Am 22. Oktober 2026 hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) gemeinsam mit dem kanadischen Centre for Cyber Security und Partnerbehörden die gemeinsame Leitlinie „Managing AI Token Consumption for Operational Resilience" veröffentlicht. In derselben Woche stellten JPMorgan Chase, Citigroup, Bank of America und Charles Schwab klar: Nicht autorisierte KI-Agenten Dritter dürfen sich nicht in Kundenkonten einloggen und kein Kundengeld bewegen. Beide Entwicklungen weisen auf dieselbe Compliance-Realität hin — nutzungsbasierte Abrechnung von KI und ihre Fähigkeit, in Ihrem Auftrag zu handeln, werden zu Risiken, die Unternehmen managen müssen.
Was die Leitlinie regelt: neue Angriffsarten und ein dreistufiges Prioritätsmodell
Die Leitlinie, veröffentlicht auf der Website des kanadischen Centre for Cyber Security (Referenz ITSM.00.125), richtet sich an Organisationen, die „Super-Intelligence"-Dienste Dritter nutzen, mit Schwerpunkt auf Betreibern kritischer Infrastrukturen und Cyber-Abwehrteams. Unter den genannten Risiken stechen zwei neue Angriffsarten hervor: Denial-of-Tokens- und Denial-of-Wallet-Angriffe.
Ein „Denial-of-Wallet"-Angriff zielt nicht auf das System, sondern auf die Rechnung. Angreifer nutzen das nutzungsbasierte Preismodell von KI aus und verbrennen mit übermäßig komplexen Eingaben oder KI-Selbstschleifen (Outputs werden wieder als Inputs eingespeist) böswillig das Token-Kontingent oder Budget der Opferorganisation; ist das Kontingent aufgebraucht, steht auch das legitime Geschäft still.
Der Governance-Rahmen ist ein Drei-Stufen-Modell: Stufe 1 „mission critical" (Cyber-Abwehr, Incident Response, Threat Intelligence) hat höchste Priorität; Stufe 2 „operativ" (Compliance-Aktivitäten, Politikanalysen) wird laufend überwacht und kostenkontrolliert; Stufe 3 „Produktivität" (E-Mails schreiben, Meeting-Zusammenfassungen) kann in Spitzenzeiten gedrosselt werden. Zu den begleitenden Maßnahmen gehören schlankere Prompts, Cache-Wiederverwendung, aufgabenangemessene Modellauswahl (kleine Modelle oder lokale Modelle für kleine Aufgaben), ein bereichsübergreifendes KI-Governance-Team, die Einspeisung von Token-Telemetrie ins Security Operations Center sowie eine Risikobewertung, bevor KI-Agenten autonom arbeiten dürfen.
In derselben Woche handelten die Banken zuerst: KI-Agenten dürfen kein Geld bewegen
Am 14. Oktober erklärte JPMorgan-CEO Jamie Dimon im Earnings Call, externe KI-Agenten würden nicht in Kundenkonten gelassen, um „unkontrollierbare Agenten" zu verhindern. Die Financial Times berichtete daraufhin, Citigroup verbiete KI-Agenten oder Assistenten Dritter, sich in Kundenkonten einzuloggen oder direkt auf den digitalen Banking-Plattformen zu handeln; Bank-of-America-CEO Brian Moynihan sagte gegenüber CNBC, Geld, das ein Konto verlasse, müsse eine „Human-in-the-Loop"-Freigabe durchlaufen, während die Bank noch kläre, wer für „eine von KI genehmigte Zahlung" hafte.
Charles-Schwab-CEO Rick Wurster verriet, man blockiere wöchentlich dutzendfach nicht autorisierte Agenten. Am 22. Oktober meldete Reuters unter Berufung auf Axios, mehrere Banken würden nicht autorisierte KI-Agenten Dritter aufspüren und aus Kundenkonten entfernen, die sich dort eingenistet hätten — einige hätten versucht, Aktionen auszuführen, die Nutzer nie angefordert hatten. Der gemeinsame Nenner aller vier Richtlinien: Nur-Lesen-Funktionen wie Kontostandsabfragen bleiben, Geld bewegen nicht.
Zusammengedacht: Wen trifft es, was ist zu tun
Beide Entwicklungen sind zwei Enden derselben Logik: Die Leitlinie regelt „KI-Ausgaben", die Banken regeln „KI-Geldbewegungen". Am stärksten betroffen sind drei Gruppen — Teams, deren Kerngeschäft auf LLM-APIs Dritter läuft, Finanz- und E-Commerce-Szenarien, in denen KI-Agenten Kundengelder oder sensible Daten berühren, sowie Betreiber kritischer Infrastrukturen.
Die umsetzbare Checkliste folgt der Leitlinie: KI-Nutzung staffeln und Kontingente für kritische Funktionen separat absichern; Autorisierungsgrenzen für Agenten ziehen, mit getrennten Freigabewegen für Nur-Lesen-Zugriff und Geldbewegungen, bei Letzteren mit menschlicher Bestätigung; Token-Verbrauch ins Sicherheitsmonitoring aufnehmen und abnormale Spitzen wie mutmaßliche Datenabflüsse behandeln; Kontingente, Drosselung und Degradationsgarantien in Lieferantenverträge schreiben. Der Banken-Ansatz „Lesen bleibt, Geld bewegen wird blockiert" ist eine fertige Referenz — es geht nicht darum, Agenten zu verbieten, sondern darum, einem Agenten nicht mit Ihrem Passwort unterschreiben zu lassen.
Geltungsbereich: Das sind US-Regeln — nicht als global missverstehen
Der Geltungsbereich muss klar benannt werden. Die CISA-Leitlinie wurde von einer US-Bundesbehörde gemeinsam mit den Cyberbehörden Kanadas, Australiens, des Vereinigten Königreichs und Neuseelands herausgegeben; sie bindet Organisationen in diesen Ländern, insbesondere kritische Infrastrukturen — sie ist kein globaler Pflichtstandard. Die Sperren der vier Banken sind jeweils Unternehmensrichtlinien und gelten nur für deren eigene Kundenkonten.
Was chinesische Unternehmen direkt übernehmen können, ist die Methodik: Kostengovernance unter nutzungsbasierter Abrechnung, Least-Privilege-Autorisierung für Agenten und menschliche Freigabe bei Geldbewegungen. Die kürzlich vom Financial Stability Board finalisierten Finanz-KI-Praktiken — menschliche Freigabe, bevor Hochrisiko-Agenten handeln (/zh/article/2643-fsb-jin-rong-ai-1-2-xiang-zuo-fa-ding-gao-gao-feng-xian-zhi-neng-ti-dong-shou-qi) — folgen derselben Linie. Aber „wer haftet für eine von KI genehmigte Zahlung" ist eine Frage, die selbst US-Banken nicht geklärt haben, und China hat ebenfalls keine fertige Antwort — die entsprechenden Verträge und internen Regelungen müssen vorab geschaffen werden. US-Regulierungsbewegungen als global gültige Regeln zu behandeln, ist der häufigste Irrtum in der Compliance.
