT-In Banken, Nicht-Banken-Finanzgesellschaften (NBFCs) sowie Fintech-Unternehmen zu erhöhter Wachsamkeit auf.

Kriminelle setzen demnach verstärkt auf sogenannte agentische künstliche Intelligenz, um Finanznetzwerke und Zahlungsschnittstellen in Maschinengeschwindigkeit anzugreifen.

Schnelle Auszahlungssysteme im Visier von Cyberkriminellen

Laut dem Bericht der Behörden nutzen Angreifer gezielt ungepatchte Software und Fehlkonfigurationen auf Servern aus. Das primäre Ziel sind Auszahlungssysteme und Zahlungs-APIs. Die autonomen KI-Agenten agieren dabei so schnell, dass herkömmliche Kontrollen oft überrannt werden. Entwendete Gelder fließen typischerweise unmittelbar auf sogenannte Mule-Konten und werden über die Systeme IMPS oder NEFT weitergeleitet.

Um ihre Spuren zu verwischen, löschen die Täter im Anschluss systematisch die zugehörigen Protokolldateien. Nach Angaben von I4C und CERT-In führten unautorisierte Transaktionen über Auszahlungssysteme und APIs in Einzelfällen bereits zu Schäden in Millionenhöhe beziehungsweise mehreren Crore Rupien. Der Schritt folgt nur wenige Tage nach einer ähnlichen Warnung der indischen Zentralbank. Die Angriffe seien klar finanziell motiviert.

Zahlen des National Cybercrime Reporting Portal (NCRP) verdeutlichen das Gesamtausmaß: Für den Zeitraum von 2023/24 bis 2025/26 verzeichnete das Portal mehr als 5.387.905 Beschwerden wegen Cyberbetrugs sowie über 181.271 offizielle Strafanzeigen (FIRs). Die Gesamtschadenssumme überstieg 56.087 Crore Rupien. Davon konnten die Behörden mehr als 9.079 Crore blockieren und über 206 Crore erstatten.

Strikte Meldepflichten und technische Abwehrmaßnahmen

Wer sich mit der zunehmenden Automatisierung von Cyberattacken befasst, muss auch die rechtlichen Rahmenbedingungen im Blick behalten. Dieser kostenlose Download verschafft Ihnen den nötigen Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen

Um den Angriffen zu begegnen, fordern I4C und CERT-In die Finanzinstitute zur Umsetzung konkreter Schutzvorgaben auf, die sich an einem Blueprint von CERT-In aus dem Mai 2026 orientieren. Die Institute müssen ein lückenloses Inventar aller Programmierschnittstellen führen und veraltete Schnittstellen unverzüglich abschalten.

Zudem verschärfen die Behörden den zeitlichen Rahmen bei Sicherheitsvorfällen drastisch: Betroffene Unternehmen sind aufgefordert, Zwischenfälle binnen sechs Stunden nach der Entdeckung sowohl an CERT-In als auch über das DAKSH-Portal an die indische Zentralbank Reserve Bank of India zu melden.

Internationale Regulierer ziehen nach

Die Risiken durch autonome KI-Modelle beschäftigen unterdessen Aufsichtsbehörden weltweit. Das US-amerikanische Office of the Comptroller of the Currency (OCC) veröffentlichte ein 22-seitiges aufsichtliches Rahmenwerk für KI-Systeme.

Darin stuft die Behörde vollautonome Zahlungsagenten und Systeme zur Kreditentscheidung in Echtzeit in die höchste von vier Risikoklassen ein. Auslöser für den Leitfaden waren unter anderem Berichte über unbefugte KI-Agenten von Drittanbietern in Kundenkonten bei US-Großbanken wie JPMorgan, Morgan Stanley, Citigroup und der Bank of America.

Angesichts neuer technologischer Bedrohungen warnen Compliance-Experten davor, die aktuellen regulatorischen Anforderungen zu ignorieren. Sichern Sie sich jetzt den kostenlosen Umsetzungsleitfaden zum EU AI Act inklusive aller relevanten Übergangsfristen, um rechtlich auf der sicheren Seite zu stehen. Kostenloses E-Book zum AI Act herunterladen

Auch europäische Währungshüter reagieren auf den wachsenden Druck: Die Europäische Zentralbank (EZB) unter Aufsichtschefin Claudia Buch hatte Institute bereits im Juli dazu aufgefordert, Aktionspläne gegen KI-gestützte Angriffe bis Ende Oktober 2026 vorzulegen. Diese werden ab November durch Aufsichtsteams kontrolliert.

Da hochentwickelte KI-Systeme Sicherheitslücken zunehmend automatisiert aufspüren, steigen die Anforderungen an Reaktionszeiten und die Cyber-Resilienz der Institute weltweit deutlich.