Ein Anruf vom Geschäftsführer, die Stimme klingt vertraut, die Sache ist dringend und vertraulich: Genau so beginnt Deepfake-Betrug in Unternehmen. Mit wenigen Minuten Audio- oder Videomaterial lassen sich Stimmen und Gesichter heute täuschend echt nachbilden. Dieser Beitrag zeigt, wie die Masche funktioniert und mit welchen einfachen Prüfregeln Sie Ihr Unternehmen schützen.

Was ist ein Deepfake?

Deepfakes sind mit künstlicher Intelligenz erzeugte oder veränderte Videos, Bilder und Tonaufnahmen. Sie lassen reale Personen Dinge sagen oder tun, die nie passiert sind. Die gängigsten Verfahren:

• Voice-Cloning: Eine KI lernt eine Stimme aus vorhandenen Aufnahmen und spricht anschließend beliebige Texte – auch live im Telefonat.
• Face-Swapping: Das Gesicht einer Person wird in Echtzeit auf eine andere übertragen, etwa in einer Videokonferenz.
• Vollsynthetische Inhalte: Bild und Ton werden komplett generiert.

Das Rohmaterial ist oft frei verfügbar: Interviews, Firmenvideos, Vorträge, Social-Media-Clips oder die Ansage auf der Mailbox. Für eine überzeugende Stimmkopie reicht inzwischen wenig Material.

CEO-Fraud per Anruf und Videokonferenz

Beim klassischen CEO-Fraud geben sich Betrüger per E-Mail als Geschäftsführung aus und fordern eine eilige Überweisung. Deepfakes heben diese Masche auf eine neue Stufe, weil die Bestätigung per Telefon oder Video nicht mehr verlässlich ist.

Der Fall Arup

Der bekannteste Fall wurde Anfang 2024 öffentlich: Ein Mitarbeiter des britischen Ingenieurkonzerns Arup in Hongkong nahm an einer Videokonferenz mit dem vermeintlichen Finanzvorstand und weiteren Kollegen teil. Alle anderen Teilnehmer waren Deepfakes. Der Mitarbeiter veranlasste daraufhin mehrere Überweisungen über umgerechnet rund 25 Millionen US-Dollar. Arup bestätigte den Vorfall später gegenüber der Presse.

Typische Abläufe

• Ein Anruf mit der Stimme der Chefin, die unterwegs ist und eine Zahlung an einen neuen Lieferanten freigeben lässt.
• Eine E-Mail mit Zahlungsanweisung, gefolgt von einem kurzen Anruf „zur Bestätigung“.
• Ein angeblicher Lieferant meldet per Video geänderte Bankdaten.
• Ein vermeintlicher IT-Dienstleister bittet am Telefon um einen Fernwartungszugang oder einen Bestätigungscode.

Die Technik ist neu, das Muster nicht: Zeitdruck, Geheimhaltung, Autorität und eine Abweichung vom üblichen Ablauf. Das sind dieselben Hebel wie beim Social Engineering.

Woran Sie Deepfakes erkennen können – und warum das nicht reicht

Bei schlechter gemachten Fälschungen fallen manchmal Details auf: unnatürliches Blinzeln, verwaschene Ränder an Haaren oder Brille, Verzögerungen zwischen Lippen und Ton, eine monotone Sprachmelodie oder Bildfehler, wenn die Person die Hand vors Gesicht hält oder den Kopf dreht.

Verlassen Sie sich darauf aber nicht. Die Qualität steigt schnell, und schlechte Verbindungsqualität erklärt fast jeden Fehler. Wirksamer Schutz entsteht durch Prozesse, nicht durch geschulte Augen.

Praktische Prüfregeln gegen Deepfake-Betrug

1. Rückruf über bekannte Nummer: Bei ungewöhnlichen Anweisungen auflegen und die Person über eine Nummer zurückrufen, die Sie selbst aus dem Telefonbuch oder dem Firmenverzeichnis kennen – nie über die angezeigte oder genannte Nummer. Rufnummern lassen sich fälschen.
2. Kanal wechseln: Eine Anweisung per Video wird per Teams-Chat oder persönlich bestätigt, eine Mail per Telefon. Ein Angreifer kontrolliert selten alle Kanäle gleichzeitig.
3. Vier-Augen-Prinzip für Zahlungen: Überweisungen ab einem festgelegten Betrag und jede Änderung von Bankverbindungen brauchen eine zweite Freigabe. Ohne Ausnahme, auch nicht auf Anweisung der Geschäftsführung.
4. Codewort vereinbaren: Für Geschäftsführung, Buchhaltung und IT ein Codewort oder eine Kontrollfrage festlegen, die nirgends schriftlich in E-Mails steht.
5. Kontrollfragen stellen: Nach etwas fragen, das nur die echte Person wissen kann und das nicht öffentlich ist.
6. Zeitdruck ist ein Warnsignal: Wer zur Eile drängt und Rückfragen verbietet, wird grundsätzlich verifiziert.
7. Nein sagen erlauben: Die Geschäftsführung erklärt schriftlich, dass niemand Ärger bekommt, weil er eine Anweisung überprüft hat.

Was der EU AI Act ändert

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der europäischen KI-Verordnung. Wer Deepfakes erzeugt und veröffentlicht, muss sie grundsätzlich als künstlich erstellt kennzeichnen; Anbieter generativer KI müssen ihre Ausgaben maschinenlesbar markieren. Für Systeme, die schon vorher auf dem Markt waren, läuft dafür eine Übergangsfrist bis zum 2. Dezember 2026. Für seriöse Anwendungen schafft das Klarheit. Kriminelle halten sich jedoch nicht an Kennzeichnungspflichten – auf ein fehlendes Label dürfen Sie sich also nicht verlassen.

Was das für Ihr Unternehmen bedeutet

• Zahlungs- und Freigabeprozess schriftlich festlegen, inklusive Vier-Augen-Prinzip und Rückrufpflicht.
• Codewörter für die wichtigsten Rollen vereinbaren und regelmäßig erneuern.
• Buchhaltung, Assistenz und Empfang gezielt schulen – sie sind die häufigsten Ziele.
• Öffentlich verfügbares Audio- und Videomaterial der Geschäftsführung bewusst begrenzen.
• Konten mit Mehr-Faktor-Authentifizierung schützen, damit Betrüger nicht zusätzlich echte Postfächer nutzen können.
• Einen Meldeweg festlegen: Wer einen Verdacht hat, informiert sofort eine benannte Person.

Viele Deepfake-Angriffe starten mit einer gefälschten oder übernommenen E-Mail. Ein sauber abgesicherter Microsoft-365-Tenant mit Anmelderichtlinien und Mailfilterung – etwa über Managed Microsoft 365 – nimmt Angreifern einen wichtigen Baustein. Bei der Ausarbeitung von Freigabeprozessen und Schulungen unterstützen wir Sie im Rahmen unserer IT-Sicherheitsberatung. Mit einer zentralen Cloud-Telefonie steht allen Mitarbeitenden ein gepflegtes Firmenverzeichnis für Rückrufe zur Verfügung. Ergänzend lohnt ein Blick in unseren Beitrag zu Phishing-E-Mails.

Häufige Fragen

Wie viel Material brauchen Betrüger für eine Stimmkopie?

Weniger, als viele denken. Kurze Aufnahmen aus Videos, Podcasts oder Telefonaten können für eine überzeugende Imitation genügen. Deshalb sollten Sie die Stimme allein nie als Identitätsnachweis werten.

Hilft eine Erkennungssoftware gegen Deepfakes?

Solche Werkzeuge können unterstützen, liefern aber keine Sicherheit, weil sich Fälschungen ständig verbessern. Feste Prüfregeln wie Rückruf und Vier-Augen-Prinzip wirken unabhängig von der Technik.

Was tun, wenn bereits Geld überwiesen wurde?

Sofort die eigene Bank kontaktieren und einen Rückruf der Zahlung veranlassen, dann Anzeige bei der Polizei erstatten. Sichern Sie alle Nachrichten, Anrufprotokolle und Kontodaten für die Ermittlungen.

Unterstützung aus Gensingen

Interate-IT ist Ihr Partner aus Gensingen für Unternehmen in Rheinhessen und an der Nahe. Wir helfen Ihnen, Freigabeprozesse, Mitarbeiterschulungen und Ihre IT so aufzustellen, dass Deepfake-Anrufe ins Leere laufen. Nehmen Sie Kontakt mit uns auf.