KI-Sicherheitsstudie von BSI und TÜV-Verband: Jedes sechste befragte Unternehmen meldet KI-Angriffe oder Verdacht – und der Deepfake-Anruf am Freitagnachmittag

Stellen Sie sich vor: Freitag, 16:40 Uhr. Buchhaltung. Der Feierabend ist in Sichtweite, die Kaffeetasse längst leer. Draußen wird es früh dunkel, drinnen ist das Team schon halb im Wochenende. Dann klingelt das Telefon. Die Stimme klingt wie die der Geschäftsführerin, der Ton ist gestresst, die Zahlung soll „heute noch“ raus. Das ist ein fiktives Szenario, kein realer Fall. Eine solche Lage nennt die BSI-Pressemitteilung als Beispiel, wenn sie von Deepfakes spricht. Ein Deepfake-Anruf braucht keine Vorwarnung, nur einen schlechten Moment.

Laut BSI-Pressemitteilung registrierte jedes sechste befragte Unternehmen, genauer 17 Prozent, in den vergangenen zwölf Monaten einen Cyberangriff oder Betrugsversuch, bei dem KI „eine Rolle gespielt hat oder gespielt haben könnte“. Ein Deepfake-Anruf wie im Szenario ist dabei nur eine der genannten Methoden. Alle Angaben der Sicherheitsstudie sind Selbstauskunft der befragten Unternehmen.

Die eigentliche Frage lautet deshalb nicht, wie hoch die 17 ist. Sie lautet: Wie viele Unternehmen merken es überhaupt?

Was die Sicherheitsstudie von BSI und TÜV-Verband misst

Vorgestellt wurde die Studie „Künstliche Intelligenz und Cybersicherheit in Unternehmen“ am Mittwoch, 7. Oktober 2026, in der Bundespressekonferenz. Die Details stehen in der BSI-Pressemitteilung vom 7. Oktober und im PDF der Sicherheitsstudie. Die Methodik steht dort auf Seite 62.

Durchgeführt hat die Umfrage forsa im Auftrag von BSI und TÜV-Verband. Es war eine telefonische Befragung (CATI), die Feldzeit lag zwischen dem 22. Juni und dem 31. Juli 2026. Befragt wurden Verantwortliche für KI-Nutzung, IT-Sicherheit, IT-Leitung oder Geschäftsleitungen. Die Basis: 505 Unternehmen ab 20 Mitarbeitenden. Die BSI-Pressemitteilung spricht von „mehr als 500 Unternehmen“.

Beachten Sie, wer hier antwortet. Nicht die Belegschaft, nicht die Buchhaltung am Freitagnachmittag, sondern Verantwortliche. Die Sicherheitsstudie bildet damit ab, was bei diesen Personen ankommt. Wer einen Betrugsversuch bemerkt, aber nicht meldet, oder ihn gar nicht bemerkt, taucht in der Zahl nicht auf.

Das ist der Kern jeder Selbstauskunft. Sie misst Wahrnehmung, Weitergabe und Erinnerung in einem Paket. Ich finde, das sollte man bei jeder Prozentzahl dieser KI-Sicherheitsstudie im Hinterkopf behalten.

Nüchtern angemerkt: Gewichtung und Fehlerspanne sind im PDF nicht dokumentiert. Das macht die Zahlen nicht wertlos. Es heißt aber, dass Sie sie als Momentaufnahme lesen sollten und nicht als Messlatte auf die Nachkommastelle.

Laut BSI-Pressemitteilung setzen 49 Prozent der Betriebe KI ein, weitere 9 Prozent planen es innerhalb von zwölf Monaten. 42 Prozent nutzen keine KI und planen es auch nicht. Merken Sie sich das, denn es wird gleich wichtig.

Mal ehrlich: Eine Sicherheitsstudie ist immer nur so gut wie die Frage, die sie stellt. Und diese fragt vor allem nach dem, was Unternehmen bemerken.

17 Prozent – und wie viel davon Verdacht ist

Jetzt wird es brisant. Die 17 Prozent sind kein einheitlicher Block. Laut Sicherheitsstudie (S. 45) teilen sie sich in drei getrennte Gruppen: ausschließlich Verdachtsfälle 11 Prozent, ausschließlich bestätigte Vorfälle 4 Prozent, beides 2 Prozent. Zusammen ergibt das 17. Es sind also ausdrücklich nicht „4 Prozent von 17 Prozent“, sondern 4 Prozent aller Befragten.

Unsere Rechnung bei digital-magazin.de: Bestätigt haben insgesamt 4 plus 2, also 6 Prozent aller Befragten, mit oder ohne zusätzlichen Verdacht. Fälle mit Verdachtsanteil kommen auf 13 Prozent. Der Verdacht dominiert.

Wenig überraschend. Wer eine täuschend echte Mail oder einen seltsam perfekten Deepfake-Anruf bekommt, hat oft nur ein Bauchgefühl. Einen Beleg hat kaum jemand.

Deshalb gilt: Verdacht ist kein Beleg. Die Zahl taugt nicht für die Aussage, 17 Prozent seien von KI angegriffen worden. Sie sagt, dass 17 Prozent der Befragten einen Fall melden, bei dem KI im Spiel war oder gewesen sein könnte.

Ist das beruhigend? Ich finde: nur bedingt. Ein Verdacht, den man nicht klären kann, ist kein kleineres Problem, sondern ein anderes.

Phishing, Skripte, Deepfake: was die Betroffenen nennen

Die Sicherheitsstudie fragt die betroffenen Unternehmen, also die 17 Prozent, nach den (vermuteten) Angriffs- und Betrugsmethoden. Laut BSI-Pressemitteilung berichten 90 Prozent der betroffenen Unternehmen von KI-Phishing-Mails, die als „täuschend echte Phishing-Mails“ beschrieben werden. 40 Prozent nennen automatisierte Angriffsskripte, laut BSI-Pressemitteilung Skripte, „die eigenständig nach Schwachstellen in der IT-Sicherheit suchen und sich dabei dynamisch anpassen“. 11 Prozent berichten von Deepfakes, also „gefälschten Audio- oder Videoaufnahmen“.

Mit solchen Aufnahmen, so die BSI-Pressemitteilung, lassen sich beispielsweise Stimmen von Führungskräften imitieren, um Mitarbeitende zu Überweisungen zu bewegen. Das ist der klassische CEO-Fraud, und der Deepfake ist sein neues Gewand.

Wer 90, 40 und 11 addiert, landet bei mehr als 100 Prozent. Das ist kein Rechenfehler. Ein Unternehmen konnte mehrere Methoden nennen, es handelt sich um Mehrfachnennungen. Die Zahlen beschreiben jeweils, wie oft eine Methode genannt wurde, nicht, wie sich die Fälle aufteilen.

Unser Überschlag, mit Vorbehalt, weil die Prozentwerte auf dieselbe Gruppe der Betroffenen bezogen sind: 11 Prozent von 17 Prozent ergeben knapp 2 Prozent aller Befragten mit Deepfake-Nennung, rund 1,9 Prozent. Das ist knapp jedes 50. befragte Unternehmen. 90 Prozent von 17 Prozent ergeben rund 15 Prozent aller Befragten mit Nennung von KI-Phishing.

Das ist wohlgemerkt eine Rechnung innerhalb der Stichprobe der Sicherheitsstudie. Eine Hochrechnung auf alle Unternehmen im Land lässt sich daraus nicht seriös ableiten, und wir machen sie nicht.

Das Pikante daran: Der Deepfake ist die seltenste Nennung, aber nach meiner Einschätzung die, gegen die Ohren allein nichts ausrichten. Bei Phishing-Mails können Schulungen helfen, genauer hinzusehen. Bei einer vertrauten Stimme am Telefon greift dieser Reflex kaum.

Dazu kommt ein Punkt, der die Deepfake-Zahl besonders unsicher macht. Das ist meine Einordnung, kein Befund der Sicherheitsstudie: Wer einen gelungenen Deepfake nicht bemerkt hat, kann ihn nicht melden. Ein misslungener Deepfake-Versuch fällt auf, ein gelungener bleibt unsichtbar. Die elf Prozent beschreiben deshalb womöglich nur jene Fälle, in denen etwas schiefging oder jemand nachfragte.

Wer sich dafür interessiert, findet bei uns weiterführende Einordnungen zum Deepfake-Schutz in Unternehmen und zum CEO-Fraud mit Deepfakes.

Vier Basen, vier Wahrheiten

Die KI-Sicherheitsstudie arbeitet mit unterschiedlichen Grundgesamtheiten. Das ist legitim, verlangt aber Aufmerksamkeit beim Lesen. Sonst entstehen Schlagzeilen, die schöner sind als die Daten.

Eine kurze Lesehilfe, die ich Ihnen mitgeben möchte: Stellen Sie bei jeder Prozentzahl die Frage „Prozent wovon?“. Nur wenn die Antwort klar ist, ist die Zahl brauchbar. Das gilt für die BSI-Pressemitteilung genauso wie für jede Nacherzählung davon, auch für unsere.

Basis A sind alle befragten Unternehmen. Hier stehen die 17 Prozent mit bestätigtem oder vermutetem Fall. Basis B sind die betroffenen Unternehmen. Hier stehen die 90, 40 und 11 Prozent zu den Methoden, auch zum Deepfake.

Basis C sind Unternehmen mit bestehender oder geplanter KI-Nutzung. Laut Sicherheitsstudie haben nur 11 Prozent davon spezielle Abläufe für KI-bezogene Sicherheitsvorfälle. 43 Prozent greifen auf allgemeine IT-Sicherheitsprozesse ohne KI-spezifische Regeln zurück, 20 Prozent erarbeiten derzeit entsprechende Abläufe, und ein Viertel, also 25 Prozent, hat bislang keine Regelungen.

Die BSI-Pressemitteilung überschreibt das mit „Nur jedes zehnte Unternehmen gegen KI-gestützte Angriffe gerüstet“. Das ist die Überschrift der Herausgeber. Sie beruht auf den 11 Prozent der KI-nutzenden oder -planenden Unternehmen, nicht auf allen Betrieben.

Und dann ist da der Zufall. Die 11 Prozent bei den Vorfallprozessen und die 11 Prozent reine Verdachtsfälle sind gleich groß, aber nicht dasselbe. Gleiche Zahl, andere Grundgesamtheit. Wer beide ohne Basis nebeneinanderstellt, erzählt Unsinn.

Basis D schließlich sind die KI-nutzenden Unternehmen, es geht um den Schutz der eigenen KI-Anwendungen. Dort liegt die Zahl, die mich am meisten beschäftigt.

Als Randnotiz, und ausdrücklich als Position des TÜV-Verbands: Laut BSI-Pressemitteilung erwarten 69 Prozent der Unternehmen, die KI nutzen oder den Einsatz planen, von unabhängigen Prüfungen und Zertifizierungen mehr Sicherheit, und der TÜV arbeitet an einem Zertifizierungsprogramm. Das ist eine Interessenlage, kein Urteil.

Die unbequeme 40: wer nicht hinschaut, bestätigt nichts

Spoiler: Die Zahl, die in den Schlagzeilen steht, ist nicht die wichtigste. Plot Twist: Die unbequemste Zahl der Sicherheitsstudie ist meiner Meinung nach nicht die 17, sondern die 40. Laut Studie protokollieren oder überwachen nur 40 Prozent der KI-nutzenden Unternehmen ihre KI-Nutzung.

Andere Maßnahmen liegen höher. Qualitätssicherung und menschliche Prüfung kritischer KI-Ergebnisse nennen 67 Prozent, beschränkte Zugriffsrechte 64 Prozent, geschützte sensible Daten (zum Beispiel durch Anonymisierung) 62 Prozent, Tests vor dem Einsatz 52 Prozent. Keine der abgefragten technischen Maßnahmen nennen 8 Prozent. Und nur 31 Prozent der KI-nutzenden Unternehmen verwenden KI zur Verbesserung ihrer IT-Sicherheit.

Unsere Umkehrung: 60 Prozent der KI-nutzenden Unternehmen nennen unter den abgefragten Maßnahmen weder Protokollierung noch Monitoring.

Jetzt meine Einordnung, und ich betone: Das ist meine Lesart, kein Befund der Sicherheitsstudie. Wer nicht hinschaut, kann nichts bestätigen. Wenn der Großteil der gemeldeten Fälle Verdacht ist und die Mehrheit der KI-nutzenden Betriebe nicht systematisch protokolliert, dann ist der Verdacht vielleicht nicht Ausdruck von Übervorsicht. Er könnte schlicht das Ergebnis fehlender Belege sein.

Dazu passt die Einschätzung von Dr. Dirk Stenkamp, Präsident des TÜV-Verbands:

„Für Mitarbeitende ist oft kaum noch zu erkennen, ob eine E-Mail von einem Menschen verfasst oder mit KI erstellt wurde. Was Unternehmen bislang registrieren, könnte deshalb nur die Spitze des Eisbergs sein.“

Dr. Dirk Stenkamp, Präsident des TÜV-Verbands

Beachten Sie den Konjunktiv: „könnte“. Das ist eine Einschätzung, keine Messung. Stenkamp fordert zudem, „bestehende Sicherheits- und Notfallprozesse um KI-bezogene Szenarien zu ergänzen“.

Auch das BSI nimmt den laufenden Betrieb in den Blick. Thomas Caspers, Vizepräsident des BSI, sagt:

„Wer KI einsetzt, muss aber auch wissen, wo ihre Schutzmechanismen versagen. Dazu gehören gezielte Tests und die Überwachung im laufenden Betrieb.“

Thomas Caspers, Vizepräsident des BSI

Caspers betont außerdem, dass „auch Unternehmen, die selbst keine KI einsetzen, durch KI-gestützte Cyberangriffe gefährdet sind“. Das ist der Knackpunkt für die 42 Prozent ohne KI-Nutzung: Die Angreifenden fragen nicht, ob Sie KI einsetzen. Ein Deepfake-Anruf braucht keine KI im eigenen Haus, nur ein Telefon und eine Buchhaltung.

Wer verstehen will, wie Regeln, Rechte und Logs bei eigenen KI-Agenten aussehen könnten, findet bei uns Hinweise zu Regeln, Rechten und Logs für KI-Agenten.

Hand aufs Herz: Wie viele Verantwortliche könnten heute Abend belegen, was ihre KI in der vergangenen Woche getan hat?

Zurück zu Freitag, 16:40 Uhr

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptPhotorealistic close photo of two colleagues' hands checking a printed document together on an office desk, one pointing with a pen, the paper shows only blurred abstract lines, a smartphone lying face down, soft daylight, no faces, no logos, no readable text, no watermarks, 16:9

Kehren wir in die Buchhaltung zurück. Das Szenario bleibt fiktiv, ohne Betrag, ohne Firma, ohne Namen. Und, fairerweise gesagt: Auch das BSI-Handout der Allianz für Cyber-Sicherheit arbeitet mit einer Chef-Betrugs-Lage in der Buchhaltung. Mein Szenario ist eigenständig formuliert.

Das erste Warnsignal ist nicht die Stimme. Es ist die Dringlichkeit. „Heute noch“ am Freitagnachmittag ist genau der Druck, der Prüfschritte auslässt, und genau darauf zielt ein Deepfake-Versuch.

Zweiter Punkt: Auflegen ist erlaubt. Es ist kein Affront, sondern Verfahren. Die Mitarbeiterin legt auf und ruft die Geschäftsführerin über die im System gespeicherte Nummer zurück, nicht über eine Nummer aus dem Anruf.

Es gibt zwei Ausgänge. Im ersten weiß die echte Geschäftsführerin von nichts. Der Deepfake-Anruf war gefälscht, die Zahlung bleibt aus. Im zweiten bestätigt sie die Bitte, dann läuft die Freigabe nach Vier-Augen-Prinzip und, wenn vereinbart, mit dem Signalwort.

Der Clou: In beiden Fällen musste niemand entscheiden, ob die Stimme echt klingt. Ein Deepfake wird im Betrieb nicht über das Gehör erkannt, sondern über den Prozess.

Und danach? Die Mitarbeiterin meldet den Anruf intern, auch wenn sich nichts bestätigt. Ein Verdacht, der nur im Kopf einer Person bleibt, taucht in keiner Auswertung auf. Wer meldet, verdient Dank statt Stirnrunzeln. Genau das meint eine offene Fehlerkultur: Eine Meldung, die sich als harmlos erweist, ist kein Fehler, sondern ein funktionierender Prozess.

Wie ein Rückbestätigungsweg im Alltag aussieht

Klingt abstrakt? Ist es nicht. Die Nummer, über die zurückgerufen wird, steht in den Stammdaten oder im Telefonbuch des Unternehmens, gepflegt vorab, nicht erst im Ernstfall. Wer zurückruft, nutzt genau diesen Eintrag und nichts aus dem Anruf oder der Nachricht.

Die Freigabe übernimmt eine zweite Person. Sie sieht die Anfrage unabhängig von der ersten, stellt dieselbe Rückfrage und gibt erst dann frei. Ein Vier-Augen-Prinzip, das nur auf dem Papier existiert, schützt niemanden, schon gar nicht vor einem Deepfake.

Das Signalwort wird offline vereinbart, im Gespräch oder auf Papier im Safe, aber nicht per Mail verschickt. Es sollte regelmäßig wechseln. Und es gehört nur den Personen, die es brauchen.

Ebenso wichtig ist die Haltung. Auflegen muss offiziell als erlaubte Reaktion gelten. Die Geschäftsführung kündigt selbst an, dass sie solche Rückrufe will, am besten schriftlich und vor dem ersten Deepfake-Anruf. Wer weiß, dass die Geschäftsführung den Rückruf ausdrücklich begrüßt, legt am Freitag um 16:40 Uhr leichter auf.

Warum Erkennen nach Gehör kein Prozess ist

Viele Betriebe setzen insgeheim auf das Bauchgefühl: „Das hätte ich gemerkt.“ Ich halte das für eine gefährliche Annahme, und das ist meine Meinung, kein Befund der Sicherheitsstudie. Gehör und Intuition schwanken mit Tagesform, Stress und Zeitdruck. Ein Prozess dagegen funktioniert auch an schlechten Tagen.

Eine Deepfake-Stimme muss nicht perfekt sein, um zu wirken. Sie muss nur gut genug klingen, wenn jemand abgelenkt ist. Wer sein Verfahren darauf stützt, dass Mitarbeitende etwas hören, das ihnen nicht auffällt, hat kein Verfahren, sondern eine Hoffnung.

Ehrlich gesagt halte ich das für eine beruhigende Nachricht dieser Sicherheitsstudie. Die Gegenmittel sind unspektakulär, und genau deshalb funktionieren sie, auch gegen eine Stimme, die perfekt klingt.

Rückruf, vier Augen, Signalwort: was BSI und Studie raten

Die Sicherheitsstudie empfiehlt auf Seite 59, dass alle Unternehmen Beschäftigte „gegen KI-Phishing und Betrugsversuche sensibilisieren und sensible Zahlungs- oder Datenfreigaben über einen unabhängigen Kommunikationsweg rückbestätigen“ sollten. Außerdem sollen bestehende IT-Sicherheits- und Notfallprozesse um KI-Szenarien ergänzt werden. Klassische IT-Sicherheit bleibe das Fundament.

Konkreter wird das BSI-Handout der Allianz für Cyber-Sicherheit. Das Handout „Schutz vor KI-verstärkten Cyberangriffen“ wurde laut BSI-Pressemitteilung begleitend zur Sicherheitsstudie für kleine und mittlere Unternehmen veröffentlicht. Die Kernpunkte:

• Bei ungewöhnlichen, dringenden Anfragen selbst einen Rückruf initiieren, „über einen anderen, bekannten und sicheren Kanal“, nicht über Nummer oder Adresse aus der verdächtigen Nachricht.
• Idealerweise ein geheimes Signalwort mit der Geschäftsführung vereinbaren.
• Das Vier-Augen-Prinzip bei Überweisungen und sensiblen Daten verbindlich einführen.
• Eine offene Fehlerkultur statt Schuldzuweisungen pflegen.
• Regelmäßig für Phishing sensibilisieren, eine einmalige Schulung reicht laut Handout nicht.
• Systeme patchen und Multi-Faktor-Authentifizierung nutzen.

Der Punkt Fehlerkultur wird gern unterschätzt. Wer fürchtet, für eine unbegründete Meldung gerügt zu werden, meldet im Zweifel lieber nichts. Dann bleibt der Verdacht ein Verdacht, und die Zahl in der nächsten Umfrage bleibt so unscharf wie in dieser.

Bei digital-magazin.de lesen wir die Hinweise des BSI vor allem auf Alltagstauglichkeit. Unsere Lesart: Nichts davon braucht Spezialwissen. Alles braucht Verbindlichkeit.

Checkliste für Geschäftsführung und Buchhaltung

Aus Sicherheitsstudie und BSI-Handout lässt sich eine kurze Prüfliste ableiten. Sie ist unsere Zusammenstellung, keine Vorgabe der Studie. Beträge und Schwellen legen Sie selbst fest.

• Gibt es einen Prozess für KI-bezogene Vorfälle, eigenständig oder im allgemeinen Notfallplan ergänzt?
• Ist der Rückbestätigungsweg für Zahlungen schriftlich festgelegt, auch für einen Deepfake-Anruf mit vertrauter Stimme?
• Ab welchem Betrag gilt das Vier-Augen-Prinzip? Legen Sie die Grenze selbst fest.
• Ist ein Signalwort vereinbart und offline hinterlegt?
• Wird die eigene KI-Nutzung protokolliert?
• Wissen Mitarbeitende, dass sie bei Druck auflegen dürfen, ohne Ärger?

Mein Vorschlag, wer was verantwortet: Die Geschäftsführung legt Rückbestätigung, Schwelle und Auflegen-Regel fest und sagt das offen. Die Buchhaltung lebt den Ablauf im Alltag und pflegt die Stammdaten. Die IT kümmert sich um Protokollierung, Vorfallprozess und Technik wie Patchen und Multi-Faktor-Authentifizierung. Das ist meine Aufteilung, kein Standard.

Privat gibt es dieselbe Masche, als Analogie und nicht als Ergebnis der Sicherheitsstudie: den „Enkeltrick mit Stimmklon“. Auch dort helfen ein Familien-Codewort und der Rückruf über die bekannte Nummer. Wer das in der Familie übt, übt es für den Betrieb gleich mit.

Was die Sicherheitsstudie nicht misst

Die BSI-Pressemitteilung nennt keine Schadenssummen. Sie sagt nichts dazu, wie viele der Verdachtsfälle sich später bestätigten. Gewichtung und Fehlerspanne sind, wie erwähnt, im PDF nicht dokumentiert. Und alles beruht auf der Selbstauskunft von Verantwortlichen, die bemerken müssen, was sie melden.

Das ist keine Abwertung. Es ist eine Gebrauchsanweisung. Die Sicherheitsstudie zeigt eine Wahrnehmung, keine Statistik über tatsächliche Angriffe. Diese Wahrnehmung ist allerdings aufschlussreich genug.

Was können Sie als Lesende daraus machen? Prüfen Sie Ihre eigenen Meldewege: Wüsste in Ihrem Haus jemand, wohin ein seltsamer Anruf gemeldet wird? Dokumentieren Sie außerdem eigene Verdachtsfälle, auch die unbestätigten. Dann besitzen Sie in der nächsten Umfrage mehr als ein Bauchgefühl, nämlich eine eigene Datenlage zu Phishing, Deepfake-Versuchen und allem dazwischen.

Und jetzt?

Die Antwort auf die Kernfrage lautet: Das wissen wir nicht. Weder die Sicherheitsstudie noch ich können sagen, wie viele Unternehmen einen KI-Fall übersehen. Meiner Einschätzung nach spricht die niedrige Protokollierungsquote dafür, dass die Dunkelziffer kein Hirngespinst ist. Belegen kann ich das nicht, und die Studie tut es auch nicht.

Wer mehr zum Thema lesen möchte, findet bei uns auch Hintergründe zu Deepfake-Angriffen und Schutz. Der Rest ist Handwerk. Die Sicherheitsstudie empfiehlt, sensible Zahlungsfreigaben über einen unabhängigen Weg rückzubestätigen. Rückruf, Vier-Augen-Prinzip und Signalwort nennt das BSI-Handout der Allianz für Cyber-Sicherheit. Die Überwachung im laufenden Betrieb fordert BSI-Vize Caspers. Das gilt auch dann, wenn der nächste Deepfake perfekt klingt.

Nicht spektakulär. Aber am Freitag um 16:40 Uhr ist langweilig genau das, was Sie wollen.