Deepfake — einfach erklärt

Was ist ein Deepfake?

Ein Deepfake ist Bild-, Video- oder Audio-Material, das mit Hilfe von KI erzeugt oder manipuliert wurde, um eine reale Person täuschend echt darzustellen. Der Begriff setzt sich aus „Deep Learning” und „Fake” zusammen: Ein KI-Modell lernt aus vorhandenem Material — Fotos, Videos, Sprachaufnahmen — die charakteristischen Merkmale einer Person und kann sie anschließend in neuen, frei erfundenen Szenen oder Sätzen täuschend echt nachbilden.

Was früher aufwändige Fälschungswerkzeuge und Fachwissen erforderte, ist mit moderner KI-Technik deutlich einfacher geworden. Schon wenige Sekunden Audiomaterial reichen inzwischen aus, um eine Stimme nachzuahmen, die für Menschen kaum noch von der echten zu unterscheiden ist.

Wie werden Deepfakes im Unternehmenskontext missbraucht?

Für Unternehmen ist vor allem eine Anwendung relevant geworden: Betrug durch gefälschte Kommunikation von vertrauenswürdigen Personen.

1. Gefälschte Anrufe von Führungskräften — Die nachgeahmte Stimme eines Geschäftsführers oder einer Vorgesetzten weist per Telefon eine dringende Überweisung oder Datenherausgabe an. Diese Variante wird häufig auch als Weiterentwicklung des klassischen CEO-Fraud beschrieben.
2. Gefälschte Video-Nachrichten — Kurze Video-Clips, etwa in einem Chat verschickt, zeigen scheinbar eine bekannte Person mit einer dringenden Bitte oder Anweisung.
3. Gefälschte Identitäten in Video-Calls — In seltenen, aber dokumentierten Fällen wurde sogar ein komplettes Videomeeting mit gefälschten Teilnehmern nachgestellt, um eine Freigabe zu erschleichen.
4. Untermauerung von Phishing — Eine gefälschte Sprachnachricht oder ein kurzer Videoausschnitt macht eine ansonsten unauffällige Phishing-Mail glaubwürdiger.

Allen Varianten gemeinsam ist der psychologische Hebel: Zeitdruck, Autorität und ein vertraut klingendes Gegenüber sollen verhindern, dass jemand innehält und nachfragt.

Worauf Unternehmen achten sollten

1. Rückkanal-Verifikation als feste Regel — Ungewöhnliche Anweisungen, insbesondere zu Zahlungen oder Zugangsdaten, immer über einen zweiten, bekannten Kommunikationsweg bestätigen — etwa Rückruf unter der bekannten, hinterlegten Nummer statt der Nummer aus der verdächtigen Nachricht.
2. Vier-Augen-Prinzip bei Zahlungen — Gerade bei eiligen oder untypischen Überweisungen sollte grundsätzlich eine zweite Person gegenprüfen, unabhängig davon, wie überzeugend Stimme oder Bild wirken.
3. Kein blindes Vertrauen in Ton oder Bild allein — Je überzeugender die Technik wird, desto wichtiger wird die Regel, sich nicht ausschließlich auf das Gehörte oder Gesehene zu verlassen.
4. Awareness im Team verankern — Mitarbeitende sollten wissen, dass Deepfakes real und zunehmend zugänglich sind, damit ein ungewöhnlicher Anruf Skepsis auslöst statt reiner Reaktion.

Deepfake in der Praxis

Ein typisches Szenario: Die Buchhaltung eines mittelständischen Betriebs erhält einen Anruf, in dem die Stimme des Geschäftsführers vertraut klingt und um eine kurzfristige, vertrauliche Überweisung an einen neuen Lieferanten bittet — angeblich dringend, angeblich unter Zeitdruck, mit der Bitte, vorerst niemand anderen einzubeziehen. Genau diese Kombination aus vertrauter Stimme, Dringlichkeit und Vertraulichkeitsbitte ist das Muster, das sich hinter vielen dieser Betrugsversuche verbirgt.

Ein kurzer Rückruf beim Geschäftsführer über die bekannte, im Betrieb hinterlegte Nummer — nicht über die im Anruf angegebene — klärt den Sachverhalt in der Regel innerhalb von Minuten. Diese einfache Regel, verbindlich im Betrieb verankert, wirkt gegen Deepfake-Betrug oft zuverlässiger als jede technische Erkennung. Bei IT-Sicherheit von LNIT beziehen wir solche Social-Engineering-Szenarien bewusst in Sicherheitskonzept und Mitarbeitersensibilisierung ein — technische Maßnahmen allein reichen hier nicht aus.