Im Januar 2024 überwies ein Mitarbeiter der britischen Ingenieurfirma Arup an einem einzigen Tag 15 Zahlungen im Gesamtwert von 25,6 Millionen US-Dollar. Er saß in einer Videokonferenz mit dem vermeintlichen Finanzvorstand und mehreren Kolleginnen und Kollegen, alle bekannt, alle vertraut, keiner davon echt. Jedes Gesicht und jede Stimme im Call war ein KI-generiertes Double, trainiert mit öffentlich zugänglichem Video- und Audiomaterial aus Konferenzaufzeichnungen und Präsentationen der echten Führungskräfte.
Der Fall zeigt, wie sich CEO-Fraud verändert hat. Was früher eine gefälschte E-Mail mit dringender Zahlungsaufforderung war, ist heute ein Anruf oder Videocall mit einer Stimme, die niemand mehr von der echten unterscheiden kann. Dieser Beitrag zeigt, wie der Betrug technisch funktioniert, wie verbreitet er in deutschen Unternehmen bereits ist und mit welchen fünf Schritten du ihn wirksam abwehrst.
Kurzfassung
KI-Stimmenklone machen klassischen CEO-Fraud deutlich schwerer erkennbar, weil die Stimme als Prüfmerkmal wegfällt. Laut Bitkom-Studie “Wirtschaftsschutz 2025” berichten elf Prozent der befragten deutschen Unternehmen bereits von Deepfake-Betrugsversuchen, vier Prozent davon mit tatsächlichem Schaden. Wirksamer Schutz kommt nicht aus besserem Zuhören, sondern aus einem Verifikationsprozess, der unabhängig davon funktioniert, wie echt eine Stimme klingt.
Warum die Stimme als Sicherheitsmerkmal nicht mehr ausreicht
Klassischer CEO-Fraud setzte auf Zeitdruck und Autorität, meist über eine gefälschte E-Mail-Adresse oder eine SMS im Namen der Geschäftsführung. Wer aufmerksam war, konnte Unstimmigkeiten in Tonfall oder Formulierung erkennen, oder zumindest kurz zurückrufen, um eine vertraute Stimme zu hören. Genau dieser letzte Prüfschritt fällt jetzt weg. Mit wenigen Sekunden öffentlich verfügbarem Audiomaterial, etwa aus einem Konferenzvortrag, einem Podcast-Interview oder einem LinkedIn-Video, lässt sich eine Stimme mit frei zugänglichen KI-Werkzeugen heute so nachbilden, dass sie am Telefon oder im Videocall kaum noch von der echten zu unterscheiden ist.
Damit verschiebt sich der Angriffspunkt: Es geht nicht mehr darum, eine Fälschung zu erkennen, sondern darum, dass eine Stimme allein grundsätzlich keine Zahlungsfreigabe mehr rechtfertigen darf, egal wie echt sie klingt. Betroffen sind dabei nicht nur Geschäftsführung und Finanzvorstand als Zielperson der Fälschung. Angegriffen wird meist eine Ebene darunter, typischerweise die Buchhaltung, das Controlling oder Assistenzstellen mit Zahlungsfreigabe, also genau die Positionen, die im Alltag am ehesten unter Zeitdruck stehen und am wenigsten Handhabe haben, eine Anweisung der eigenen Führungskraft in Frage zu stellen.
Wie sich diese Verschiebung auch bei anderen KI-gestützten Angriffen zeigt, etwa wenn Anweisungen in Dokumenten versteckt werden, beschreibt der Beitrag Prompt Injection im Unternehmen.
Wie verbreitet das Risiko in deutschen Unternehmen bereits ist
Die repräsentative Bitkom-Studie “Wirtschaftsschutz 2025” (1.002 befragte Unternehmen ab zehn Mitarbeitenden und mindestens einer Million Euro Jahresumsatz, Befragungszeitraum Frühjahr 2025) liefert dazu belastbare Zahlen: 66 Prozent der Unternehmen nehmen eine zunehmende Rolle künstlicher Intelligenz bei Angriffen wahr. Konkret auf Deepfakes bezogen berichten 11 Prozent von Angriffsversuchen, bei 4 Prozent kam es bereits zu einem tatsächlichen Schaden. Bei automatisierten Anrufen (Robocalls) liegen die Werte mit 23 Prozent Versuchen und 3 Prozent Schadensfällen ähnlich. Der Gesamtschaden durch Cyberangriffe für die deutsche Wirtschaft summiert sich laut derselben Studie auf 202,4 Milliarden Euro im Jahr 2025.
Auch das Bundeslagebild Cybercrime 2025 des Bundeskriminalamts, veröffentlicht im Mai 2026, bestätigt den Trend qualitativ: KI-basierte Werkzeuge gewinnen laut BKA im Bereich Cybercrime zunehmend an Bedeutung, eine eigene Kennzahl für Deepfake- oder KI-Stimmenklon-Fälle weist der Bericht bislang nicht gesondert aus. Das heißt nicht, dass das Risiko klein ist, sondern nur, dass die amtliche Statistik hier noch nicht granular genug erfasst, was die Bitkom-Zahlen bereits zeigen.
So läuft ein typischer Angriff ab
Die Vorbereitung beginnt meist unauffällig. Angreifer sammeln öffentlich zugängliches Video- und Audiomaterial von Führungskräften, aus Konferenzaufzeichnungen, Webinaren, Investorenterminen oder Social-Media-Profilen. Daraus entsteht ein Stimmmodell, teils ergänzt um ein Video-Double. Der eigentliche Angriff läuft dann typischerweise in drei Phasen ab:
- Kontaktaufnahme, oft über eine gefälschte E-Mail, die eine vertrauliche, eilige Transaktion ankündigt, ähnlich wie beim klassischen CEO-Fraud.
- Verifikation durch den Angreifer selbst, ein Anruf oder Videocall mit der geklonten Stimme oder dem geklonten Gesicht der Führungskraft, der genau die Skepsis auflösen soll, die eine reine E-Mail auslösen würde.
- Ausführung unter Zeitdruck, meist mit dem Hinweis auf Vertraulichkeit, die eine Rückfrage bei Kolleginnen und Kollegen erschwert, und einer engen Frist, die eine gründliche Prüfung verhindern soll.
Im Arup-Fall flog der Betrug erst auf, als der Mitarbeiter im Nachhinein die echte Unternehmenszentrale kontaktierte, um die “vertrauliche Transaktion” zu besprechen, und dort niemand davon wusste. Genau dieser Rückkanal, unabhängig vom ursprünglichen Anruf, ist der entscheidende Hebel für Prävention.
Warnsignale, die häufiger auftreten als gedacht
Ungewöhnliche Dringlichkeit, ausdrücklicher Wunsch nach Vertraulichkeit gegenüber Kolleginnen und Kollegen, eine Kontaktaufnahme über einen ungewohnten Kanal (private Nummer statt Diensttelefon, neuer Video-Call-Link) und eine Zahlung an ein bislang unbekanntes Konto sind in Kombination ein starkes Warnsignal, auch wenn Stimme und Video überzeugend wirken.
Fünf Schritte für wirksamen Schutz
Schutz vor KI-gestütztem CEO-Fraud entsteht nicht durch bessere Wachsamkeit am Telefon, sondern durch einen Prozess, der unabhängig davon greift, wie überzeugend ein Anruf klingt. Die folgenden fünf Maßnahmen lassen sich unabhängig von der Unternehmensgröße einführen, ohne dass dafür neue Software angeschafft werden muss.
| Schritt | Was konkret zu tun ist |
|---|---|
| Rückruf über bekannte Nummer | Bei jeder ungewöhnlichen Zahlungsanweisung über einen zweiten, unabhängigen Kanal zurückrufen, über eine intern hinterlegte Nummer, nicht über die im Anruf oder in der E-Mail genannte |
| Vier-Augen-Prinzip ab Schwellenwert | Zahlungen ab einer festgelegten Summe brauchen eine zweite, unabhängige Freigabe, unabhängig davon, wie dringend oder vertraulich die Anweisung wirkt |
| Codewort für sensible Transaktionen | Ein vorab vereinbartes, nicht öffentlich bekanntes Codewort für Zahlungsfreigaben per Telefon oder Videocall, das ein Klon nicht kennen kann |
| Finanzabteilung gezielt schulen | Die Personen mit Zahlungsfreigabe sind das eigentliche Angriffsziel, nicht die IT-Abteilung. Schulung sollte konkrete Fallbeispiele wie Arup enthalten, nicht nur allgemeine Phishing-Hinweise |
| Meldewege für Verdachtsfälle etablieren | Eine klare, niedrigschwellige Anlaufstelle für Mitarbeitende, die einen Anruf für verdächtig halten, ohne Angst vor Blamage, wenn sich der Verdacht als unbegründet herausstellt |
Wie sich Mitarbeitende systematisch für KI-bezogene Risiken sensibilisieren lassen, nicht nur für diesen einen Angriffstyp, beschreibt der Beitrag KI-Schulung für Mitarbeiter. Wer diese Schritte nicht nur einmalig einführt, sondern dauerhaft überprüft, sollte sie in die bestehende Governance-Struktur einbetten, wie im Beitrag KI-Governance im Unternehmen beschrieben.
Was im Verdachtsfall sofort zu tun ist
Wenn eine Zahlungsanweisung ungewöhnlich wirkt, zählt Geschwindigkeit in die andere Richtung: Die Ausführung stoppen, nicht beschleunigen. Zuerst über den bekannten, internen Kanal Rücksprache mit der angeblich anweisenden Person halten, nicht über die im Anruf hinterlassene Nummer. Ist bereits eine Zahlung ausgelöst, sofort die Bank kontaktieren, um einen Rückruf der Überweisung zu versuchen, die Erfolgschancen sinken mit jeder Stunde. Parallel den Vorfall intern dokumentieren und, je nach Schadenshöhe, Anzeige bei der Polizei erstatten. Eine offene Fehlerkultur ist hier wichtiger als Schuldzuweisung: Wer einen Verdacht zu spät meldet, weil eine Falschmeldung peinlich wäre, verschenkt genau das Zeitfenster, in dem eine Bank noch eingreifen kann.
Diese Aufmerksamkeit sollte nicht isoliert für CEO-Fraud entstehen. Sie gehört in denselben Rahmen wie andere unkontrollierte KI-Nutzungsrisiken im Unternehmen, etwa wenn Mitarbeitende eigenständig KI-Tools einsetzen, ohne dass IT oder Geschäftsführung davon wissen. Wie dieses Risiko strukturell zusammenhängt, zeigt der Beitrag Schatten-KI im Unternehmen.
Häufige Fragen zu CEO-Fraud mit KI-Stimmenklonen
Reicht es, die Stimme am Telefon genau zu prüfen? Nein. Moderne Stimmklone sind für das menschliche Ohr in Echtzeit kaum noch von der echten Stimme zu unterscheiden. Schutz muss über einen Prozess laufen, der unabhängig von der Stimme selbst funktioniert, etwa Rückruf über eine bekannte Nummer oder ein vorab vereinbartes Codewort.
Sind kleine und mittlere Unternehmen ebenfalls betroffen, oder nur Konzerne? Die Bitkom-Zahlen zu Deepfake- und Robocall-Angriffsversuchen stammen aus einer Stichprobe, die bereits ab zehn Mitarbeitenden beginnt. Kleinere Unternehmen haben oft weniger formalisierte Freigabeprozesse, was das Risiko eher erhöht als senkt.
Muss dafür ein neues KI-System angeschafft werden? Nein. Der wirksamste Schutz ist organisatorisch, nicht technisch: klare Freigabeprozesse, Rückruf über bekannte Kanäle und ein Codewort kosten nichts und lassen sich sofort einführen. Technische Anomalie-Erkennung für Audio und Video kann ergänzend sinnvoll sein, ersetzt den Prozess aber nicht.
Was jetzt zu tun ist
KI-Stimmenklone haben die technische Hürde für CEO-Fraud gesenkt, nicht das grundsätzliche Prinzip verändert: Der Angriff funktioniert über Dringlichkeit, Vertraulichkeit und einen fehlenden zweiten Prüfkanal. Wer Rückruf-Routinen, Vier-Augen-Prinzip und ein Codewort für sensible Transaktionen jetzt einführt, entzieht dem Angriff seine Grundlage, unabhängig davon, wie überzeugend die nächste KI-generierte Stimme klingt.
Im KI-Prozess-Audit schauen wir uns in 30 Minuten an, wo in deinem Unternehmen Zahlungsfreigaben und andere sensible Prozesse noch auf einem einzigen, angreifbaren Kanal beruhen, und was es braucht, um sie abzusichern.
