Europa verfügt über ein umfassendes – nach Meinung nicht weniger über ein viel zu umfassendes - System der Aufsicht über die hier tätigen Banken. Diese Aufsicht prüft die ausreichende Kapitalausstattung, den Risikogehalt vergebener Kredite und beschränkt deren Volumen, wenn ihr das Risiko zu hoch erscheint. Die Aufsicht prüft auch die Organisation und die Gestaltung der Abläufe im Bankgeschehen nach den Kriterien der Sicherheit, des Datenschutzes, und des Kundeninteresses.
Schließlich soll die Aufsicht dafür sorgen, dass vom Bankensystem keine Risken für die Gesamtwirtschaft ausgehen, wie es in der Vergangenheit spätestens seit 1929 (oder wenn man so will, seit der holländischen Tulpenspekulation der frühen Neuzeit) wiederholt der Fall gewesen ist.
Aber am Anfang solcher Krisen sind fast immer Produktrisken gestanden, die schlagend geworden sind. Auch die große Finanzkrise des Jahres 2008 hat mit Wertpapieren begonnen, deren Risiko eigentlich klar ersichtlich war. Wenn Pfandbriefe und vergleichbare Wertpapier mit erstrangigen Hypotheken innerhalb der ersten 80% des Schätzwertes besichert sind, dann passiert bei einem Rückgang der Preise um 20 % nicht viel. Wenn aber scheinbar ähnliche Wertpapiere mit Hypotheken besichert werden, die im Rang nur nach 80% Vorhypotheken zum Zug kommen können, dann sollte jedem auch nur halbwegs Rechenfähigen klar sein, dass diese Hypotheken nur mehr genau Null wert sind, und das ganze damit besicherte Papier auch nicht mehr, wenn das Preisniveau um 20% sinkt.
Genau solche nachrangig besicherten Papiere sind damals aber in riesigen Volumina auf den Marktgeworfen worden und wurden, übrigens auch von Banken, eifrigst gekauft. Weder die Ratingagenturen noch die Bankaufsichtsbehörden haben vor dem Ankauf gewarnt, geschweige denn volumensmäßige Beschränkungen eingeführt.
Zu einer Bankenkrise wurde diese Produktkrise erst, als die Großbank Lehmann wegen der Menge an wertlosen Papieren, die sie aufgenommen hatte, unterging und mit ihr die Einlagen anderer Banken, die diese bei Lehmann gehalten hatten. Ab da traute praktisch kaum eine Bank mehr anderen Banken und gemeinsam stürzten viele in eine existentielle Krise, aus der sie nur mehr mit enormen Einsatz staatlicher Mittel wieder herausgeholt werden konnten. Teuer kam vor kurzem die Schweiz der Untergang der Credit Suisse. Aber auch hier hatten die Probleme mit Produkten begonnen, die manchen Kunden schwere Verluste gebracht hatten.
Die Analyse komplexer Produkte steht leider trotzdem nicht im Zentrum aufsichtsrechtlicher Bemühungen. Das hängt zu einem guten Teil mit der kaum übersehbaren Vielfalt an Produkten zusammen, könnte sich aber bald als großes Problem erweisen. Denn auf das Bankensystem kommt ein völlig neues Risiko zu. Das stammt aus der Kombination von künstlicher Intelligenz mit den neuen Quantencomputern.
Dazu muss man kurz ausholen. Bisherige Computer arbeiten mit Bits, elektronischen Ladungsträgern, die einen der beiden Zustände annehmen können: Elektrisch geladen oder eben nicht elektrisch geladen. Das identifiziert man als Null oder Eins und mit der Anhäufung solcher Bits kann man Informationen speichern, indem durch eine jeweils spezifische Aneinanderreihung von Nullen und Einsern eine Information genau definiert werden kann. Hat man genug Bits beisammen, kann man nicht nur immer mehr speichern, sondern auch immer kompliziertere Rechenoperationen durchführen und auch, wie die heutige Entwicklung der künstlichen Intelligenz zeigt, komplizierte Sachverhalte auf nicht gleich zu erkennende Strukturen durchleuchten.
Bei den neuen Computern ist die Technik eine völlig andere. Sie beruht auf dem merkwürdigen Phänomen der Quantenphysik, wonach ein einzelnes Elementarteilchen nicht einen oder zwei, sondern viele Zustände annehmen kann. Berühmt ist die mögliche Gleichzeitigkeit, Teilchen oder Welle zu sein, aber da gibt es noch viel mehr Varianten. Und seitdem es gelungen ist, mit Hilfe einer speziellen Lasertechnik einzelne Quanten quasi einzufangen und zu kontrollieren und in verschiedene Zustände zu versetzen, kann man diese Zustände auch messen und stabilisieren. Die so geschaffenen Bits werden gerne QBits genannt
Die Kapazität eines Computers ergibt sich aus der Anzahl der möglichen Kombination verschiedener Zustände. Bei traditionellen Bits sind das bei 2 Bits eben 2 mal 2, also vier, bei drei sind es acht, und so weiter. Nehmen wir aber Qbits mit beispielsweise 5 möglichen Zuständen – wobei die Zahl der möglichen Zustände letztlich nur eine Frage der technischen Beherrschbarkeit ist - dann kommen wir bei 2 Qbits auf 25 mögliche Kombinationen, bei drei bereits auf 125, und so geht es weiter.
Die technische Entwicklung verläuft mit beeindruckendem Tempo. Die aktuelle Nummer eins der schnellsten konventionellen Supercomputer, „Frontier“ in Oak Ridge, ist bei bestimmten komplexen Rechenoperationen gerade vom Quantencomputer „Sycamore“ von Google überholt worden. Und die bisherige technologische Barriere für die Verbreitung von Supercomputern, die Notwendigkeit vom Arbeiten bei dreistelligen Minusgraden, scheint beim Einsatz synthetischer Diamanten wegen deren robuster atomarer Strukturen nicht mehr notwendig zu sein, wie die Forschungsgemeinschaft Parity QC und Quantum Brilliance gerade berichtet haben. Die deutsche Fraunhofer Forschungsgesellschaft arbeitet übrigens bereits mit einem von IBM entwickelten Quantencomputer, der völlig neue Dimensionen der Analyse ermöglicht.
Völlig neue Dimensionen der Analyse können sich allerdings auch Kriminelle zunutze machen, die in die Sicherheitssysteme von Banken einbrechen wollen, Die Deutschen Behörden haben das Problem bereits erkannt. Die Präsidentin des deutschen BSI (Bundesamt für Sicherheit in der Infrastruktur) hat geäußert, es müsse jetzt schon gehandelt und Schutzmaßnahmen ergriffen werden. Mathematiker und spezialisierte Unternehmen wie etwa Secunet arbeiten bereits an neuen hochsicheren Verschlüsselungssystemen auf der Basis komplexer mathematischer Strukturen mit klingenden Namen wie multivariate Polynomiale oder supersinguläre elliptische Kurven, die aus Grenzgebieten der Mathematik stammen. Und die Deutsche Finanzmarktaufsicht Bafin meint, eigentlich müsse man bereits ab 2027 mit Angriffen unter Zuhilfenahme von Quantencomputern rechnen.
Damit zum Bankensektor. Die Kombination von Künstlicher Intelligenz mit leistungsfähigen Quantencomputern macht es möglich, in bisher unvorstellbarem Tempo auch immer kompliziertere Verschlüsselungssysteme zu knacken. Je leistungsfähiger ein Verschlüsselungssystem ist, desto mehr Rechenoperationen sind erforderlich, bis man es knacken kann. Für manche existierende Schlüssel braucht man mit heutigen Computern Monate mit höchster Rechengeschwindigkeit, um sie knacken zu können. Aber das gilt eben nur für herkömmliche Computer. Die neuen Quantencomputer stehen erst am Anfang ihrer Entwicklung, und niemand weiß, wie schnell sie noch werden.
Werden sie aber schnell genug, dann sind alle Produkte, die auf herkömmlichen Verschlüsselungssystemen beruhen, nicht mehr sicher. Und das gilt für alle Systeme, die auf der bisherigen Blockchain-Technologie beruhen, wie etwa Bitcoin. Banken verfügen auch über umfangreiches elektronisch gespeichertes Archivmaterial. Mehr und mehr verwenden sie die Technik der non fungible Tokens für heikle Informationen, um diese bestmöglich zu schützen. Die meisten der dabei verwendeten Verschlüsselungstechnologien beruhen auf der Anwendung von hohen Primzahlen, und es ist richtig, dass man solche Systeme mit herkömmlichen Rechengeschwindigkeiten kaum knacken kann. Aber die herkömmlichen Geschwindigkeiten könnten bei den völlig neuen Dimensionen von Rechengeschwindigkeit bald Schnee vom letzten Jahr sein.
Die offene und eigentlich kritische Frage ist daher nicht, ob Kryptowährungen und Speichersysteme, die auf konventionellen Verschlüsselungssystemen beruhen, noch sicher sind. Das sind sie nicht. Die Frage ist vielmehr, ob sie trotz ihrer Besonderheiten, die ja gerade auf konventionellen Verschlüsselungssystemen aufbauen, noch rechtzeitig umgeschlüsselt werden können, bevor Angriffe auf die Datensicherheit mit völlig neuen und noch wesentlich leistungsfähigeren Technologien erfolgen.
Das potentielle Risiko, das sich da abzeichnet, umfasst nicht weniger als den Diebstahl, oder vielleicht sogar die Zerstörung ungeheurer Beträge, ein unabschätzbares Risiko für Transaktionen überhaupt, und die Gefährdung der Sicherheit jeder Menge von Datenbeständen von Banken, die für die Banken und für ihre Kunden von wesentlicher Bedeutung sein könnten. Das Thema ist extrem komplex und bekommt durch die laufende technische Entwicklung ständig ein neues Gesicht und neue Aspekte. Man kann daher heute nicht seriös sagen, wie groß die Risken genau sind, ob und wie sie aufgefangen werden können und wie ihnen zu begegnen ist.
Man kann allerdings auch heute schon mit Bestimmtheit sagen, dass dieses Thema jede Menge Aufmerksamkeit erfordert, und dass die Aufsichtsbehörden europaweit, wenn nicht weltweit jetzt schon beginnen sollten, das mögliche Risiko zu analysieren. Es könnte rascher als erwartet zu einem weit größeren Thema werden als so manches, mit dem sich heute Aufsichtsbehörden befassen.
Von Dr. Manfred Drennig, Geschäftsführender Gesellschafter der PRIVATCONSULT Vermögensverwaltung GmbH
Weitere Gastkommentare von Dr. Drennig:
