Ein Finanzmitarbeiter des Ingenieurkonzerns Arup nahm an einer ganz normalen Videokonferenz teil. Der CFO war zu sehen, weitere Kollegen ebenfalls. Alle wirkten echt. Alle waren Deepfakes. Am Ende des Calls waren 25,6 Millionen US-Dollar überwiesen. Kein Hackerangriff im klassischen Sinn — sondern perfekt inszeniertes Vertrauen.
Willkommen im Jahr 2026. Social Engineering war schon immer die effektivste Angriffsform. Mit generativer KI ist sie industrialisiert worden.
Warum die alten Warnzeichen nicht mehr helfen
„Achten Sie auf Rechtschreibfehler.“ Dieser Rat ist tot. KI schreibt fehlerfreie, perfekt personalisierte Phishing-Mails in jeder Sprache — und sie funktionieren:
- KI-generierte Phishing-Mails erzielen über viermal höhere Klickraten als von Menschen verfasste. Eine Kampagne gegen 800 Steuerkanzleien erreichte 27 % Klickrate.
- Drei Sekunden Sprachaufnahme genügen für eine zu 85 % überzeugende Stimm-Kopie. Telefonbetrug mit geklonten Stimmen (Vishing) stieg im ersten Quartal 2025 um über 1.600 %.
- CEO-Fraud zielt inzwischen auf rund 400 Unternehmen täglich. Der durchschnittliche Deepfake-Betrugsfall übersteigt 500.000 US-Dollar.
Insgesamt legte KI-gestützter Betrug 2025 um über 1.200 % zu. Und die Verteidigung hinkt hinterher: rund 80 % der Unternehmen haben keinerlei festgelegte Abläufe für den Umgang mit Deepfake-Angriffen.
Die Stimme Ihres Chefs ist kein Beweis mehr.
Der Prozess dahinter muss es sein.
Der Denkfehler: Technik gegen ein Vertrauensproblem
Deepfakes greifen nicht Ihre Firewall an, sondern Ihre Abläufe. Deshalb entsteht Schutz aus der Kombination von Technik und klaren Regeln — nicht aus einem einzelnen Tool.
- Freigabe- statt Vertrauensprinzip: Zahlungen und Stammdaten-Änderungen nur nach Vier-Augen-Prinzip und Rückruf über eine bekannte, unabhängig recherchierte Nummer — nie über die im Anschreiben genannte.
- Codewörter für heikle Anweisungen, die telefonisch oder per Video kommen. Kein Codewort, keine Ausführung.
- Phishing-resistente Anmeldung: Passkeys statt Passwörter machen abgefangene Zugangsdaten wertlos.
- Technische Filter am Gateway: Anti-Phishing, DMARC und Absenderprüfung stoppen einen Großteil, bevor die Mail ankommt.
- Awareness und Phishing-Simulationen: Mitarbeitende, die den Trick kennen, sind die letzte und beste Verteidigungslinie.
Der wirksamste Satz gegen KI-Betrug ist unspektakulär: „Ich rufe kurz zurück.“ Wo Ihre E-Mail-Security steht und wie belastbar Ihre Prozesse gegen Social Engineering sind, prüfen wir gemeinsam.
Quellen: öffentlich dokumentierter Deepfake-Betrugsfall bei Arup (2024); Branchenstatistiken zu KI-Phishing, Voice-Cloning und CEO-Fraud 2025/2026 (u. a. Sumsub, StationX, Keepnet, Vectra AI).