Ein Anruf vom Geschäftsführer. Die Stimme ist vertraut, der Tonfall passt, die Anweisung klingt plausibel. Eine dringende Überweisung soll noch heute rausgehen. Die Angelegenheit sei vertraulich, weitere Rückfragen seien nicht nötig. Wer würde da sofort misstrauisch werden? Genau auf diese Reaktion setzen Kriminelle, die künstliche Intelligenz für ihre Betrugsversuche einsetzen. Sie können Stimmen nachahmen, Gesichter in Videokonferenzen manipulieren und Nachrichten so formulieren, dass sie zu einer bestimmten Person und einem Unternehmen passen. Deepfake-Betrug in Unternehmen ist längst mehr als ein theoretisches IT-Sicherheitsrisiko. Die entscheidende Veränderung: Beschäftigte müssen nicht mehr nur gefälschte E-Mails erkennen. Sie müssen auch dann die Identität ihres Gegenübers überprüfen, wenn die Stimme vertraut klingt oder das Gesicht auf dem Bildschirm bekannt ist.
Das Problem betrifft nicht allein große Konzerne mit internationaler Finanzabteilung. Auch mittelständische Unternehmen können ins Visier geraten. Gerade dort, wo Entscheidungen schnell getroffen werden und viele Abläufe auf persönlichem Vertrauen beruhen, kann eine überzeugende Täuschung erheblichen Schaden anrichten.
Was Deepfakes für Unternehmen so gefährlich macht
Ein Deepfake ist ein künstlich erzeugter oder manipulierter Inhalt, der eine reale Person täuschend echt darstellen kann. Die Technologie nutzt Methoden der künstlichen Intelligenz, um beispielsweise Gesichter, Stimmen oder Bewegungen nachzubilden.
Für Unternehmen sind vor allem drei Varianten relevant:
- Voice-Cloning: Eine KI erzeugt eine Stimme, die der eines Geschäftsführers, eines Kunden oder eines Kollegen ähnelt.
- Video-Deepfakes: Das Gesicht einer Person wird manipuliert oder in Echtzeit nachgebildet. In einer Videokonferenz kann dadurch der Eindruck entstehen, mit einer bekannten Führungskraft zu sprechen.
- KI-gestützte Identitätsfälschung: Täter kombinieren manipulierte Stimmen und Bilder mit Informationen aus Unternehmenswebseiten, sozialen Netzwerken und öffentlichen Dokumenten. Daraus entsteht eine glaubwürdige Geschichte, die gezielt auf das Opfer zugeschnitten ist.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in seiner Analyse zu Deepfakes und möglichen Gegenmaßnahmen, wie solche Manipulationen funktionieren und weshalb sie unter anderem für gezielte Phishing-Angriffe und Finanzbetrug relevant sind.
Die eigentliche Gefahr liegt dabei nicht nur in der Qualität der Fälschung. Sie liegt in der Kombination aus technischer Täuschung und menschlichem Verhalten. Ein Anruf vom Chef wird normalerweise nicht wie eine unbekannte E-Mail behandelt. Man kennt sich, vertraut einander und möchte eine dringende Aufgabe zuverlässig erledigen.
Genau dieses Vertrauen wird zum Angriffspunkt.
So läuft ein Deepfake-Angriff im Unternehmensalltag ab
Stellen wir uns folgende Situation vor: Eine Mitarbeiterin in der Buchhaltung erhält einen Anruf, angeblich von ihrem Geschäftsführer. Das Unternehmen stehe kurz vor dem Abschluss einer Übernahme. Eine Zahlung müsse noch am selben Tag erfolgen, die Details dürften vorerst nur wenige Personen kennen.
Der Anrufer kennt den Namen des Geschäftspartners, weiß, wer für die Buchhaltung zuständig ist, und verwendet Formulierungen, die zum Geschäftsführer passen. Seine Stimme klingt vertraut. Er erklärt, weshalb die Sache dringend ist, beantwortet Rückfragen souverän und macht deutlich, dass er sich auf die Mitarbeiterin verlässt.
Die Mitarbeiterin veranlasst die Überweisung.
Dieses Szenario ist ein hypothetisches Beispiel. Es verbindet jedoch bekannte Methoden des sogenannten CEO-Fraud mit den Möglichkeiten moderner Deepfake-Technologie. Beim CEO-Fraud geben sich Täter als Führungskräfte aus, um Beschäftigte zu Überweisungen oder zur Herausgabe vertraulicher Informationen zu bewegen.
Die Bundesnetzagentur warnt ausdrücklich vor CEO-Phishing über WhatsApp. Dabei werden Fotos und Informationen über Führungskräfte genutzt, um eine falsche Identität möglichst glaubwürdig erscheinen zu lassen. Die Kontaktaufnahme erfolgt unter anderem über Mobilfunknummern, die auf den ersten Blick keinen Verdacht erregen müssen.
Mit einer synthetischen Stimme oder einem manipulierten Video lässt sich diese Täuschung weiter verstärken.
Warum der Angriff oft lange vor dem Anruf beginnt
Kriminelle müssen nicht wahllos Unternehmen kontaktieren. Häufig können sie sich vorab ein erstaunlich genaues Bild von einer Organisation machen.
Auf Unternehmenswebseiten stehen Namen und Funktionen von Führungskräften. In Interviews sprechen Geschäftsführer über neue Märkte, Investitionen oder geplante Übernahmen. Auf LinkedIn veröffentlichen Beschäftigte ihre Position, ihre Projekte und ihre beruflichen Kontakte. Pressemitteilungen liefern weitere Details.
Aus diesen Informationen entsteht ein Angriffsszenario, das sich an den tatsächlichen Arbeitsalltag anlehnt.
Für eine überzeugende Imitation können öffentliche Audio- und Videoaufnahmen als Ausgangsmaterial dienen. Wie viel Material für eine glaubwürdige Nachbildung erforderlich ist, hängt von der verwendeten Technologie und der gewünschten Qualität ab. Es wäre deshalb falsch, pauschal zu behaupten, dass jede Stimme bereits mit wenigen Sekunden perfektioniert werden kann. Die technischen Möglichkeiten entwickeln sich allerdings weiter, und die Hürde für solche Manipulationen sinkt.
Das BSI beschreibt diese Entwicklung in seinen Informationen zu Deepfakes.
Die Vorbereitung ist ein wesentlicher Teil des Angriffs. Je besser die Geschichte zu den realen Abläufen im Unternehmen passt, desto weniger ungewöhnlich erscheint die Forderung.
Deepfake-Betrug in Unternehmen: Nicht nur die Buchhaltung ist betroffen
Überweisungen sind ein naheliegendes Ziel. Die Folgen eines erfolgreichen Angriffs können aber weit darüber hinausgehen.
Finanzabteilung und Geschäftsführung
Eine vermeintliche Führungskraft verlangt eine dringende Zahlung, ändert Bankverbindungen oder fordert die Freigabe einer ungewöhnlich hohen Rechnung. Im schlimmsten Fall landet das Geld auf einem Konto der Täter und lässt sich nicht mehr zurückholen.
IT und Administration
Ein vermeintlicher IT-Leiter bittet um Zugangsdaten, einen neuen Benutzer mit weitreichenden Rechten oder eine kurzfristige Änderung an der Sicherheitskonfiguration. Wird die Anfrage ungeprüft umgesetzt, kann daraus ein direkter Zugang zu Unternehmenssystemen entstehen.
Personalabteilung und Recruiting
Ein vermeintlicher Vorgesetzter fordert vertrauliche Personaldaten oder Unterlagen zu Beschäftigten an. Auch manipulierte Videoidentitäten können bei digitalen Gesprächen den Eindruck einer echten Person erzeugen. Eine solche Täuschung kann die Prüfung von Bewerbern und externen Dienstleistern erschweren.
Vertrieb und Kundenservice
Täter können sich als Kunden, Geschäftspartner oder Lieferanten ausgeben, um Vertragsdetails zu erhalten, Änderungen an Bestellungen durchzusetzen oder vertrauliche Informationen abzugreifen.
Für IT-Abteilungen ergibt sich daraus eine besondere Herausforderung: Der Angriff beginnt möglicherweise nicht mit Schadsoftware oder einer verdächtigen Netzwerkverbindung, sondern mit einem scheinbar normalen Gespräch. Technische Schutzmaßnahmen bleiben notwendig, reichen allein aber nicht aus.
Woran lassen sich Deepfakes erkennen?
Die kurze Antwort lautet: Nicht immer zuverlässig.
Eine künstlich erzeugte Stimme kann unnatürlich klingen. Bei einem manipulierten Video fallen unter Umständen ungewöhnliche Lippenbewegungen, unstimmige Gesichtsausdrücke oder Probleme bei schnellen Bewegungen auf. Solche Auffälligkeiten können Hinweise liefern.
Sie sind jedoch kein verlässlicher Beweis. Gute Fälschungen müssen nicht die typischen Fehler aufweisen, die man aus älteren Beispielen kennt. Umgekehrt können echte Telefonverbindungen, schlechte Mikrofone und instabile Videokonferenzen ebenfalls merkwürdig klingen oder aussehen.
Wer sich allein auf sein Gehör oder den Bildeindruck verlässt, geht deshalb ein unnötiges Risiko ein.
Aussagekräftiger ist der Kontext der Anfrage. Besonders aufmerksam sollten Beschäftigte werden, wenn mehrere der folgenden Merkmale zusammentreffen:
- Eine Zahlung oder Datenfreigabe soll ungewöhnlich schnell erfolgen.
- Die Anfrage wird als streng vertraulich dargestellt.
- Die üblichen Freigabewege sollen umgangen werden.
- Eine bekannte Führungskraft verlangt plötzlich eine neue Bankverbindung oder eine abweichende Vorgehensweise.
- Rückfragen werden als Misstrauensbeweis dargestellt oder mit beruflichen Konsequenzen verknüpft.
- Die Person besteht darauf, ausschließlich über den aktuellen Anruf oder Messenger erreichbar zu sein.
Keines dieser Merkmale beweist für sich genommen einen Betrugsversuch. Eine Kombination aus Zeitdruck, Geheimhaltung und einer ungewöhnlichen Forderung ist aber ein guter Grund, den Vorgang anzuhalten.
Die Polizei-Beratung informiert über Deepfake-Betrug und mögliche Schutzmaßnahmen. Ihre Empfehlung, im Zweifel aufzulegen und die betreffende Person über eine bekannte Telefonnummer zurückzurufen, ist auch im Unternehmensumfeld sinnvoll.
Wie Unternehmen sich gegen Deepfake-Betrug schützen können
Die wirksamste Gegenmaßnahme ist nicht eine Software, die jede gefälschte Stimme erkennt. Solche Erkennungssysteme können helfen, sind aber kein Garant. Unternehmen sollten stattdessen ihre Abläufe so gestalten, dass eine überzeugende Täuschung allein noch keinen finanziellen oder technischen Schaden auslösen kann.
1. Rückruf statt Vertrauen auf die Stimme
Wenn eine Führungskraft eine ungewöhnliche Zahlung verlangt, wird das Gespräch beendet. Anschließend ruft der Mitarbeiter über eine bereits bekannte Telefonnummer zurück, beispielsweise über das interne Telefonverzeichnis.
Wichtig ist, nicht einfach die Nummer zu wählen, von der der verdächtige Anruf eingegangen ist. Auch angezeigte Rufnummern und Kontaktprofile können gefälscht sein.
Bei besonders sensiblen Vorgängen sollte zusätzlich eine zweite Person die Identität und die Berechtigung zur Freigabe bestätigen.
2. Klare Freigaberegeln für Zahlungen
Eine dringende Anweisung darf nicht automatisch eine Ausnahme von den üblichen Prozessen begründen. Das gilt auch dann, wenn sie vermeintlich direkt vom Geschäftsführer kommt.
Sinnvolle Regeln sind beispielsweise:
- Überweisungen oberhalb festgelegter Betragsgrenzen benötigen eine zweite Freigabe.
- Änderungen von Bankverbindungen werden über einen unabhängigen Kommunikationskanal bestätigt.
- Neue Zahlungsempfänger werden nach einem festgelegten Verfahren geprüft.
- Dringende Anweisungen per Telefon oder Messenger ersetzen niemals die vorgeschriebenen Freigaben.
Die Regeln müssen für alle gelten, auch für die Geschäftsführung. Andernfalls entsteht genau die Ausnahme, die ein Angreifer ausnutzen kann.
3. Interne Identitätsprüfungen vereinbaren
Für besonders kritische Situationen können Unternehmen zusätzliche Prüfverfahren festlegen. Dazu gehören interne Rückrufprozesse, ein vereinbartes Kennwort oder ein separates Freigabeverfahren für außergewöhnliche Transaktionen.
Ein Kennwort sollte allerdings nicht einfach in einem öffentlich zugänglichen Dokument stehen oder über denselben Kanal übermittelt werden, über den die verdächtige Anfrage eingeht. Es muss geschützt und regelmäßig überprüft werden.
Entscheidend ist, dass Beschäftigte die Regeln kennen und sie auch dann anwenden dürfen, wenn eine Führungskraft Druck ausübt.
4. Mitarbeitende regelmäßig sensibilisieren
Eine einmalige Schulung reicht nicht aus. Die Angriffsmethoden verändern sich, und Beschäftigte müssen wissen, wie sie in einer konkreten Situation reagieren sollen.
Besonders hilfreich sind realistische Übungen: Eine simulierte Sprachnachricht fordert eine dringende Zahlung, ein vermeintlicher IT-Verantwortlicher verlangt Zugangsdaten oder eine angebliche Führungskraft bittet um vertrauliche Informationen.
Im Mittelpunkt sollte nicht stehen, wer auf den Betrug hereinfällt. Die Übungen sollen zeigen, ob die vereinbarten Prüfprozesse funktionieren.
Ebenso wichtig ist eine Unternehmenskultur, in der Rückfragen ausdrücklich erwünscht sind. Wer befürchten muss, wegen einer verzögerten Überweisung Ärger zu bekommen, wird eher eine riskante Anweisung ausführen.
5. Technische Schutzmaßnahmen sinnvoll kombinieren
Auch wenn Deepfake-Angriffe häufig mit menschlicher Täuschung beginnen, gehören sie in ein umfassendes Sicherheitskonzept.
Dazu zählen unter anderem:
- Mehr-Faktor-Authentifizierung: Kritische Konten werden nicht allein durch ein Passwort geschützt.
- Rollen- und Rechtekonzepte: Mitarbeitende erhalten nur die Berechtigungen, die sie für ihre Aufgaben benötigen.
- Protokollierung und Überwachung: Ungewöhnliche Anmeldungen, Rechteänderungen und Transaktionen lassen sich besser untersuchen.
- Sicherheitsprozesse für privilegierte Konten: Besonders weitreichende Berechtigungen werden kontrolliert vergeben und regelmäßig überprüft.
- Verbindliche Meldewege: Beschäftigte wissen, an wen sie sich bei einem verdächtigen Anruf oder einer ungewöhnlichen Anweisung wenden müssen.
Das Ziel besteht nicht darin, jede Täuschung technisch unmöglich zu machen. Es geht darum, die Folgen eines erfolgreichen Täuschungsversuchs zu begrenzen.
Was tun, wenn ein Deepfake-Angriff bereits gelungen ist?
Wenn eine verdächtige Anweisung bereits umgesetzt wurde, zählt jede Minute. Unternehmen sollten nicht erst abwarten, bis zweifelsfrei feststeht, ob tatsächlich eine KI-Manipulation vorliegt.
- Zahlung stoppen lassen. Die Bank sollte sofort kontaktiert und über den möglichen Betrug informiert werden. Eine Rückholung ist nicht garantiert, doch schnelles Handeln kann entscheidend sein.
- IT-Sicherheit einschalten. Wurden Zugangsdaten weitergegeben oder Konten verändert, müssen betroffene Zugänge gesichert, Zugangsdaten zurückgesetzt und verdächtige Sitzungen beendet werden.
- Beweise sichern. Anrufzeiten, Rufnummern, Nachrichten, E-Mails, Zahlungsdaten und vorhandene Aufzeichnungen sollten dokumentiert werden. Nichts vorschnell löschen.
- Geschäftsführung und zuständige Stellen informieren. Je nach Vorfall gehören dazu die interne Sicherheitsverantwortung, die Rechtsabteilung, die Bank und die Polizei. Bei einem relevanten IT-Sicherheitsvorfall ist außerdem zu prüfen, ob gesetzliche Meldepflichten bestehen.
- Den Vorfall aufarbeiten. Entscheidend ist, wie die Täuschung möglich war und welche Prozesslücke geschlossen werden muss. Ein Vorfall sollte nicht einfach als individuelles Fehlverhalten eines Beschäftigten abgelegt werden.
Wer einen Vorfall untersucht, sollte außerdem prüfen, ob die Täter weitere Informationen erhalten haben. Ein erfolgreicher Anruf kann der Auftakt für zusätzliche Phishing-Nachrichten, neue Identitätsfälschungen oder weitere Zahlungsversuche sein.
Was die Entwicklung für IT-Fachkräfte bedeutet
Deepfakes machen deutlich, dass IT-Sicherheit nicht allein eine Frage von Firewalls, Endgeräten und Virenschutz ist. Unternehmen müssen auch ihre Identitätsprüfung, ihre Geschäftsprozesse und ihre internen Kommunikationswege absichern.
Damit wächst der Bedarf an Fachkräften, die technische Risiken verstehen und in funktionierende Sicherheitskonzepte übersetzen können.
Besonders gefragt sind Kompetenzen in folgenden Bereichen:
- IT-Security und Cybersecurity: Bedrohungsanalysen, Sicherheitsarchitekturen, Incident Response und Prävention von Social Engineering.
- Identity and Access Management (IAM): Identitäten prüfen, Zugriffsrechte kontrollieren und privilegierte Konten absichern.
- Security Operations Center (SOC): Sicherheitsereignisse überwachen, Auffälligkeiten analysieren und auf Angriffe reagieren.
- Governance, Risk and Compliance (GRC): Sicherheitsrichtlinien entwickeln, Risiken bewerten und die Einhaltung relevanter Anforderungen organisieren.
- KI-Sicherheit: KI-basierte Angriffe verstehen, technische Erkennungsmöglichkeiten bewerten und Grenzen automatisierter Schutzsysteme berücksichtigen.
Für IT-Experten bedeutet das auch, sich nicht ausschließlich auf einzelne Werkzeuge zu konzentrieren. Wer versteht, wie technische Schwachstellen, menschliches Verhalten und organisatorische Prozesse zusammenwirken, kann Unternehmen wesentlich besser schützen.
Die Herausforderung ist interdisziplinär. IT-Security, Geschäftsführung, Finanzabteilung und Personalverantwortliche müssen zusammenarbeiten. Ein Sicherheitskonzept, das nur die IT kennt, wird im entscheidenden Moment möglicherweise nicht angewendet.
Deepfake-Betrug in Unternehmen: Die wichtigste Regel bleibt die unabhängige Prüfung
Die Vorstellung, dass eine vertraute Stimme künftig kein verlässlicher Identitätsnachweis mehr ist, mag zunächst ungewohnt wirken. Trotzdem sollten Unternehmen nicht in eine Haltung des grundsätzlichen Misstrauens verfallen.
Niemand muss jeden Anruf verdächtig finden. Aber eine bekannte Stimme darf auch keine Sicherheitsregel außer Kraft setzen.
Die entscheidende Frage lautet deshalb nicht mehr nur: Klingt das wirklich wie mein Chef? Sie lautet: Kann ich unabhängig überprüfen, ob diese Person die Anweisung tatsächlich erteilt hat und dazu berechtigt ist?
Wer diese Prüfung fest in den Arbeitsalltag integriert, reduziert das Risiko erheblich. Und wer Beschäftigte dabei unterstützt, auch unter Zeitdruck nachzufragen, schützt nicht nur das Unternehmen, sondern letztlich auch die Menschen, die darin arbeiten.
Häufige Fragen zu Deepfakes und Unternehmenssicherheit
Was ist ein Deepfake-Angriff?
Bei einem Deepfake-Angriff nutzen Kriminelle künstlich erzeugte oder manipulierte Medien, um eine Person vorzutäuschen. Häufig werden Stimmen oder Gesichter von Führungskräften nachgeahmt, um Geld zu erbeuten, Zugangsdaten zu erhalten oder vertrauliche Informationen abzugreifen.
Wie können Unternehmen einen Deepfake-Anruf erkennen?
Eine sichere Erkennung allein anhand der Stimme ist nicht immer möglich. Hinweise können ungewöhnlicher Zeitdruck, Geheimhaltungsforderungen oder abweichende Zahlungsanweisungen sein. Die wichtigste Gegenmaßnahme ist eine unabhängige Identitätsprüfung über einen bereits bekannten Kommunikationskanal.
Sind auch mittelständische Unternehmen gefährdet?
Ja. Die Größe eines Unternehmens schützt nicht vor Deepfake-Betrug. Gerade wenn Zahlungsfreigaben stark auf persönlichem Vertrauen beruhen oder einzelne Beschäftigte viele Aufgaben übernehmen, können fehlende Kontrollmechanismen zum Risiko werden.
Welche IT-Kompetenzen helfen beim Schutz vor Deepfake-Angriffen?
Besonders relevant sind Kenntnisse in Cybersecurity, Identity and Access Management, Security Operations, Incident Response und IT-Risikomanagement. Hinzu kommen organisatorische Fähigkeiten, um Sicherheitsrichtlinien in praktikable Prozesse zu übersetzen.
