Deepfake- und CEO-Betrug erkennen
Deepfake- und CEO-Betrug: wie gefälschte Stimmen, Videos und E-Mails funktionieren, an welchen Warnzeichen Ihr Team sie erkennt und welche Regeln schützen.
Kurz gesagt: Beim CEO-Betrug geben sich Täter als Geschäftsführung oder Geschäftspartner aus und drängen zu Zahlungen oder zur Herausgabe von Daten. Mit KI lassen sich Stimmen und Videos täuschend echt fälschen. Die wirksamste Regel ist einfach: Bei ungewöhnlichen Bitten nichts ausführen, über eine bekannte Nummer zurückrufen und den Vorfall melden.
Was ist CEO-Betrug?
Beim CEO-Betrug (auch „Fake President“ oder „CEO-Fraud“) geben sich Täter als Geschäftsführung, Vorgesetzte oder bekannte Geschäftspartner aus. Sie bitten um eine dringende Überweisung, um geänderte Bankdaten für eine Rechnung oder um vertrauliche Unterlagen. Die Masche ist nicht neu. Neu ist, wie überzeugend sie mit KI werden kann.
Was ändert sich durch Deepfakes?
Mit KI-Werkzeugen lassen sich heute Stimmen nachahmen (Voice Cloning) und Videos erzeugen oder verändern. Dafür reichen oft wenige öffentlich verfügbare Aufnahmen, etwa aus Interviews, Videos oder Sprachnachrichten. Zusätzlich formulieren Sprachmodelle E-Mails fehlerfrei und im passenden Ton. Klassische Erkennungsmerkmale wie holprige Sprache fallen damit weg.
Typische Varianten:
- ein Anruf oder eine Sprachnachricht mit der Stimme der Chefin oder des Chefs
- eine Videokonferenz, in der eine vertraute Person zu sehen ist
- eine E-Mail von einer ähnlich aussehenden Adresse, die sich auf echte Projekte bezieht
- die Mitteilung eines Lieferanten über eine „neue Bankverbindung“
Woran erkennt man einen Betrugsversuch?
Auf technische Merkmale wie ruckelnde Bilder oder eine seltsame Betonung sollte man sich nicht verlassen – Fälschungen werden immer besser. Zuverlässiger sind Muster im Verhalten:
- Zeitdruck: „Das muss heute noch raus.“
- Geheimhaltung: „Sprechen Sie mit niemandem darüber.“
- Ungewohnter Weg: Die Bitte kommt über einen Kanal, der sonst nicht genutzt wird.
- Abweichung vom Ablauf: Freigaben sollen übersprungen werden.
- Geld oder Daten: Überweisungen, geänderte Bankdaten, Zugangsdaten, Personallisten.
- Schmeichelei oder Druck: „Ich verlasse mich auf Sie“ oder Andeutungen von Konsequenzen.
Was sollen Mitarbeitende bei einer ungewöhnlichen Bitte tun?
Die Regel muss so einfach sein, dass sie auch unter Stress funktioniert. In unserer Schulung ist das der dritte der „3 Momente“:
- Nichts ausführen: keine Zahlung, keine Datenweitergabe, keine Änderung von Bankdaten.
- Zurückrufen: über eine bekannte Nummer, etwa aus dem Telefonverzeichnis – nicht über die Nummer oder den Link aus der Nachricht.
- Melden: an die festgelegte Ansprechperson, auch wenn sich der Verdacht nicht bestätigt.
Wichtig ist die Rückendeckung der Geschäftsführung: Wer nachfragt, macht alles richtig – auch wenn die Bitte echt war. Das sollte im Team ausdrücklich gesagt werden.
Welche Abläufe schützen zusätzlich?
- Vier-Augen-Prinzip für Zahlungen ab einem festgelegten Betrag und für jede Änderung von Bankdaten
- feste Kanäle für Zahlungsanweisungen – nie allein per Sprachnachricht oder Messenger
- Rückrufliste mit geprüften Nummern von Geschäftsführung und wichtigen Lieferanten
- manche Unternehmen vereinbaren zusätzlich ein internes Kennwort für dringende Anweisungen
- weniger Angriffsfläche: überlegen, welche Informationen über Abläufe und Zuständigkeiten öffentlich sein müssen
Welche Rollen sind besonders gefährdet?
Besonders im Fokus stehen Personen, die Zahlungen auslösen oder auf sensible Daten zugreifen: Buchhaltung und Finanzen, Assistenz und Verwaltung, HR sowie die Geschäftsführung selbst. Für diese Rollen lohnt sich eine Vertiefung. In der Online-Schulung von KI-Mitarbeiter-Kompetenz gibt es dafür eigene Rollenmodule, etwa „Buchhaltung & Finanzen“ mit dem Schwerpunkt Zahlungen und Betrug.
Wie sensibilisiert man das Team nachhaltig?
Ein einmaliger Hinweis per Rundmail geht schnell unter. Wirksamer ist eine kurze Schulung mit konkreten Beispielen, eine Merkkarte am Arbeitsplatz und das regelmäßige Ansprechen im Team, etwa wenn ein Betrugsversuch aufgefallen ist. Das Modul „Risiken verstehen“ des Basiskurses behandelt Deepfake-Betrug neben erfundenen Fakten und Datenschutz; der Basiskurs dauert insgesamt rund 60 Minuten. Mehr dazu: Was gehört in eine KI-Schulung? und Regeln für ChatGPT und Copilot.
Wie übt man den Ernstfall im Team?
Regeln sitzen besser, wenn man sie einmal durchgespielt hat. Besprechen Sie in einer Teamrunde ein konkretes Beispiel: Die vermeintliche Geschäftsführung ruft an, ist angeblich auf Reisen und braucht dringend eine Überweisung an einen neuen Geschäftspartner. Wer würde was tun? Wen ruft man zurück, und unter welcher Nummer? Wer entscheidet, wenn die Geschäftsführung wirklich nicht erreichbar ist? Solche Fragen klären sich im Gespräch schnell – und im Ernstfall muss niemand improvisieren.
Halten Sie das Ergebnis fest: eine kurze Rückrufliste, die festgelegte Ansprechperson und den Hinweis, dass Nachfragen ausdrücklich erwünscht ist. Auf der Merkkarte zur Schulung ist dafür Platz.