Deepfake-Betrug und Vishing: gefälschte Stimmen erkennen

Das Telefon klingelt während eines Meetings. Die Nummer ist unbekannt, aber die Stimme klingt vertraut. "Hallo, ich bin im Auto und kann nicht lange sprechen. Ich brauche heute noch die Anzahlung. Die Details sind in deiner E-Mail." Es klingt wie der Geschäftsführer. Tonfall, Sprechtempo und kurze Formulierungen passen.

Nur weiß der Geschäftsführer nichts davon.

So kann ein Deepfake-Betrug in Kombination mit Vishing aussehen. Vishing ist Voice Phishing, also Betrug per Telefonanruf. Eine Deepfake-Stimme oder Voice Cloning nutzt etwas aus, dem Menschen stark vertrauen: eine bekannte Stimme.

Bei Deepfake-Betrug geht es nicht nur um Technologie. Es geht um Vertrauen, Stress und schnelle Entscheidungen. Der Angreifer will nicht, dass Sie nachdenken. Er will, dass Sie reagieren.

Das bedeutet nicht, dass wir paranoid werden müssen. Es bedeutet, dass wichtige Entscheidungen verifiziert werden müssen, besonders wenn es um Geld, Zugänge, personenbezogene Daten oder sensible Unternehmensinformationen geht.

Mehr Kontext dazu finden Sie im Artikel KI als Angreifer: Phishing, Deepfakes und neue Cyberbedrohungen.

Deepfake-Betrug und Vishing folgen derselben Logik wie KI-Phishing: Der Angreifer baut eine glaubwürdige Geschichte und drängt zu einer schnellen Entscheidung. Öffentliche Informationen aus OSINT helfen oft bei der Vorbereitung.

Was ist ein Deepfake?

Ein Deepfake ist künstlich erzeugtes oder verändertes Audio-, Bild- oder Videomaterial, das eine echte Person imitiert. Mit KI kann eine Stimme erzeugt werden, die wie eine bestimmte Person klingt, oder ein Video, in dem Gesicht und Mimik überzeugend wirken.

Manchmal reicht schon eine relativ kleine Sprachprobe. Ein öffentlicher Vortrag, Podcast, Konferenzvideo, YouTube-Interview, Online-Training oder kurzer Social-Media-Clip kann genug Material liefern.

Damit wird der digitale Fußabdruck zum Sicherheitsthema. Öffentliche Videos, Profile, Konferenzfotos und Beiträge können sowohl OSINT-Recherche als auch Deepfake-Vorbereitung unterstützen.

Das Risiko betrifft deshalb nicht nur Prominente. Auch Führungskräfte, Unternehmer, Lehrkräfte, Ärztinnen, Immobilienmakler, Vertriebsteams, Influencer und jede Person mit öffentlich verfügbarem Audio- oder Videomaterial können Ziel werden.

Was ist Vishing?

Vishing ist Voice Phishing. Über einen Telefonanruf oder eine Sprachnachricht versucht ein Angreifer, das Opfer zu einer riskanten oder schädlichen Handlung zu bewegen.

Typische Ziele sind:

• Geld überweisen,
• einen SMS-Code weitergeben,
• eine Zahlung bestätigen,
• eine Bankverbindung ändern,
• ein Passwort verraten,
• eine Anwendung installieren,
• personenbezogene Daten nennen,
• einen per SMS gesendeten Link öffnen.

Vishing gab es schon vor KI. Betrüger gaben sich am Telefon als Bank, Polizei oder technischer Support aus. KI fügt eine neue Ebene der Glaubwürdigkeit hinzu: Die Stimme kann wie jemand klingen, den Sie kennen.

Wie ein Deepfake-Betrug aussehen kann

CEO-Fraud

Ein Mitarbeiter erhält einen Anruf oder eine Sprachnachricht von jemandem, der wie die Geschäftsführung klingt. Die Person behauptet, in einem Termin zu sein, nicht schreiben zu können und dringend eine Rechnung bezahlt haben zu müssen. Die Situation wirkt glaubwürdig, weil die Stimme vertraut ist und die Anfrage wie eine Arbeitspriorität aussieht.

Betrug gegen die Finanzabteilung

Der Angreifer gibt sich als Lieferant oder Manager aus und fordert eine Änderung der Bankverbindung auf einer Rechnung. Ohne klaren Verifizierungsprozess kann ein Mitarbeiter die Änderung in gutem Glauben durchführen.

Familiennotfall-Betrug

Ein Elternteil erhält einen Anruf von einer Stimme, die wie das eigene Kind klingt. Die Person behauptet, einen Unfall gehabt, das Handy verloren oder schnell Geld zu benötigen. Ziel ist Panik ohne Überprüfung.

Betrug per Videoanruf

Es gab bereits öffentliche Fälle, in denen Beschäftigte einem Videoanruf mit gefälschten Führungskräften glaubten und hohe Summen überwiesen. Diese Angriffe zeigen, dass Deepfake-Video keine Theorie mehr ist. Es kann reale Unternehmen treffen.

Warnsignale für eine gefälschte Stimme oder ein Video

Ein Deepfake muss nicht perfekt sein. Oft gibt es kleine Unstimmigkeiten. Das Problem ist, dass Stress diese Hinweise schwerer erkennbar macht.

Achten Sie auf diese Signale:

• der Anrufer erzeugt starken Zeitdruck,
• er will keine Rückfrage bei anderen Personen,
• er fordert eine ungewöhnliche Zahlung oder Kontoänderung,
• er bezeichnet die Angelegenheit als geheim oder besonders sensibel,
• er weigert sich, auf einen anderen Kommunikationskanal zu wechseln,
• Antworten wirken leicht verzögert oder unnatürlich,
• die Stimme klingt richtig, aber die Emotion passt nicht,
• im Video wirken Lippen, Augen oder Mimik ungewöhnlich,
• die Gesprächsqualität ist auffällig schlecht,
• die Person weicht unerwarteten Fragen aus.

Das wichtigste Warnsignal ist nicht technisch. Es ist die Kombination aus vertrauter Identität und dringender Forderung. Wenn eine bekannte Person sehr schnell etwas Wichtiges verlangt, verlangsamen Sie den Prozess.

Wie Sie einen verdächtigen Anruf verifizieren

Die beste Verteidigung gegen Deepfake-Betrug ist eine Überprüfung über einen zweiten Kanal.

Wenn ein angeblicher Geschäftsführer eine Zahlung verlangt, legen Sie auf und rufen Sie über eine bereits bekannte Nummer zurück. Nutzen Sie nicht die verdächtige Nummer. Wenn ein angeblicher Kollege von einer unbekannten Nummer schreibt, prüfen Sie über den Unternehmenschat. Wenn ein Kind in Panik anruft, stellen Sie eine Frage, die nur dieses Familienmitglied beantworten kann.

Unternehmen sollten zusätzlich Sicherheitsphrasen oder klare Verifizierungsregeln einführen. Dringende Zahlungen sollten eine zweite Freigabe benötigen. Änderungen von Lieferantenkonten sollten über den ursprünglich registrierten Kontakt geprüft werden. Sensible Anfragen dürfen nie nur auf einer Sprachnachricht basieren.

Was Unternehmen tun sollten

Unternehmen sollten Deepfake-Betrug nicht mehr als Kuriosität betrachten. Er ist Teil der modernen Sicherheitsrealität.

Praktische Maßnahmen:

1. Regeln für dringende Zahlungen festlegen. Keine Zahlung nur auf Basis eines Anrufs.
2. Doppelte Freigabe für höhere Beträge nutzen.
3. Änderungen von Lieferantenkonten über einen unabhängigen Kontakt prüfen.
4. Mitarbeitende zu Vishing und Deepfake-Szenarien schulen.
5. Öffentlich geteilte interne Informationen begrenzen.
6. Einen einfachen Prozess zum Melden verdächtiger Anrufe schaffen.
7. Vermitteln, dass Verifizierung kein Misstrauen ist, sondern ein professioneller Standard.

Was Familien tun sollten

Deepfake-Stimmen sind nicht nur ein Geschäftsrisiko. Das Risiko wächst auch für Familien.

Vereinbaren Sie einfache Regeln:

• ein Familienpasswort für Notfälle,
• kein Geldtransfer unter Druck,
• Überprüfung durch Rückruf,
• Fragen, die nur Familienmitglieder beantworten können,
• keine Weitergabe von Codes oder persönlichen Daten per Nachricht.

Ältere Menschen können besonders anfällig für Anrufe sein, die Angst erzeugen. Es ist besser, diese Szenarien vorher zu besprechen, nicht erst nach einem Vorfall.

Fazit

Deepfake-Betrug ist gefährlich, weil er Vertrauen angreift. Stimme und Gesicht sind Dinge, denen wir intuitiv glauben. KI kann dieses Vertrauen missbrauchen.

Die Grundregel ist einfach: Bei Geld, Passwörtern, Konten und sensiblen Daten reicht Stimme allein nicht aus. Es braucht Verifizierung.

Es ist kein Problem zu sagen: "Ich prüfe das und melde mich zurück." Dieser Satz kann Geld, Unternehmensdaten und persönliche Daten schützen.