Deepfakes und KI-Betrug: Womit hat es Ihr Unternehmen zu tun?

Kurz gesagt: Betrüger können heute mithilfe von KI die Stimme, das Gesicht und die Nachrichten Ihrer Führungskraft fälschen, um Ihre Mitarbeitenden dazu zu bringen, Geld zu überweisen oder Daten preiszugeben. Der Schutz beruht nicht auf einem einzigen Wunderwerkzeug, sondern auf drei sich ergänzenden Ebenen: Sensibilisierung der Mitarbeitenden, strenge Verifizierungsverfahren vor jeder sensiblen Überweisung oder Änderung sowie technische Kontrollen, die Manipulationen erkennen und ihre Auswirkungen begrenzen. Die Unternehmen, die diese Ebenen vor einem Vorfall aufbauen, sind diejenigen, die ihn mit minimalem Schaden überstehen.

Was ist ein Deepfake, und warum ist er jetzt eine Bedrohung für Unternehmen?

Ein Deepfake ist ein gefälschter Inhalt – Audio, Bild oder Video –, der von KI erzeugt wird, um völlig echt zu wirken. Was früher Fachleute und teure Ausrüstung erforderte, ist heute dank günstiger Werkzeuge für jeden erreichbar, und ein kurzer Sprachausschnitt Ihrer Führungskraft aus den sozialen Medien reicht aus, um deren Stimme mit beunruhigender Genauigkeit zu klonen. Betrug ist daher keine schlecht formulierte, leicht zu erkennende E-Mail mehr, sondern ein Videoanruf, an dem Ihr Finanzvorstand mit seinem Gesicht und seiner Stimme „teilnimmt“ und eine dringende Überweisung verlangt.

Die häufigsten Formen von KI-Betrug

  • CEO-Betrug: ein gefälschter Anruf oder eine gefälschte Sprachnachricht einer Führungskraft, die eine „vertrauliche und dringende“ Überweisung außerhalb der üblichen Abläufe verlangt.
  • Gefälschte Videoanrufe: ein virtuelles Meeting, an dem scheinbar mehrere Verantwortliche teilnehmen, die in Wirklichkeit alle KI-generierte Fälschungen sind, um einen Mitarbeitenden zur Ausführung eines Zahlungsauftrags zu bewegen.
  • Stimmklonen: ein Telefonanruf mit der Stimme eines Inhabers oder Lieferanten, um Bankverbindungen zu ändern oder eine Zahlung anzufordern.
  • Fälschung digitaler Identitäten: das Umgehen von Gesichtserkennungssystemen oder das Eröffnen von Konten mit vollständig gefälschten Identitäten.
  • Erpressung und Rufschädigung: erfundene Videos oder Bilder einer verantwortlichen Person oder eines Mitarbeitenden, um zu erpressen oder der Marke zu schaden.

Bei einem viel beachteten Vorfall im Jahr 2024 wurde ein Mitarbeiter der Niederlassung eines globalen Unternehmens getäuscht, nachdem an einem Videoanruf Personen teilgenommen hatten, die er für seinen Finanzvorstand und seine Kollegen hielt – allesamt KI-generierte Fälschungen –, und er überwies rund 25 Millionen US-Dollar. Die Lehre daraus ist nicht, die Technologie zu fürchten, sondern unsere Abläufe so neu zu gestalten, dass das „Aussehen“ oder die „Stimme“ einer Person allein niemals ausreicht, um eine sensible Entscheidung zu genehmigen.

Die neue goldene Regel: Vertrauen Sie nicht allein dem, was Sie sehen oder hören; vertrauen Sie einem Verifizierungsschritt, der sich nicht fälschen lässt.

So schützen Sie Ihr Unternehmen: ein praktischer Drei-Ebenen-Plan

Wirksamer Schutz besteht aus mehreren sich ergänzenden Ebenen, sodass die nächste den Angriff stoppt, wenn eine durchbrochen wird:

  1. Die Verfahrensebene (die wichtigste und günstigste): Führen Sie die Regel „über einen zweiten Kanal verifizieren“ für jede Geldüberweisung oder Änderung von Bankdaten ein – rufen Sie unter einer vorher bekannten Nummer zurück und antworten Sie nie im selben Anruf. Legen Sie Freigabegrenzen fest, das Vier-Augen-Prinzip für hohe Beträge und ein vereinbartes mündliches Kennwort für außergewöhnliche Anfragen.
  2. Die Sensibilisierungsebene: Schulen Sie Ihr Team darin, dass Dringlichkeit, Geheimhaltung und emotionaler Druck die klassischen Anzeichen von Betrug sind. Jede Anfrage nach dem Muster „sofort, vertraulich und sagen Sie es niemandem“ muss als Warnsignal behandelt werden, so vertrauenswürdig die Quelle auch erscheint.
  3. Die technische Ebene: Aktivieren Sie die Multi-Faktor-Authentifizierung für alle Finanzsysteme und E-Mail-Konten, setzen Sie Systeme zur Betrugserkennung und zur Überwachung ungewöhnlicher Überweisungen ein, und reduzieren Sie hochwertige Audio- und Videoaufnahmen Ihrer Führungskräfte, die das Unternehmen ohne Notwendigkeit veröffentlicht.

So erkennen Sie einen Deepfake mit eigenen Augen

Trotz aller Fortschritte verraten einige Anzeichen Fälschungen noch immer: Lippenbewegungen, die nicht genau zum Ton passen, unnatürliches oder seltenes Blinzeln, unlogische Beleuchtung und Schatten im Gesicht, verschwommene Ränder um Haare und Ohren sowie eine flache Stimme ohne natürliche Emotion. Verlassen Sie sich aber nicht nur auf Ihre Augen – betrachten Sie solche Hinweise als Anlass, über den zweiten Kanal zu verifizieren, denn diese Systeme verbessern sich schneller als unsere Fähigkeit, sie visuell zu erkennen.

Was tun, wenn ein Betrug passiert?

Schnelligkeit begrenzt den Schaden: Informieren Sie sofort Ihre Bank, um die Überweisung zu stoppen oder zurückzuholen, dokumentieren Sie alles (Nachrichten, Nummern, Gesprächsaufzeichnungen) und erstatten Sie Anzeige bei den zuständigen Behörden. In Saudi-Arabien können Sie sich an Ihre Bank und an die für Cyberkriminalität zuständigen Sicherheitsbehörden wenden und die Leitlinien der Nationalen Cybersicherheitsbehörde und der Saudi-Arabischen Zentralbank zum Umgang mit Finanzbetrug und zu dessen Meldung prüfen.

Der saudische Kontext: ein regulatorischer Rahmen, der Sie unterstützt

Saudi-Arabien kommt bei der Cybersicherheit voran – durch die Nationale Cybersicherheitsbehörde (NCA), die verbindliche Kontrollen für Organisationen erlässt, und durch die Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA), die den verantwortungsvollen Einsatz von KI und den Datenschutz nach dem Gesetz zum Schutz personenbezogener Daten (PDPL) regelt. Die Einhaltung dieser Kontrollen ist nicht bloß eine regulatorische Last, sondern ein fertiger Rahmen, der die Widerstandskraft Ihres Unternehmens gegen diese Art von Angriffen stärkt.

Die Rolle eines Technologiepartners

Die meisten Schutzmaßnahmen sind verfahrenstechnischer Natur und für jede Organisation umsetzbar. Wenn Sie jedoch die Multi-Faktor-Authentifizierung in Ihre Systeme integrieren, einen automatisierten Verifizierungsablauf vor Überweisungen aufbauen oder Ihre Systeme mit Werkzeugen zur Betrugserkennung und Anomalieüberwachung verbinden müssen, kommt ein Technologiepartner ins Spiel, der auf Ihr Geschäft zugeschnittene Lösungen entwirft und eine dauerhafte interne Kompetenz aufbaut. Ziel ist nicht, zusätzliche Ebenen der Komplexität zu schaffen, sondern den sicheren Weg für Ihre Mitarbeitenden zum einfachsten Weg zu machen.

Fazit

Deepfakes haben den Betrug nicht erfunden, aber sie haben ihn überzeugender und billiger gemacht. Ihre Waffe ist weder Angst noch ein einzelnes Werkzeug, sondern eine fest verankerte Kultur der Verifizierung und der Abläufe, in der das Aussehen oder die Stimme einer Person niemals ausreicht. Bauen Sie diese Ebenen heute auf und schulen Sie Ihr Team darin, denn das vorbereitete Unternehmen verwandelt einen möglichen Angriff in einen gescheiterten Versuch statt in einen schweren Verlust.

Quellen

  • Nationale Cybersicherheitsbehörde: nca.gov.sa
  • Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA): sdaia.gov.sa
  • Saudi-Arabische Zentralbank (SAMA) – Aufklärung über Finanzbetrug: sama.gov.sa
  • Bericht über den Deepfake-Betrugsfall von 2024 – CNN: cnn.com