So können sich Unternehmen besser vor Deepfakes schützen

Deepfakes entwickeln sich zunehmend zu einer ernsthaften Bedrohung für Unternehmen. Die gefälschten Medien werden von Cyberangreifern inzwischen gezielt genutzt, um Vorgänge wie Zahlungsfreigaben oder die interne Kommunikation zu manipulieren. Klassische Sicherheitsmaßnahmen helfen dagegen nicht. Stattdessen müssen Unternehmen Inhalte und Interaktionen systematisch auf ihre Echtheit überprüfen.

Das Vertrauen in bestimmte Prozesse war bisher fest in tägliche Arbeitsabläufe verankert. Eine bekannte Stimme am Telefon, das Gesicht eines Kollegen auf dem Bildschirm oder eine Videobotschaft einer hochrangigen Führungskraft vermittelten Glaubwürdigkeit. Im KI-Zeitalter jedoch lassen sich Video- und Audioinhalte leicht imitieren. In der Hand von Cyberkriminellen werden täuschend echt wirkende Deepfakes zu leistungsstarken Angriffswerkzeugen.

Derzeit zeigt sich ein neuer Trend beim Einsatz von Deepfakes: Weil immer mehr alltägliche Geschäftsprozesse digital erfolgen, lassen sie sich auch leichter manipulieren und schwerer überprüfen. Laut Gartner haben bereits 62 Prozent der Unternehmen Social-Engineering-Versuche mithilfe von Deepfakes erlebt. Damit tut sich ein neuer Schwachpunkt in der IT-Sicherheit auf.

Denn bisherige Schutzmaßnahmen gegen Phishing und andere E-Mail-basierte Angriffe können Deepfakes nicht stoppen. Was diese Angriffe so wirkungsvoll macht, ist, dass sie nichts offenkundig Verdächtiges ins Unternehmensnetzwerk einschleusen müssen. Sie funktionieren, indem sie eine betrügerische Anfrage wie etwas ganz Alltägliches erscheinen lassen.

Günstige Bedingungen für Hacker

Das Problem verstärkt sich noch, weil Unternehmen spätestens seit der Corona-Pandemie stärker auf virtuelle Zusammenarbeit und digitale Kommunikation setzen. Videokonferenzen, Chat-Plattformen und Kollaborationssoftware prägen den Büroalltag. Das ermöglicht es Teams, schnell wichtige Entscheidungen zu treffen, eröffnet aber zugleich neue Risiken. Von Mitarbeitern wird erwartet, dass sie rasch handeln, oft mit begrenztem Kontext. Das schafft günstige Voraussetzungen für Cyberkriminelle.

In vielen Unternehmen ist es etwa gang und gäbe, auf eine Anweisung zu reagieren, die in einer Online-Besprechung, über eine Messaging-Plattform oder in einem kurzen Austausch per Smartphone übermittelt wurde. Das Problem bei diesen modernen Arbeitsprozessen: Sie beruhen auf der Annahme, dass bestimmten Signalen – einem Gesicht, einer Stimme, ihrer individuellen Art zu kommunizieren – in der Regel vertraut werden kann. Das ist heute aber nicht mehr der Fall.

Aktuelle Beispiele zeigen, wie weitreichend das Problem ist. Bei einem Vorfall überwies ein Mitarbeiter des Ingenieurunternehmens Arup rund 25 Millionen US-Dollar, nachdem er an einem Videocall mit vermeintlichen Kollegen teilgenommen hatte, darunter der Finanzvorstand. In einem anderen Fall imitierte ein Deepfake-Video den Vorstandsvorsitzenden der Bombay Stock Exchange – und gab Anlegern falsche Aktienempfehlungen. Der eine Angriff richtete sich gegen einen internen Genehmigungsprozess, der andere nutzte das öffentliche Vertrauen in eine bekannte Führungspersönlichkeit aus. Zusammen zeigen diese Beispiele, wie Betrüger synthetische Medien einsetzen, um Entscheidungen in unterschiedlichen Kontexten zu manipulieren.

Verteidiger müssen aufholen

Die Technologie hinter solchen Angriffen wird immer leichter zugänglich. Was früher Spezialwissen und erhebliche Investitionen erforderte, lässt sich heute mit kostengünstigen KI-Modellen, frei verfügbaren Werkzeugen und einer relativ geringen Menge an Ausgangsmaterial bewerkstelligen. Ein kurzer Audioclip kann schon ausreichen, um eine Stimme zu imitieren, und eine begrenzte Anzahl von Bildern genügt, um eine überzeugende visuelle Fälschung zu generieren.

Fortschritte bei KI-Anwendungen stärken zwar auch die zur Verteidigung bereitstehenden Tools. Doch das sollte nicht vom Kernproblem ablenken: Deepfakes gewinnen an Bedeutung, weil sie sich nahtlos in bestehende Arbeitsweisen einfügen. Die eigentliche Herausforderung ist nicht nur, manipulierte Inhalte zu erkennen. Sondern von vornherein die Möglichkeiten für Angreifer zu verringern, das implizite Vertrauen der Mitarbeiter auszunutzen.

Die meisten Unternehmen haben heute ausgereifte Playbooks für Phishing, Ransomware und Datenschutzverletzungen. Weitaus weniger haben dagegen durchdacht, was passiert, wenn manipulierte Medien dazu verwendet werden, eine ungewollte Genehmigung zu erwirken. So entsteht eine gefährliche Lücke.

Um diese zu schließen, sind Tabletop-Übungen besonders wertvoll. Sie legen offen, wo Verantwortlichkeiten unklar sind und wo Prozesse unter Druck zusammenbrechen. Ein Szenario mit einer gefälschten Anweisung einer Führungskraft zeigt schnell, ob die richtigen Kontrollmechanismen vorhanden sind.

Auch das Thema Governance sollten Unternehmen nicht ignorieren. Wenn Geld oder Daten verlorengehen, dann werden der Vorstand und die Aufsichtsbehörden zu Recht wissen wollen, ob die Gefahr angemessen eingeschätzt und eingedämmt wurde.

Durch Regelwerke wie dem Digital Operational Resilience Act (DORA) wandeln sich die Erwartungen rund um Cyber-Resilienz und Sicherheit. Deepfakes gehören unmittelbar in diese Diskussion, weil sie den Umgang mit Informationen, die Markenintegrität und die Aufrechterhaltung des Geschäftsbetriebs betreffen. Das macht sie zum übergeordneten Thema und bedeutet, dass Rechtsabteilung, Personalwesen, Unternehmenskommunikation und die oberste Führungsebene allesamt eingebunden werden müssen, um die unternehmerischen Risiken zu minimieren.

Vertrauen nicht voraussetzen

Ein wesentlicher Schritt ist, Vertrauen auf klaren Richtlinien und Prozessen zu begründen, damit sensible Handlungen nicht nach einer einzigen Interaktion abgeschlossen werden, ohne sie zu hinterfragen. Anweisungen, die Zahlungen, Anmeldedaten oder vertrauliche Informationen betreffen oder Reputationsrisiken bergen, sollten automatisch einen Verifizierungsprozess auslösen, der außerhalb der ursprünglichen Kommunikationskanäle angesiedelt ist.

Mit diesen Schritten können Unternehmen sich besser vor Deepfakes schützen:

Das Bedrohungsmodell erweitern. Synthetische Medien sind als ernstzunehmender Angriffsweg über E-Mail, interne Kommunikation, Messaging-Plattformen und nach außen gerichtete Inhalte hinweg zu behandeln. Wenn Mitarbeiter, Kunden oder Partner in diesen Umgebungen Entscheidungen treffen, müssen diese Kanäle in die Risikoplanung mit einbezogen werden.:

Zero-Trust auf die Inhalte selbst anwenden: Viele Unternehmen setzen Zero-Trust-Prinzipien schon bei der Authentifizierung und Zugriffskontrolle durch. Derselbe Ansatz sollte für das gelten, was Mitarbeiter sehen, hören und empfangen. Ein überzeugendes Video, eine Sprachnachricht oder ein Dokument für sich allein darf nicht ausreichen, um Handlungen zu autorisieren.

Automatisierte Erkennung einsetzen: Menschliches Urteilsvermögen ist nach wie vor essenziell. Aber weil manipulierte Medien sich so schnell erstellen und verbreiten lassen, kann es nicht die einzige Verteidigungstaktik sein. Unternehmen brauchen automatisierte Erkennungslösungen, die möglichst in Echtzeit arbeiten und auf einem Niveau, das der Raffinesse der Angriffe entspricht.

Sich auf Deepfake-spezifische Vorfälle vorbereiten: Reaktionspläne dürfen sich nicht auf allgemeine Betrugs- oder Phishing-Szenarien beschränken. Unternehmen benötigen auch Playbooks für Imitationen, Markenmissbrauch, Zahlungsbetrug sowie Deepfakes, die intern oder öffentlich kursieren.

Diese vier Prinzipien müssen durch praxistaugliche Kontrollen untermauert werden.

Risikoreiche Anfragen sollten stets über einen zweiten Kanal bestätigt werden.

Die Kommunikation sollte von der Autorisierung getrennt sein.

Für dringende oder ungewöhnliche Anfragen muss ein definierter Eskalationspfad bestehen.

Teams sollten sich darüber im Klaren sein, welche Kanäle für Diskussionen geeignet sind und welche für Genehmigungen.

Die Zeit drängt. Denn Deepfakes sind längst mehr ein reines Betrugsproblem oder ein technischer Sonderfall. Immer mehr werden sie zu einem Prüfstein für operative Resilienz, belastbare Unternehmensprozesse und solide Governance.

Im Geschäftsleben wird es nach wie vor ein gesundes Maß an Vertrauen brauchen. Was sich ändern muss, ist die Grundlage, auf der dieses gewährt wird.