Deepfakes und CEO-Fraud: Wie KI-gestützter Betrug Unternehmen trifft — und was dagegen hilft
Ein Anruf mit der Stimme des Chefs, ein Videocall mit dem vertrauten Gesicht der Geschäftsführerin, eine E-Mail im exakten Ton des Lieferanten: Mit KI lassen sich Stimmen, Gesichter und Schreibstile heute in Minuten nachbauen. Der klassische Chef-Betrug hat damit eine neue Stufe erreicht. Wie die Angriffe ablaufen und welche Regeln Ihr Unternehmen schützen.
Wie der Betrug heute abläuft
Das Muster ist alt: Jemand gibt sich als Geschäftsführung aus und weist eine dringende, vertrauliche Überweisung an. Neu ist die Überzeugungskraft. Angreifer sammeln öffentlich verfügbares Material — Interviews, Videobotschaften, Sprachnachrichten auf Social Media — und erzeugen daraus eine Stimme, die am Telefon nicht vom Original zu unterscheiden ist. In Kombination mit Informationen aus LinkedIn, Handelsregister und der Firmenwebsite entsteht ein Szenario, das plausibel wirkt: der richtige Name, das richtige Projekt, der richtige Zeitpunkt, an dem die Chefin tatsächlich auf Reisen ist.
Drei Varianten, die Sie kennen sollten
- Der Stimmanruf: Die „Geschäftsführung“ ruft die Buchhaltung an, bittet um eine eilige Zahlung und kündigt eine E-Mail mit den Details an. Die E-Mail kommt von einer täuschend ähnlichen Adresse.
- Der Videocall: Ein Teams- oder Zoom-Termin mit einem oder mehreren vermeintlichen Vorgesetzten, deren Gesichter in Echtzeit generiert werden. International wurden auf diesem Weg bereits Millionenbeträge erbeutet.
- Der Lieferantenwechsel: Ein bekannter Lieferant teilt per E-Mail neue Bankdaten mit — im gewohnten Ton, mit korrekter Signatur, oft aus einem tatsächlich gehackten Postfach.
Warum Technik allein nicht schützt
Es gibt Werkzeuge, die Deepfakes erkennen sollen. Sie hinken der Entwicklung hinterher und liefern keine verlässlichen Ergebnisse im Alltag. Spamfilter erkennen die Betrugs-E-Mail nicht, weil sie keinen Schadcode enthält, sondern nur eine Bitte. Der Schutz liegt deshalb nicht in der Technik, sondern in Regeln, die unabhängig davon funktionieren, wie echt etwas wirkt.
Fünf Regeln, die den Betrug stoppen
- Rückruf über bekannte Nummer: Jede Zahlungsanweisung per Anruf, Video oder E-Mail wird über eine bereits gespeicherte Nummer bestätigt — nie über die Nummer aus der Nachricht.
- Vier-Augen-Prinzip: Überweisungen ab einem festgelegten Betrag gibt niemand allein frei. Ohne Ausnahme, auch nicht für die Geschäftsführung.
- Bankdaten-Änderungen nur mit Gegenprobe: Neue Kontodaten eines Lieferanten werden telefonisch über die bekannte Nummer bestätigt, bevor sie ins System kommen.
- Dringlichkeit ist ein Warnsignal: Wer Druck macht und Vertraulichkeit verlangt, bekommt gerade deshalb die Rückfrage.
- Ein Codewort für den Ernstfall: Ein intern vereinbartes Wort, das bei ungewöhnlichen Anweisungen abgefragt wird. Einfach, kostenlos, wirksam.
Was Sie außerdem tun können
Begrenzen Sie, welches Material öffentlich ist: Muss die Sprachnachricht der Geschäftsführung auf der Website sein? Sichern Sie E-Mail-Konten mit Zwei-Faktor-Authentifizierung, damit Angreifer nicht aus echten Postfächern schreiben können. Und vor allem: Sprechen Sie mit Ihrem Team darüber. Wer die Muster kennt und weiß, dass eine Rückfrage erwünscht ist, wird nicht zum Opfer — auch wenn die Stimme am Telefon perfekt klingt.
Kurz beantwortet
- Wie viel Tonmaterial braucht ein Stimmklon?
- Wenige Sekunden reichen für eine überzeugende Nachahmung. Öffentliche Videos, Podcasts oder Sprachnachrichten genügen als Quelle.
- Kann man Deepfakes im Videocall erkennen?
- Manchmal — an unnatürlichen Bewegungen, Bildfehlern oder wenn die Person gebeten wird, den Kopf zu drehen oder die Hand vors Gesicht zu halten. Verlassen Sie sich nicht darauf; der Rückruf über eine bekannte Nummer ist die sichere Prüfung.
- Zahlt die Versicherung bei CEO-Fraud?
- Cyber-Versicherungen decken solche Fälle teilweise ab, verlangen aber meist nachweisbare Schutzmaßnahmen wie das Vier-Augen-Prinzip. Ohne dokumentierte Prozesse wird es schwierig.
- Sind kleine Unternehmen wirklich Ziel?
- Ja, gerade sie: Zahlungen werden oft von einer Person freigegeben, Prozesse sind informell, und der Chef ist per Vorname bekannt. Das macht die Geschichte glaubwürdig.
- Was tun, wenn bereits überwiesen wurde?
- Sofort die eigene Bank kontaktieren und einen Rückruf der Überweisung veranlassen, Anzeige erstatten und den Vorfall intern dokumentieren. Je schneller, desto größer die Chance, das Geld zu stoppen.