Drei Präventionsmaßnahmen Wie sich Unternehmen vor Deepfake-Betrug schützen können

Anbieter zum Thema

Ping Identity Inc.

Ping Identity Inc.

SEPPmail - Deutschland GmbH

Ist die E-Mail wirklich vom Vorstandsvorsitzenden? Die vertraute Stimme am Telefon, könnte die ein Betrüger sein? Deepfake-Angriffe nehmen rasant zu und verunsichern Unternehmen weltweit. Auch in der DACH-Region steigt die Bedrohung: Die Zahl der Angriffe in Österreich alleine nahm letztes Jahr um 119 Prozent zu, wie eine KPMG-Erhebung zeigt. In Deutschland und der Schweiz zeigen sich ähnliche Entwicklungen.

Viele IT-Entscheider in der Region äußern inzwischen große Besorgnis über Sicherheitslücken, die durch Deepfakes entstehen, und sehen ihre Unternehmen unzureichend vorbereitet. Rund die Hälfte der befragten Unternehmen glaubt, dass Deepfake-Angriffe nicht rechtzeitig erkannt werden könnten – vor allem dann, wenn Bild und Stimme des eigenen CEOs für betrügerische Zwecke genutzt werden.

So schützen sich Unternehmen

Deepfake und KI-Cyberangriffe auf Führungskräfte

Reale Angriffe: Ferrari-CEO und Bank-Vorstand gefaked

Wie real Deepfake-Angriffe bereits sind, musste unlängst der Autobauer Ferrari erfahren: Ein Manager erhielt mehrfach E-Mails, anscheinend von seinem CEO, über eine angebliche Übernahme des Unternehmens. Der Manager sollte eine Vertraulichkeitserklärung unterzeichnen. Als er nicht reagierte, folgte ein Anruf – mit der Stimme des CEO, perfekt nachgeahmt, inklusive seines charakteristischen süditalienischen Akzents. Erst als der Manager gezielt nach persönlichen Details fragte, die nur der CEO kannte, ließ der Betrüger ab. Auch wenn der Versuch letztlich keinen Erfolg hatte, war das Vorgehen raffiniert und hätte ebenso großen Schaden verursachen können.

Weniger Glück hatte eine Hongkonger Bank letztes Jahr. Betrüger konnten ihre Opfer mit Deepfake-Videos des Finanzvorstands überzeugen, 200 Mio. Hong Kong Dollar (umgerechnet 22,6 Millionen Euro) zu überweisen. Obwohl Finanzinstitute hohen Wert auf Sicherheit und Betrugserkennung legen, konnte die Bank die Fälschung nicht rechtzeitig erkennen. Der Angriff ist einer der bislang größten bekannten Fälle von KI-gestütztem Finanzbetrug – und sicher nicht der letzte.

Ein Bericht von Europol zeigt, dass Deepfake-basierte Angriffe deutlich ansteigen, sowohl im Bereich Wirtschaftsspionage wie auch Betrug. Der Grund ist leicht zu verstehen: Angriffe werden immer günstiger und leichter durchzuführen; dank frei verfügbarer KI-Tools können Kriminelle heutzutage mit minimalem Aufwand täuschend echte Deepfakes erstellen. Der Weg vom Konzept zur Umsetzung eines Betrugs ist so kurz wie nie zuvor.

KI-generierte Deepfakes erkennen

Deepfake-Angriffe auf bio­met­rische Gesichts­daten werden zunehmen

Die besondere Bedrohung für den Finanzsektor

Der Finanzsektor ist besonders anfällig für Deepfake-Angriffe. Banken und Finanzdienstleister sind aufgrund der hohen Geldströme und der oft komplexen internen Kommunikationsprozesse ein beliebtes Ziel für Kriminelle. Die häufigste Methode ist dabei der sogenannte „CEO-Fraud“, bei dem hochrangige Führungskräfte nachgeahmt werden, um Finanztransaktionen zu veranlassen. Gerade in Situationen, in denen Zeitdruck aufgebaut wird, wie bei Übernahmen oder dringenden Zahlungen, kann die Täuschung schnell unbemerkt bleiben.

Ein Beispiel ist ein aktueller Fall von KI-Telefonbetrug in Großbritannien: Der Manager eines Energie-Unternehmens in UK erhielt einen Anruf vom Manager der deutschen Muttergesellschaft – so schien es jedenfalls. Die Betrüger nutzten kommerziell verfügbare KI-Software, um die Stimme des Vorgesetzten zu imitieren, und konnten ihr Opfer dazu bringen, umgerechnet 217.000 Euro zu überweisen. Angeblich ging die Summe an einen Lieferanten in Ungarn und würde umgehend erstattet werden. Nach ihrem anfänglichen Erfolg versuchten es die Betrüger ein zweites Mal, doch der Manager hatte bereits Lunte gerochen und stoppte den Betrug.

Sowohl bei Ferrari als auch bei dem Energie-Unternehmen kommen täuschend echte Stimmen zum Einsatz. In Hongkong war es sogar ein Video-Call. Diese Beispiele zeigen, dass beide Kanäle. Audio und Video, bereits erfolgreich kompromittiert werden können.

Prävention: Drei wesentliche Maßnahmen

Angesichts der zunehmenden Bedrohungen stellt sich die Frage, wie sich Unternehmen schützen können. Drei präventive Maßnahmen können die Wahrscheinlichkeit eines erfolgreichen Angriffs erheblich reduzieren:

1. Klare Kommunikationsprotokolle etablieren

Ein erster Schritt besteht darin, klare Regeln für die interne Kommunikation festzulegen. Alle internen Prozesse, die hochrangige Führungskräfte betreffen, sollten standardisiert und überprüfbar sein. Ein CEO sollte klarstellen, dass er niemals ungewöhnliche Anfragen stellen wird, etwa den Kauf von Gutscheinen (Gift Cards) oder die Überweisung großer Beträge an Dritte. Solche Richtlinien reduzieren das Risiko, dass Mitarbeiter auf gefälschte Anfragen hereinfallen.

2. Mehrkanalige Verifizierung nutzen

Ein effektiver Schutz ist die Einführung eines Verifizierungssystems, das auf mehreren Kommunikationskanälen basiert. Das bedeutet, dass jede wichtige Kommunikation über mindestens zwei Kanäle erfolgen sollte, z. B. per E-Mail und über eine interne Messaging-Plattform. Erhält ein Mitarbeiter eine Anweisung nur über einen Kanal, sollte er diesen ignorieren und über einen weiteren Kanal Rücksprache halten. Diese einfache Maßnahme kann den Erfolg von Betrugsversuchen erheblich einschränken.

3. Regelmäßige Schulungen für Mitarbeiter

Schulungen sind der Schlüssel, um Mitarbeiter auf die wachsende Bedrohung durch Deepfakes vorzubereiten. Laut einer Bitkom-Studie wissen 30 Prozent der Deutschen nicht, was ein Deepfake ist. Unternehmen sollten daher regelmäßig Schulungen anbieten, um das Bewusstsein für die Gefahren von Deepfakes, Phishing und anderen Formen des Identitätsbetrugs zu schärfen. Es ist wichtig, dass Mitarbeiter wissen, dass nicht nur E-Mails, sondern auch Sprach- und Videoanrufe manipuliert sein können.

Compliance und der „Zero Trust“-Ansatz

Ein weiterer Aspekt, der Unternehmen beeinflussen kann, ist neben dem finanziellen Schaden auch das beschädigte Vertrauen in Unternehmen durch Deepfake-Angriffe. Das Beratungsunternehmen Deloitte beziffert die potenziellen Verluste durch KI-gestützte Angriffe bis 2027 auf 40 Milliarden US-Dollar – ein dramatischer Anstieg von 12,3 Milliarden US-Dollar im Jahr 2023.

Ein weiterer guter Grund, um neben den genannten organisatorischen Gegenmaßnahmen auch auf technische Lösungen zu setzen. Ein „Zero Trust“-Sicherheitsmodell, bei dem jede Kommunikation überprüft wird, bevor sie als authentisch akzeptiert wird, ist unerlässlich. Dieses Modell hilft sicherzustellen, dass selbst interne Anfragen immer einer zusätzlichen Überprüfung unterzogen werden.

Regulatorische Entwicklungen in der EU zielen zudem darauf ab, Unternehmen zu verpflichten, stärkere Sicherheitsvorkehrungen zu treffen. Mit dem Vorschlag für eine KI-Verordnung der Europäischen Kommission, die unter anderem die Regulierung von Hochrisiko-KI-Anwendungen umfasst, könnten Unternehmen bald gesetzlich verpflichtet sein, den Schutz vor Deepfake-Angriffen zu erhöhen.

Fazit

Deepfake-Angriffe sind längst keine Ausnahme mehr, sondern eine wachsende Bedrohung, die Unternehmen aller Größen betrifft. Echte Betrugsfälle zeigen, wie real die Gefahr für Unternehmen aller Branchen ist. Unternehmen, die sich nicht frühzeitig mit klaren Kommunikationsprotokollen, Schulungen und technischen Lösungen wie Identity und Access Management ausrüsten, laufen Gefahr, Opfer solcher Angriffe zu werden. Jetzt ist es an der Zeit, zu handeln.

Über den Autor: : Detlev Riecke ist Regional Vice President DACH bei Ping Identity.

Aktuelle Sonderausgabe

„CYBERRISIKEN 2025“

Die Zeiten des Fachkräftemangels, Künstlicher Intelligenz und Quantencomputer stellen die IT-Sicherheit auf die Probe. In dieser Sonderausgabe von Security-Insider erfahren Sie alles über aktuelle Bedrohungen und Angriffstaktiken, aber auch über effiziente Gegenmaßnahmen.

Die Highlights im Überblick:

• Risiko Quantencomputer: Was Unternehmen jetzt wissen sollten
• Deepfake-Problematik droht zu eskalieren
• Das kommt nach NIS2, DORA und CRA!

Sonderausgabe „CYBERRISIKEN 2025“ kostenlos lesen

(ID:50218211)