Betrüger bauen heute Stimmen aus kurzen Tonaufnahmen nach, etwa aus einem Video im Netz. Damit rufen sie in der Buchhaltung an, klingen wie die Geschäftsführung und verlangen eine dringende Überweisung. Schützen kann man sich trotzdem, mit festen Regeln, die nicht von der Technik abhängen.
Wie läuft so ein Betrug ab?
Das Muster heißt CEO-Betrug oder Fake President und ist alt. Neu ist das Werkzeug: Statt einer gefälschten Mail kommt ein Anruf oder Videocall, der echt wirkt.
- Vorbereitung: Die Täter sammeln Namen, Zuständigkeiten und Stimmproben, etwa von LinkedIn, der Firmenwebsite oder aus Videos.
- Druck: Der Anruf kommt kurz vor Feierabend oder vor dem Wochenende. Es geht um eine vertrauliche Übernahme, eine Strafzahlung oder einen wichtigen Lieferanten.
- Geheimhaltung: „Sprechen Sie bitte mit niemandem darüber, auch nicht intern.“
- Zahlung: Eine Überweisung auf ein neues Konto, oft ins Ausland, manchmal in mehreren Teilbeträgen.
Ein echter Fall
Bekannt wurde 2024 ein Fall beim Ingenieurbüro Arup in Hongkong. Ein Mitarbeiter überwies rund 200 Millionen Hongkong-Dollar, etwa 25 Millionen US-Dollar, in 15 Zahlungen. Zuvor saß er in einer Videokonferenz mit dem angeblichen Finanzchef und weiteren Kollegen. Alle waren Deepfakes.
Das Lehrreiche daran: Die erste Mail kam ihm verdächtig vor. Erst der Videocall mit vertrauten Gesichtern und Stimmen räumte seine Zweifel aus. Ein Anruf oder Videocall ist also keine Bestätigung mehr.
Woran erkennt man einen Deepfake-Anruf?
Die ehrliche Antwort: oft gar nicht. Die Fälschungen sind gut genug, dass man sich nicht auf Ohr und Auge verlassen sollte. Hinweise gibt es trotzdem:
- Der Auftrag ist ungewöhnlich: neues Konto, Geheimhaltung, Eile.
- Die Nummer ist fremd oder unterdrückt. Aber Achtung: Auch eine bekannte Nummer lässt sich fälschen.
- Kleine Brüche: leicht verzögerte Antworten, flache Betonung, ausweichende Antworten auf persönliche Fragen.
- Im Videocall: Die Kamera ist angeblich kaputt, die Verbindung schlecht, das Gesicht wirkt an den Rändern unscharf.
Die Regeln, die wirklich schützen
Software, die Deepfakes erkennt, ist unzuverlässig. Was zuverlässig hilft, sind Abläufe, an die sich alle halten, auch wenn der Chef selbst anruft.
- Rückruf über die bekannte Nummer: Jede Zahlungsanweisung per Telefon wird bestätigt, indem man die Person zurückruft. Und zwar über die Nummer aus dem Firmentelefonbuch, nicht über die, die gerade angerufen hat.
- Vier-Augen-Prinzip: Zahlungen ab einem festen Betrag, etwa 5.000 Euro, gibt immer eine zweite Person frei.
- Neue Kontodaten nie auf Zuruf: Änderungen an Lieferanten-Bankverbindungen werden beim bekannten Ansprechpartner telefonisch geprüft.
- Codewort: Für echte Notfälle ein Kennwort vereinbaren, das nirgends digital steht.
- Erlaubnis zum Nein: Die Geschäftsführung sagt allen ausdrücklich, dass niemand Ärger bekommt, weil er eine Anweisung prüft. Auch dann nicht, wenn sie echt war.
Was tun, wenn es passiert ist?
- Sofort die eigene Bank anrufen. Je schneller, desto eher lässt sich das Geld noch stoppen.
- Anzeige erstatten. Für Unternehmen gibt es bei den Landeskriminalämtern die Zentralen Ansprechstellen Cybercrime.
- Die Versicherung informieren, falls eine Cyber- oder Vertrauensschadenversicherung besteht.
- Intern offen darüber reden. Wer aus Scham schweigt, hilft den Tätern beim nächsten Versuch.
Kurz gesagt
Stimme und Gesicht sind kein Beweis mehr. Zahlungen am Telefon immer per Rückruf über die bekannte Nummer bestätigen, ab einem festen Betrag gilt das Vier-Augen-Prinzip, neue Kontodaten gibt es nie auf Zuruf. Wir schulen Teams genau auf solche Situationen, in kurzen Einheiten mit echten Beispielen.