Rund drei Sekunden Audiomaterial reichen aktuellen Forschungssystemen, um eine Stimme überzeugend zu klonen. Vor wenigen Jahren brauchte es dafür noch hunderte Stunden Aufnahmen. Reale Betrugsfälle arbeiten meist mit mehr und besserem Ausgangsmaterial — einem Interview, einem Konferenzvideo, einem Social-Media-Clip —, aber die technische Hürde, die diesen Betrug lange unpraktikabel gemacht hat, ist damit gefallen.
Das Muster ist immer dasselbe
CISA, NSA und FBI beschreiben es in einer gemeinsamen Warnung so: eine vorgetäuschte Autoritätsperson, Zeitdruck, eine Geheimhaltungsauflage — "besprechen Sie das mit niemandem" —, ein ungewöhnlicher Zahlungsweg oder Empfänger, und die Aufforderung, den normalen Freigabeprozess zu überspringen, weil gerade keine Zeit dafür sei. Genau diese Kombination, nicht die Qualität der Stimme, ist das verlässlichste Erkennungsmerkmal.
Zwei reale Fälle aus Europa
Arup, Hongkong, Anfang 2024
Ein Mitarbeiter des Ingenieurbüros Arup nahm an einer Videokonferenz teil, in der Finanzvorstand und mehrere Kollegen als überzeugende Deepfakes auftraten. Ausgelöst durch eine vorangegangene Phishing-Mail, führte er 15 Überweisungen mit insgesamt rund 25,6 Millionen US-Dollar aus. Die Täter wurden bislang nicht identifiziert.
Italien, Anfang 2025
Betrüger klonten die Stimme des italienischen Verteidigungsministers und kontaktierten damit mehrere Unternehmer mit der Bitte um Geld zur angeblichen Freilassung von Geiseln. Mindestens ein Unternehmer überwies rund eine Million Euro auf ein Konto in Hongkong. Die Mailänder Staatsanwaltschaft ermittelt.
Man erkennt eine gefälschte Stimme nicht am Klang. Man erkennt sie an der Bitte, die sie ausspricht.
Video ist keine Sicherheit mehr, aber auch kein Massenphänomen
Der Arup-Fall zeigt, dass Echtzeit-Video-Deepfakes in gewöhnlichen Videokonferenzen bereits praktisch gegen Unternehmen eingesetzt wurden — kein rein theoretisches Risiko mehr. Gleichzeitig ist der Aufwand dafür höher als bei einem reinen Audio-Anruf, und dokumentiert sind bislang vor allem gezielte Angriffe auf große, zahlungskräftige Ziele, nicht ein Massenphänomen gegen KMU. Einzelne im Umlauf befindliche Häufigkeitszahlen dazu ließen sich nicht auf eine unabhängige Quelle zurückführen — wir verzichten deshalb bewusst darauf, eine zu nennen.
Die eine Regel, die zählt
Auflegen, nicht unter Druck weiterreden
Zeitdruck und Geheimhaltungsbitte sind selbst schon das Warnsignal — unabhängig davon, wie echt die Stimme klingt.
Rückruf über eine bekannte, selbst nachgeschlagene Nummer
Nie die Nummer zurückrufen, die angerufen hat, oder eine im Gespräch genannte — sondern die Nummer, die im eigenen System oder Adressbuch hinterlegt ist. Das FBI nennt genau das als wirksamste Einzelmaßnahme.
Ein vereinbartes Codewort
Eine Rückfrage, die nur die echte Person beantworten kann und die nirgends öffentlich steht — für Familien ebenso empfohlen wie für Unternehmen mit Zahlungsvollmacht.
Zwei-Kanal-Freigabe bei jeder Zahlungsänderung
Eine geänderte Bankverbindung oder eine ungeplante Überweisung wird nie allein aufgrund eines Anrufs oder einer Videokonferenz freigegeben, sondern zusätzlich über einen zweiten, unabhängigen Weg bestätigt.
Auch ohne Schaden melden
Ein Versuch, der nicht funktioniert hat, ist trotzdem eine Meldung wert — er zeigt, dass die eigene Organisation bereits ins Visier genommen wurde.
Wenn es bereits passiert ist
Sofort die eigene Bank kontaktieren
Nur eine schnelle Meldung gibt überhaupt eine Chance, eine Überweisung zu stoppen oder zurückzuholen.
Anzeige bei der Polizei erstatten
Ohne Anzeige kann die eigene Bank die Bank hinter einer ausländischen IBAN in der Regel nicht offiziell kontaktieren.
Meldestelle des Innenministeriums
[email protected] nimmt Hinweise zu Internetkriminalität entgegen. WKO-Mitglieder erreichen zusätzlich die Cyber-Security-Hotline 0800 888 133.
Awareness-Trainings, die diesen konkreten Fall benennen — nicht nur klassisches Phishing —, gehören zu dem, was Protect an Schutzschichten über Manage legt. Ähnlich wie beim Quishing ist auch hier die Technik nur die halbe Antwort: Die Rückruf-Regel kostet nichts und lässt sich noch heute im Team besprechen. Wenn Sie klären möchten, wie ein Zahlungsfreigabe-Prozess bei Ihnen aussehen sollte: Das ist eine gute Frage für ein kurzes Gespräch.