Der Anruf, der 25 Millionen Dollar kostete
Anfang 2024 überwies ein Mitarbeiter eines multinationalen Unternehmens in Hongkong 25 Millionen Dollar - nach einer Videokonferenz mit dem CFO und mehreren Kollegen. Problem: Alle Teilnehmer außer ihm waren Deepfakes.
Dieser Fall ist kein Einzelfall mehr. KI-generierte Stimm- und Videoimitationen sind inzwischen so gut, dass selbst aufmerksame Menschen getäuscht werden können.
Was ist CEO-Fraud?
CEO-Fraud (auch "Business Email Compromise" oder BEC) ist eine Form des Social Engineering, bei der Angreifer die Identität einer Führungskraft vortäuschen, um Mitarbeiter zu betrügen.
Klassisches Szenario:
Angreifer analysieren die Unternehmensstruktur (LinkedIn, Website)
Mitarbeiter im Finanzbereich erhält E-Mail "vom CEO": "Dringende Überweisung nötig, bitte sofort erledigen, ich bin gerade im Meeting"
Unter Druck und Autorität des vermeintlichen Chefs wird überwiesen
Das neue Szenario mit KI:
Angreifer clonen die Stimme des CEOs aus öffentlichen Interviews, Webinaren oder Podcasts
Mitarbeiter erhält Anruf vom "Chef" mit dessen echter Stimme
Oder: Videocall mit KI-generiertem Gesicht und Stimme des CEOs
Wie realistisch sind Deepfakes heute?
Sehr realistisch - und erschreckend einfach zu erstellen:
**Stimmen-Cloning**: Mit wenigen Minuten Audiomaterial kann eine überzeugende Stimmimitation erstellt werden. Tools dafür sind kommerziell verfügbar.
**Echtzeit-Deepfakes**: Software kann Gesichter in Echtzeit auf Videos projizieren, etwa in Videokonferenzen
**Text-zu-Sprache**: KI-generierte Stimmen klingen mittlerweile natürlicher als viele menschliche Sprecher
Bekannte Angriffsmuster:
Sprachnotiz per WhatsApp vom "Chef" mit Zahlungsanweisung
Telefonanruf mit geklonter CEO-Stimme
Videokonferenz-Deepfake (wie im Hong-Kong-Fall)
KI-geschriebene Phishing-Mails in perfektem Deutsch
Warnsignale erkennen
Auch wenn Deepfakes sehr gut sind, gibt es Warnsignale:
Technische Hinweise:
Ruckelnde Bewegungen im Video
Seltsame Beleuchtung oder Hintergrundübergänge
Lippensynchronisation minimal versetzt
Qualitätsverluste bei schnellen Bewegungen
Tonqualität klingt leicht synthetisch
Inhaltliche Warnsignale:
Extreme Dringlichkeit und Druck
Ungewöhnliche Anfrage außerhalb normaler Prozesse
Bitte, nichts zu sagen oder niemanden zu fragen
Anfrage über ungewöhnlichen Kanal (SMS statt E-Mail)
Ungewöhnlich hoher Betrag
Schutzmaßnahmen für Ihr Unternehmen
1. Vier-Augen-Prinzip für Zahlungen
Jede Überweisung über einem festgelegten Betrag (z.B. 1.000 €) braucht Zustimmung von zwei Personen. Klingt simpel, verhindert aber die meisten Betrugsversuche.
2. Codewort-System einführen
Legen Sie intern ein geheimes Verifikationswort fest. Wer ungewöhnliche Anfragen stellt - per Telefon oder Video - muss das Codewort kennen.
Umsetzung:
Codewort regelmäßig wechseln
Nur im persönlichen Gespräch kommunizieren, nie per E-Mail
Gilt für alle Führungskräfte
3. Rückruf über bekannte Nummer
Egal wie überzeugend der Anrufer klingt: Bei ungewöhnlichen Anfragen immer auflegen und über die bekannte, offizielle Nummer zurückrufen.
Wichtig: Nicht die Nummer anrufen, die der Anrufer nennt - diese kann gefälscht sein.
4. Definierte Zahlungsprozesse einhalten
Legen Sie schriftlich fest:
Welche Personen dürfen Überweisungen anordnen?
Welche Betragsgrenzen gelten ohne Vier-Augen-Prinzip?
Über welche Kanäle dürfen Zahlungsanweisungen erfolgen? (Nicht per WhatsApp oder Sprachnachricht!)
5. Mitarbeiterschulung und Awareness
Regelmäßige Schulungen zu:
Was ist CEO-Fraud und Deepfake?
Wie erkenne ich Warnsignale?
Was tue ich, wenn ich verdächtigt? (Immer: erst stoppen, dann prüfen, dann ggf. ausführen)
Es ist keine Schande, eine Anweisung zu hinterfragen - auch wenn der "Chef" ungeduldig klingt
6. Technische Maßnahmen
E-Mail:
DMARC konfigurieren (verhindert E-Mail-Spoofing mit Ihrer Domain)
E-Mail-Filter mit KI-Erkennung für Business-Compromise-Muster
Videokonferenzen:
Firmenkennzeichen in Videokonferenzen vereinbaren (z.B. bestimmter virtueller Hintergrund)
Verdächtige Videoanrufe abbrechen und über bekannten Kanal zurückrufen
Was tun wenn es passiert?
Sofortmaßnahmen:
Überweisung sofort sperren lassen (Bank anrufen - jede Minute zählt!)
Bank kann Rückbuchung veranlassen, wenn Geld noch nicht weitertransferiert
Polizei informieren (Anzeige erstatten)
BSI und ggf. Datenschutzbehörde informieren
Interne Nachforschung: Wie kamen die Angreifer an Informationen?
Zeit ist entscheidend: Betrüger transferieren Geld oft innerhalb von Minuten weiter in mehrere Länder. Je schneller die Bank informiert wird, desto höher die Chance auf Rückbuchung.
Fazit
Deepfakes und KI-gestützter CEO-Fraud sind keine Science-Fiction mehr. Sie sind reale, heute aktive Bedrohungen, die bereits zahlreiche Unternehmen in Deutschland getroffen haben.
Die beste Verteidigung ist eine Kombination aus:
**Klaren Prozessen** (Vier-Augen-Prinzip, Rückruf-Pflicht)
**Geschulten Mitarbeitern** (Skepsis ist keine Unhöflichkeit)
**Technischen Maßnahmen** (DMARC, E-Mail-Filter)
Sprechen Sie Ihre Mitarbeiter auf dieses Thema an - am besten heute noch. Ein kurzes Team-Meeting kann das Unternehmen vor großem Schaden bewahren.
