Wie baut man 2026 eine Bank? - ein Gedankenexperiment

Das Gedankenexperiment ist verführerisch einfach. Man nehme eine Banklizenz, ein leeres Blatt und den Stand der Technik von 2026 und entwerfe ein Institut ohne jede Altlast, ohne Mainframe, ohne gewachsenen Produktkatalog, ohne eine Organisation, die um die Grenzen ihrer Systeme herumgebaut wurde. Was dabei herauskäme, lässt sich inzwischen präzise beschreiben, denn die Bausteine liegen am Markt. Interessant wird das Experiment durch den Abgleich mit dem Bestand, weil er zeigt, an welcher Stelle die unbequemsten Fragen warten.

Die Bank, die es noch nicht gibt

Technologisch stünde die nächste Bank auf einem cloud-nativen Kernbanksystem, das Produkte in Tagen konfiguriert, seine Funktionen über Schnittstellen anbietet und Betrieb wie Weiterentwicklung weitgehend automatisiert. Marktbeobachter von IBS Intelligence und Celent registrieren, dass cloud-native Anbieter inzwischen die Mehrheit der Greenfield-Ausschreibungen und Digitalbank-Starts gewinnen. Das Betriebskonzept darüber wäre von Beginn an um Künstliche Intelligenz herum organisiert. 

Wie das gemeint ist, hat Marcus W. Mosen, damals Vorstand der N26 und inzwischen aus der Digitalbank ausgeschieden, im Mai auf dem CIBI Innovationstag beschrieben: Eine Neobank sei kein bloßes Produkt ohne Filialen, ihr Betriebskonzept beruhe darauf, dass KI integraler Bestandteil des Betriebssystems und kein Nebenprodukt ist, etwa im Kampf gegen Finanzkriminalität. Seinen Vortrag schloss er nach dem Tagungsbericht von ibi research mit der Prognose, in den nächsten fünf Jahren werde kein junger Mensch mehr ein Konto bei einer etablierten Bank eröffnen, weil deren Marken schlicht nicht mehr wahrgenommen würden. 

Das Geschäftsmodell der nächsten Bank wäre entsprechend schlank geschnitten, mit wenigen eigenen Produkten und einem Netz aus Partnern für alles Übrige. N26 führt dieses Baukastenprinzip bereits vor, mit der Integration des europäischen Bezahlverfahrens Wero ab Juli, Krypto über Bitpanda und dem Investmentgeschäft über Upvest. Der Baukasten selbst ist dabei bemerkenswert europäisch bestückt: Mambu aus Berlin liefert den Cloud-Kern unter anderem für N26 und ABN AMRO und war zeitweise das zweitwertvollste deutsche Fintech überhaupt, Tuum aus Tallinn und Thought Machine sowie 10x aus London komplettieren das Angebot. Auf der Softwareebene hat Europa im Kernbankgeschäft also Substanz aufgebaut, die Abhängigkeitsfrage stellt sich eine Etage tiefer, dazu später mehr. Die Kundenbeziehung liefe zunehmend über Assistenten und Agenten, die Anliegen lösen, bevor sie zum Servicefall werden, und perspektivisch im Auftrag der Kundin verhandeln und bezahlen.

Am radikalsten fiele vermutlich die Antwort auf die Personalfrage aus. Die nächste Bank käme mit einem Bruchteil der heute üblichen Kopfzahl aus, und die verbleibenden Rollen hätten mit klassischen Stellenplänen wenig gemein. Gefragt wären Produktverantwortliche, die Systeme orchestrieren, Fachleute für Modell-Governance und Datenqualität, dazu ein harter Kern für Risiko, Compliance und Aufsichtsbeziehungen. Der Sachbearbeitungs-Mittelbau, in gewachsenen Häusern noch immer die größte Beschäftigtengruppe, käme in diesem Organigramm schlicht nicht mehr vor, eine Verschiebung, deren soziale Sprengkraft die Branche bislang lieber in Effizienzprogrammen versteckt als offen ausspricht.

Möglich wird diese Schrumpfung durch eine Entwicklung, die die Ökonomie des Software-Baus grundlegend verändert. Unter dem Schlagwort Vibe Coding entsteht Code zunehmend aus natürlichsprachlichen Anweisungen, bei einem Viertel der jüngsten Y-Combinator-Startups stammen bereits 95 Prozent der Codebasis von KI. Für die nächste Bank kollabieren damit die Kosten des Selberbauens, die alte Buy-or-Build-Abwägung geht neu aus. 

Für die bestehende rückt die Modernisierung ihrer COBOL-Bestände, über die noch immer rund 70 Prozent aller Banking-Transaktionen laufen, erstmals in erreichbare Nähe, die ING setzt solche Werkzeuge bei ihren Handelssystemen bereits produktiv ein. Die Kehrseite gehört in jede Risikoabteilung, denn nach dem GenAI Code Security Report von Veracode enthält KI-generierter Code in 45 Prozent der Testfälle ausnutzbare Sicherheitslücken, und Code, dessen Entstehungslogik niemand mehr erklären kann, verträgt sich schlecht mit einer Aufsicht, die auf Nachvollziehbarkeit besteht.

Die ökonomische Begründung liefert der Bestand gleich mit, denn Branchenanalysen zufolge geben Banken rund 70 Prozent ihres IT-Budgets allein für den laufenden Betrieb aus, und eine durchschnittliche Kernbank-Migration dauert drei bis sieben Jahre bei Kosten zwischen 100 Millionen und zwei Milliarden Dollar. Die grüne Wiese ist also kein Technologie-Spleen, sie ist die Flucht aus einer Kostenstruktur, die Innovation systematisch erdrückt.

Es gibt sie schon, nur nicht hier

Dass dieses Zielbild mehr ist als eine Fingerübung, belegen Häuser, die ihm bereits erstaunlich nahekommen. WeBank, Chinas erste Digitalbank aus dem Tencent-Umfeld, wurde von The Asian Banker soeben als beste KI-getriebene Bank im asiatisch-pazifischen Raum ausgezeichnet, ausdrücklich für einen Ansatz, der KI als grundlegende Ausführungsschicht des gesamten Geschäfts begreift und eben nicht als Auflage auf bestehende Systeme. Nubank führt den neuen Evident AI Index für Lateinamerika an, in Europa kommen bunq mit seinem Assistenten Finn und die großen Neobanken dem Bild am nächsten. Auffällig ist, dass diese Beispiele sämtlich aus Märkten ohne gewachsene Verbundstrukturen stammen. Für Bestandshäuser ist deshalb eine zweite Kategorie aufschlussreicher: Chase UK, die britische Digitalbank von JPMorgan, läuft auf dem cloud-nativen Kern von 10x und zeigt, dass ein Traditionshaus die nächste Bank neben der alten bauen kann, mit eigener Marke und eigenem Stack.

Wie eine solche Bank beim Publikum ankäme, lässt sich für Deutschland inzwischen empirisch beantworten, und die Antwort fällt differenzierter aus, als Technologie-Enthusiasten vermuten. Die repräsentative NextGen Studie 2026 unter mehr als 1.000 jungen Erwachsenen zeigt eine Generation, für die Multibanking längst Normalität ist, nur sieben Prozent nutzen ausschließlich die Angebote ihrer Hausbank. Zugleich ist dieselbe Generation überraschend bodenständig, Bargeld bleibt ihr meistgenutztes Zahlungsmittel, die Sparkassen stellen mit großem Abstand die häufigste Hausbank, und das höchste Vertrauen genießt die persönliche Beratung, deren Vorsprung gegenüber dem Algorithmus bislang deutlich ausfällt. 

Die Studienautoren raten den Instituten deshalb, KI mit dem eigenen Beratungsangebot zu kombinieren und es damit der Zielgruppe gleichzutun, die sich das Beste aus beiden Welten zusammensucht. Die nächste Bank wäre demnach kein Autopilot, sie wäre ein hybrides Haus, das Beratungskompetenz in eine zeitgemäße digitale Form bringt. Ein Nebenbefund verdient besondere Beachtung, denn Sichtbarkeit in KI-Suchen gilt in der Studie bereits als Hygienefaktor für Banken. Die Kundenbeziehung erodiert nicht durch Kündigung, sie erodiert App für App und künftig Antwort für Antwort.

Worauf die deutsche Bank wirklich läuft

An diesem Punkt endet für die Mehrheit der deutschen Institute allerdings jede Analogie zu internationalen Greenfield-Debatten. Auf die Frage, worauf ihre Bank läuft, lautet die ehrliche Antwort hierzulande selten AWS oder Azure, sie lautet Atruvia oder Finanz Informatik. Atruvia betreut nach eigenen Angaben 950 Banken, verwaltet 89 Millionen Konten und verarbeitet jährlich 87 Milliarden Transaktionen in sechs eigenen Rechenzentren, bei einem Umsatz von zuletzt 1,9 Milliarden Euro. Die Finanz Informatik versorgt als Digitalisierungspartner der Sparkassen-Finanzgruppe mehr als 340 Institute aus eigenen Rechenzentren. Im Lünendonk-Ranking der größten internen IT-Dienstleister Deutschlands belegen die beiden die Spitzenplätze. Das deutsche Retail-Banking läuft, technisch betrachtet, im Wesentlichen auf zwei Plattformen.

Für die Souveränitätsdebatte hat diese Struktur eine bemerkenswerte Konsequenz. Wer bei Atruvia oder der FI liegt, hat die Frage nach der digitalen Unabhängigkeit nicht beantwortet, er hat sie delegiert, an einen Dienstleister, den er über Gremien und Beteiligungsgesellschaften mitsteuert, aber im operativen Alltag nicht kontrolliert. Ob das eine Lösung ist oder lediglich eine vertrautere Form der Abhängigkeit, entscheidet sich eine Ebene tiefer, nämlich daran, worauf die Dienstleister ihrerseits laufen. Der Blick dorthin ernüchtert. Atruvia hat im November eine weitreichende Vereinbarung mit IBM geschlossen, von z17-Mainframes über Hybrid-Cloud-Lösungen bis zu Automatisierungswerkzeugen, und die Finanz Informatik hat ihren IBM-Vertrag verlängert, inklusive Mainframe-, Power- und Storage-Systemen sowie KI-Unterstützung aus dem watsonx-Portfolio. 

Die US-Technologie verschwindet durch das Verbundmodell also keineswegs aus dem Stack, sie wandert lediglich hinter die Fassade des genossenschaftlichen oder öffentlich-rechtlichen Rechenzentrums. Wer daraus den Schluss zieht, der europäische Fintech-Baukasten sei der Ausweg, landet im selben Muster, denn Mambu, der Berliner Kernbank-Champion, wird vollständig aus der Cloud betrieben und läuft auf AWS, Microsoft Azure und Google Cloud. 

Die Souveränitätsfrage wird auf diesem Weg nicht beantwortet, sie wird eine Ebene nach unten verschoben, und aus dem Verbund-Spezialfall der delegierten Souveränität wird ein Strukturprinzip der gesamten Branche. Dazu kommt eine Governance-Frage, die im Verbund selbst zunehmend diskutiert wird. Finanz-Szene wirft mit Blick auf das im Vergleich zur FI deutlich schnellere Umsatzwachstum der Atruvia bereits die Frage auf, ob diese Entwicklung für die Eigentümerbanken uneingeschränkt gut ist. Ein Dienstleister, der schneller wächst als seine Träger, verschiebt das Machtverhältnis Jahr für Jahr ein Stück weiter.

Die neue Schicht: Inferenz

Über dieser gewachsenen Landschaft entsteht gerade eine Schicht, für die es noch keine eingespielten Verbundantworten gibt. KI-Inferenz, also der produktive Betrieb der Modelle, läuft heute ganz überwiegend auf amerikanischer Infrastruktur, von den Chips über die Cloud bis zu den Modellen selbst. Die souveränen Alternativen wachsen, bewegen sich aber sichtbar zwischen Angebot und Anspruch. AWS baut seine European Sovereign Cloud mit einer angekündigten Investition von 7,8 Milliarden Euro auf, die erste Region entsteht in Brandenburg, wobei ein US-Konzern mit europäischer Rechtsstruktur die Jurisdiktionsfrage nur bedingt löst. StackIT aus der Schwarz-Gruppe positioniert sich bewusst ohne US-Geschäft und rüstet ebenso wie die Open Telekom Cloud gezielt GPU-Plattformen für souveräne KI auf, T-Systems betreibt dafür einen eigenen KI-Cluster in Biere, IONOS bietet GPU-Systeme für Training und Inferenz in deutschen Rechenzentren an. Marktvergleiche taxieren den Aufpreis für souveräne Infrastruktur je nach Service auf null bis 35 Prozent, mit sinkender Tendenz.

Die Nachfrageseite hat sich derweil klar positioniert. Nach einer aktuellen Branchenerhebung führen 61 Prozent der Banken und Versicherungen Risikobewertungen zu geopolitischen Abhängigkeiten durch, 49 Prozent planen, zusätzlich zu den Hyperscalern europäische Anbieter zu integrieren, und 37 Prozent würden für souveräne Angebote einen Aufpreis von bis zu 20 Prozent akzeptieren. Dieselbe Untersuchung warnt allerdings vor „Souveränitätswashing", also vor Angeboten, deren Unabhängigkeitsversprechen einer näheren Prüfung nicht standhält. KPMG zieht daraus in einem aktuellen Whitepaper die grundsätzliche Konsequenz und erklärt digitale Souveränität zum Führungs- und Architekturprinzip, das die gesamte Wertschöpfungskette erfassen muss. Die Sparkassen-Finanzgruppe wiederum verweist auf ihren Weg mit eigenen Rechenzentren und eigener KI-Plattform als bewusste Souveränitätsentscheidung. Ob die Verbund-Infrastruktur mit dem Tempo der Frontier-Modelle mithalten kann, gehört zu den offenen Fragen dieser Rechnung.

Der Prüfstein heißt Exit

Zusammengehalten wird das alles von einer Regulierung, die 2026 ihre unbequeme Phase erreicht, denn nach einem ersten DORA-Jahr im Zeichen von Registern, Richtlinien und Zuständigkeiten fordert die Aufsicht nun Wirksamkeit ein. Die BaFin nennt als häufigste Schwachstellen ihrer Prüfungen ein unvollständiges Schwachstellenmanagement, fehlende Exit-Strategien bei IT-Dienstleistern und mangelhaftes Incident-Reporting, und sie hält fest, dass viele Institute ihre Prozesse zwar definiert, aber nie unter realen Bedingungen getestet haben. DORA verlangt in Artikel 28 die Bewertung des Konzentrationsrisikos einschließlich der versteckten Variante, bei der mehrere scheinbar unabhängige Software-Anbieter auf derselben Cloud laufen, und Artikel 30 schreibt Exit- und Übergangsklauseln für kritische Funktionen vor. 

Praktiker bringen die Messlatte auf eine einfache Formel: Ein Anbieterwechsel, der zwölf Monate dauern würde, ist faktisch kein Exit-Plan, und ein Ausstiegsrecht, das niemand ausüben könnte, ist das Erste, wonach Prüfer fragen. Die Ausstiegsstrategie wird damit vom Compliance-Dokument zum Härtetest der gesamten Architektur, für Hyperscaler-Kunden ebenso wie für Verbundinstitute, deren Exit-Szenario aus dem eigenen Rechenzentrumsverbund bislang kaum jemand ernsthaft durchgespielt hat.

Der Faktor Mensch

Die am wenigsten beachtete Schicht des Stacks besteht allerdings aus Menschen, und hier unterscheidet sich die deutsche Ausgangslage fundamental von der internationalen Debatte. Die KI-Welle trifft hierzulande auf eine Verrentungswelle, bei Volksbanken und Sparkassen erreichen bis 2032 rund 30.000 Beschäftigte das Rentenalter, der Ostdeutsche Sparkassenverband erwartet deshalb Veränderungen ohne flächendeckende Verdrängung, weil der Ersatzbedarf die Automatisierungsgewinne weitgehend überlagert. Was nach sozialverträglicher Lösung klingt, hat eine zweite Seite, denn zeitgleich rechnet die Finanz Informatik vor, dass die Sparkassen schon im kommenden Jahr rechnerisch mit rund 5.800 Vollzeitstellen weniger auskämen, und 67 Prozent der Finanzdienstleister planen laut Manpower-Barometer dennoch Neueinstellungen. 

Die Branche baut also nicht einfach ab, sie tauscht Profile, und die Menschen, die gehen, sind selten die, die gesucht werden. Für die Belegschaften wird damit Weiterbildung zur eigentlichen Übergangsfrage, und die ist seit Februar 2025 keine freiwillige mehr, denn Artikel 4 des AI Act verpflichtet Arbeitgeber, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Die nächste Bank braucht folglich beides, ein Organigramm für die Zukunft und einen glaubwürdigen Weg dorthin für die, die schon da sind.

Was vom Gedankenexperiment bleibt

Die nächste Bank wird in Deutschland aller Voraussicht nach nicht auf der grünen Wiese gebaut, dafür sind Lizenzökonomie, Verbundstrukturen und Kundengewohnheiten zu mächtig. Der Wert des Gedankenexperiments liegt woanders. Es liefert den Maßstab, an dem sich jede Schicht des realen Stacks messen lassen muss, vom Kernbanksystem über die Frage, wer den Dienstleister wirklich steuert, bis zur Inferenz-Infrastruktur und zur Belastbarkeit des Exit-Plans. Häuser, die diesen Abgleich ehrlich führen, wissen anschließend sehr präzise, wo sie souverän sind, wo sie delegiert haben und wo sie schlicht hoffen. 

Die unbequemste Erkenntnis dürfte dabei sein, dass die Souveränitätsfrage sich nicht an der Grenze zwischen Verbund-Rechenzentrum und Hyperscaler entscheidet, sie entscheidet sich daran, ob eine Bank ihre Architektur im Ernstfall aus eigener Kraft bewegen kann. Danach hat bislang selten jemand gefragt, ab diesem Jahr fragt die Aufsicht. Und noch eine zweite Instanz stellt unbequeme Fragen, nämlich die junge Kundschaft selbst, die ihre Bankbeziehung längst modular lebt und Häuser belohnt, die Beratungsstärke mit digitaler Exzellenz verbinden. Die nächste Bank entsteht deshalb dort, wo alle drei Prüfungen gleichzeitig bestanden werden, die der Aufsicht über den Stack, die der Generation Z über das Erlebnis darüber und die der eigenen Belegschaft über den Weg dorthin.

Wie die nächste Bank aussieht und worauf sie laufen sollte, diskutieren wir am 4. November auf der Banking Exchange (BEX) in Frankfurt.