Deepfakes und CEO-Fraud: So schützt du deinen Betrieb vor KI-Betrug

Freitag, kurz vor Feierabend. Am Telefon ist die Chefin, die Stimme klingt vertraut. Ein Geschäft muss heute noch abgeschlossen werden, die Überweisung ist dringend, und bitte erst mal mit niemandem darüber reden. Genau so beginnen viele Betrugsfälle mit KI. Hier liest du, wie die Maschen funktionieren, wie groß die Gefahr 2026 ist und mit welchen einfachen Regeln du deinen Betrieb schützt.

Wie nutzen Kriminelle KI gegen Betriebe?

Betrug gegen Firmen gab es schon immer. Neu ist, dass KI die Fälschung billig und überzeugend macht. Drei Maschen tauchen besonders häufig auf:

• Die gefälschte Chefstimme (CEO-Fraud): Jemand ruft mit der Stimme der Geschäftsführung an und verlangt eine eilige Überweisung. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) reichen für eine Stimmfälschung mit KI oft schon einige Minuten Tonmaterial, etwa aus einem Video, einem Interview oder einer Sprachnachricht.
• Die gefälschte Rechnung: Eine Mail, scheinbar vom bekannten Lieferbetrieb, meldet eine neue Bankverbindung oder schickt eine Rechnung mit anderem Konto. Mit KI sind solche Mails sprachlich fehlerfrei und passen oft genau zum laufenden Schriftverkehr.
• Der gefälschte Videocall: In einer Videokonferenz sitzen scheinbar bekannte Gesichter, die eine Zahlung freigeben. Im bekanntesten Fall überwies ein Beschäftigter des Ingenieurbüros Arup in Hongkong 2024 rund 25 Millionen US-Dollar. Die anderen Personen im Call waren mit KI erzeugt.

Allen drei Maschen ist gemeinsam: Sie greifen nicht deine Technik an, sondern das Vertrauen in deinem Team.

Wie groß ist die Gefahr 2026?

Die Gefahr wächst schnell. Laut der Studie Wirtschaftsschutz 2026 des Digitalverbands Bitkom hatten 14 Prozent der Unternehmen in den letzten zwölf Monaten einen Schaden durch automatisierte Anrufe, sogenannte Robo Calls. Ein Jahr zuvor waren es 3 Prozent. Schäden durch Deepfakes verdoppelten sich von 4 auf 8 Prozent. Befragt wurden 1.003 Unternehmen ab 10 Beschäftigten.

82 Prozent der Unternehmen stellen fest, dass bei Angriffen verstärkt KI im Spiel ist. Fast die Hälfte von ihnen erkennt das an der hohen Qualität gefälschter Ton- und Videoaufnahmen. Der Geldabfluss durch Betrugsversuche stieg laut Bitkom auf 8,4 Milliarden Euro, nach 0,9 Milliarden im Vorjahr. Kleine Betriebe sind dabei kein Nebenschauplatz: Wo wenige Menschen viel entscheiden, reicht oft ein einziger überzeugender Anruf.

Welche Regeln schützen deinen Betrieb?

Die gute Nachricht: Gegen diese Maschen hilft vor allem ein klarer Ablauf, kein teures Werkzeug. Diese vier Regeln kannst du heute festlegen:

• Rückruf über eine bekannte Nummer: Kommt eine Zahlungsanweisung per Telefon, Mail, Messenger oder Video, wird aufgelegt und zurückgerufen. Immer über die Nummer aus deinem Adressbuch, nie über die aus der Nachricht.
• Vier-Augen-Prinzip: Zahlungen ab einem Betrag, den du festlegst, gibt eine zweite Person frei. Das gilt ausdrücklich auch dann, wenn die Anweisung scheinbar von dir selbst kommt.
• Kontodaten nie auf Zuruf ändern: Meldet ein Lieferbetrieb eine neue Bankverbindung, prüft ihr das mit einem Rückruf bei der bekannten Ansprechperson, bevor die nächste Rechnung bezahlt wird.
• Codewort für den Ernstfall: Vereinbare mit deinem Team ein Wort, das nur ihr kennt und das in keiner Mail steht. Wer am Telefon eine eilige Zahlung will, muss es nennen können.

Am wichtigsten ist ein Satz, den dein Team von dir hören sollte: „Nachfragen ist immer richtig, auch wenn ich selbst anrufe.“ Wer Eile und Geheimhaltung verlangt, bekommt erst recht einen Rückruf. Niemand soll Ärger fürchten, weil er oder sie lieber einmal mehr prüft.

Wie erkennst du einen Deepfake?

Bevor du auf Bild oder Ton achtest, achte auf die Situation. Diese vier Warnsignale sollten dein Team sofort stutzig machen:

Auch die Fälschung selbst verrät sich manchmal. Das BSI nennt typische Hinweise bei gefälschten Stimmen: ein metallischer Klang, eine monotone Betonung oder kleine Verzögerungen, wenn die Stimme in Echtzeit erzeugt wird. Bei Videos können unscharfe Ränder am Gesicht oder eine unnatürliche Mimik auffallen.

Verlass dich aber nicht auf dein Ohr. Die Fälschungen werden besser, und auch Erkennungsprogramme arbeiten laut BSI nur eingeschränkt zuverlässig. Sicher ist nur der Ablauf: Rückruf und zweite Person, bei jeder Zahlung, die ungewöhnlich ist.

Was tust du, wenn das Geld schon weg ist?

1. Sofort die Bank anrufen. Je schneller die Bank Bescheid weiß, desto eher lässt sich eine Überweisung vielleicht noch stoppen.
2. Beweise sichern. Mails, Anruflisten, Chatverläufe und Kontoauszüge nicht löschen.
3. Anzeige erstatten. In Schleswig-Holstein ist die Zentrale Ansprechstelle Cybercrime des Landeskriminalamts für Unternehmen da: 0431 160-42727.
4. Team und Geschäftskontakte informieren. Oft versuchen es die Kriminellen mehrfach oder bei anderen Kontakten aus deinem Umfeld.

Fazit: Ein klarer Ablauf schlägt jede Fälschung

KI macht Betrug glaubwürdiger, aber nicht unschlagbar. Wer bei Zahlungen und Kontodaten konsequent zurückruft und eine zweite Person einbindet, nimmt den Kriminellen ihren wichtigsten Hebel: den Zeitdruck. Sprich die Regeln einmal im Team durch und schreib sie auf. Das kostet eine halbe Stunde und kann deinen Betrieb vor einem großen Schaden bewahren.

Wie es um Cyberangriffe insgesamt steht, liest du in unserem Beitrag Cyberangriffe auf kleine Betriebe: Lage 2026 und sechs Regeln. Mehr zum Thema findest du auf unseren Seiten Cyber-Sicherheit und DS-GVO und Resilienz & Krisenvorsorge. Fachleute aus unserer Community helfen dir, Abläufe für deinen Betrieb festzulegen. Kostenfreie Erstberatung: für Mitglieder bis zu zwei Stunden, für alle anderen ein kurzes Orientierungsgespräch. Und beim MeetingPoint, jeden Donnerstag von 17 bis 18 Uhr online, tauschst du dich mit anderen Betrieben aus.

Dieser Beitrag erschien zuerst im März 2025. Im Oktober 2026 hat der BDS SH ihn neu gefasst und auf Betrug am Betrieb ausgerichtet.

Aktualität geprüft am 18.10.2026. Quellen: Bitkom, Wirtschaftsschutz 2026, 08.09.2026, BSI, Deepfakes: Gefahren und Gegenmaßnahmen, Stand 05.12.2022, CNN zum Fall Arup, 16.05.2024, LKA Schleswig-Holstein, Zentrale Ansprechstelle Cybercrime, abgerufen 18.10.2026.