Deepfakes: Wenn der Anruf vom Chef gefälscht ist

Stell dir vor, du sitzt in einer Videokonferenz. Dein Finanzchef ist zugeschaltet, zwei Kollegen ebenfalls. Du erkennst die Gesichter, die Stimmen, die Art zu sprechen. Der CFO bittet dich, dringend eine Reihe von Überweisungen auszuführen, streng vertraulich, es geht um eine Übernahme. Du zögerst kurz, aber alles wirkt echt. Also machst du es.

Genau das ist einem Mitarbeiter des Ingenieurkonzerns Arup passiert. Am Ende waren rund 25 Millionen US-Dollar weg. Das Perfide: Außer ihm war niemand in dieser Konferenz echt. Jede Person im Call, inklusive des CFO, war ein KI-generierter Deepfake¹. Willkommen in der neuen Realität des Betrugs.

Warum Deepfakes die Spielregeln brechen

Jahrzehntelang galt eine einfache Faustregel: Wenn ich jemanden sehe und höre, ist er echt. Genau diese Regel setzen Deepfakes außer Kraft. Moderne KI kann Gesicht, Stimme und Mimik einer realen Person so überzeugend nachbilden, dass sie in Echtzeit in einem Videocall auftreten kann.

Das verändert alles. Der klassische Schutz, im Zweifel kurz anzurufen und nachzufragen, greift nicht mehr, wenn die Stimme am anderen Ende selbst gefälscht ist. Der Angriff zielt nicht auf deine Firewall, sondern auf das Urvertrauen deiner Mitarbeiter in das, was sie mit eigenen Augen sehen.

Kein Einzelfall, sondern eine Welle

Der Fall Arup ist spektakulär, aber er ist kein Ausreißer. Die Zahl der Deepfake-Betrugsversuche steigt rasant und die Schäden wachsen mit. Die Beratungsgesellschaft Deloitte schätzt, dass durch generative KI ermöglichter Betrug allein in den USA bis 2027 auf rund 40 Milliarden US-Dollar anwachsen könnte, ausgehend von etwa 12 Milliarden im Jahr 2023².

Das Muster ist fast immer gleich: eine gefälschte Autoritätsperson, künstliche Dringlichkeit, absolute Vertraulichkeit, ein Zahlungs- oder Datenwunsch. Die Technik ist neu, die psychologische Masche uralt. Genau das macht sie so gefährlich, denn sie trifft Menschen an ihrer verwundbarsten Stelle: dem Wunsch, hilfsbereit und schnell zu sein.

Warum Technik allein nicht schützt

Natürlich wird an Erkennungssoftware gearbeitet und sie hilft. Aber es ist ein Wettlauf, bei dem die Fälschungen immer besser werden. Sich allein auf einen technischen Filter zu verlassen, der den nächsten Deepfake schon erkennen wird, ist ein gefährliches Versprechen.

Der wirksamste Schutz sitzt zwischen den Ohren deiner Mitarbeiter. Ein Team, das die Masche kennt, das weiß, dass ein Videocall kein Echtheitsbeweis mehr ist und das klare Regeln für kritische Vorgänge hat, ist ungleich schwerer zu täuschen. Awareness ist hier keine weiche Zusatzmaßnahme, sondern die härteste Verteidigungslinie, die du hast.

Den Ernstfall proben, bevor er eintritt

Wissen allein reicht allerdings nicht. In der Hektik des Alltags, unter dem Druck einer scheinbar dringenden Chef-Anweisung, greift der Mensch auf Reflexe zurück, nicht auf gelesene Merkblätter. Reflexe entstehen nur durch Übung.

Genau hier setzt der AI-VI Cybersecurity Coach von AI-THINK. an. Mitarbeiter durchleben in einer sicheren Simulation realistische Vorfälle, inklusive solcher Social-Engineering- und Deepfake-Szenarien. Sie erleben den Druck, treffen Entscheidungen und lernen aus dem Ergebnis, ohne dass echtes Geld auf dem Spiel steht. So wird aus abstraktem Wissen ein trainierter Reflex. Und weil die Inhalte auf der validierten AI-VI Core Technology beruhen, ist jede Erklärung im Training geprüft und belegbar, kein erfundenes Halbwissen.

Ganz praktisch hilft zusätzlich eine einfache Regel: Kritische Zahlungen oder Datenfreigaben brauchen einen zweiten, unabhängigen Kanal zur Bestätigung, den ein Angreifer nicht ebenfalls fälschen kann. Kein Videocall der Welt ersetzt diesen Rückruf über einen vorab vereinbarten Weg.

Fazit

Deepfakes machen aus Sehen und Hören einen unzuverlässigen Zeugen. Der Fall Arup mit 25 Millionen US-Dollar Schaden ist die Warnung, die niemand ignorieren sollte und er wird nicht der letzte sein.

Der Schutz liegt nicht allein in besserer Software, sondern in wachsamen, trainierten Mitarbeitern und klaren Regeln für den Ernstfall. Wer seine Leute den Angriff einmal sicher erleben lässt, macht sie im echten Moment widerstandsfähig.