CEO-Fraud mit KI: So schützen Sie Ihre Firma vor Deepfakes

Der Chef ruft an. Die Stimme klingt vertraut, sogar seine typischen Pausen sind zu hören. Er bittet um eine dringende Überweisung an einen neuen Lieferanten oder um die Änderung einer Kontonummer, denn „die Buchhalterin ist im Urlaub, und die Sache kann nicht warten“. Heute lässt sich eine solche Stimme mit einem KI-Tool fälschen, das Erkennen an der Stimme ist also kein Beweis mehr.

In diesem Ratgeber bekommen Sie ein einfaches Verfahren für eine kleine Firma. Es besteht aus einem Codewort, einem Rückruf unter einer bekannten Nummer, dem Vier-Augen-Prinzip bei Überweisungen und einer kurzen Schulung des Teams. Sie setzen es an einem Nachmittag um, ohne spezielle Programme zu kaufen.

So sieht „CEO-Fraud“ mit KI aus

Die Masche ist alt, nur das Werkzeug ändert sich. Der Betrüger gibt sich als jemand aus, dem man im Team vertraut: Inhaber, Mitinhaber, Geschäftsführer oder Buchhalter. Heute kann er statt einer E-Mail mit gefälschter Absenderadresse eine Sprachnachricht im Messenger schicken oder mit einer Stimme anrufen, die eine reale Person nachahmt.

Material zum Fälschen einer Stimme liegt oft im Netz: ein Video auf der Firmenwebsite, ein Mitschnitt von einer Veranstaltung oder ein Post im Social-Media-Profil. Ich behaupte nicht, dass sich jede Stimme perfekt fälschen lässt. Es reicht aber, wenn das Gespräch kurz ist und die Leitung rauscht, damit der Zeitdruck wirkt.

Typische Bitten sehen so aus:

• dringende Überweisung auf ein neues Konto, „weil der Vertrag sonst platzt“,
• Änderung der Kontonummer eines Lieferanten auf der nächsten Rechnung,
• Kauf von Geschenkkarten oder Guthaben-Aufladungen und Weitergabe der Codes,
• Bitte um Codes aus SMS oder um Zugang zum Onlinebanking,
• „Sag es bloß niemandem, das ist eine vertrauliche Transaktion“.

Woran Sie erkennen, dass etwas nicht stimmt

Die Stimme kann sehr überzeugend sein, beurteilen Sie also nicht den Klang. Beurteilen Sie die Umstände. Betrug hat fast immer einige gemeinsame Merkmale:

1. Eile. „Ich brauche das innerhalb einer Stunde.“
2. Geheimhaltung. „Sag niemandem etwas, auch nicht der Buchhalterin.“
3. Ungewöhnlicher Kanal. Der Chef schreibt von einer neuen Nummer oder über einen Messenger, über den er nie Anweisungen gegeben hat.
4. Neues Konto oder neuer Empfänger. Sie sehen diese Firma oder diese Kontonummer zum ersten Mal.
5. Umgehen des üblichen Ablaufs. Normalerweise bittet der Chef um eine Rechnung, jetzt aber „ist keine Zeit“.

Wenn zwei der fünf Punkte zutreffen, beenden Sie das Gespräch und wenden Sie das Verfahren unten an. Sie müssen nicht sicher sein, dass es Betrug ist. Es genügt, dass Sie nicht sicher sind, dass es keiner ist.

Schritt 1: Legen Sie ein Codewort fest

Ein Codewort ist ein Wort oder eine kurze Frage, die nur die Personen kennen, die zu Zahlungsanweisungen berechtigt sind. Ein Betrüger kennt es nicht, auch nicht mit einer guten Stimme.

Regeln, die die Wirksamkeit erhöhen:

• vereinbaren Sie es mündlich, bei einem Treffen, nicht per E-Mail oder Messenger,
• wählen Sie etwas, das sich nicht im Netz finden lässt, also nicht den Namen des Hundes oder der Straße,
• eine Frage mit Antwort ist besser als ein einzelnes Wort, weil sie schwerer zu erraten ist,
• ändern Sie es alle paar Monate und nach jeder Veränderung im Team,
• die Regel ist einfach: ohne Codewort keine Überweisung, auch wenn der Inhaber persönlich anruft.

Der Inhaber sollte deswegen nicht beleidigt sein. Es dient seinem eigenen Vorteil, weil es auch sein Geld schützt.

Schritt 2: Rufen Sie unter einer bekannten Nummer zurück

Das Codewort reicht nicht, wenn es durchsickert oder jemand es mitbekommt. Die zweite Schutzschicht ist der Rückruf. Sie legen auf und rufen die Nummer an, die Sie schon lange gespeichert haben: von der Visitenkarte, aus dem Vertrag oder aus Ihrem eigenen Adressbuch.

Was Sie nicht tun sollten:

• nicht die Nummer zurückrufen, von der gerade angerufen wurde,
• nicht auf „Zurückrufen“ in der Nachricht tippen,
• keine Nummer verwenden, die in derselben Nachricht steht.

Geht der Chef nicht ran, schreiben Sie an die bekannte E-Mail-Adresse oder fragen Sie jemanden, der in der Nähe ist. Ist die Sache wirklich dringend, ruft der Chef noch einmal an. Ist es ein Betrüger, verschwindet er oder macht Druck. Auch das ist eine Information.

Schritt 3: Vier-Augen-Prinzip bei Überweisungen

Der stärkste Schutz ist einer, bei dem eine einzelne Person kein Geld allein überweisen kann. In einer kleinen Firma reicht eine einfache Version:

• eine Person bereitet die Überweisung vor,
• eine zweite gibt sie frei, nachdem sie Rechnung und Konto geprüft hat,
• bei einem neuen Empfänger oder einer geänderten Kontonummer kommt ein Anruf beim Geschäftspartner unter der Nummer aus dem alten Vertrag oder von dessen Website hinzu,
• die Schwellen legen Sie selbst fest: ab welchem Betrag die Regel immer gilt.

Viele Banken erlauben im Business-Banking, zwei Unterschriften oder ein Limit für eine Person einzurichten. Sehen Sie in den Einstellungen Ihrer Bank nach oder fragen Sie Ihre Kundenbetreuung. Ist die Firma ein Ein-Personen-Unternehmen, kann die Buchhaltung oder eine Vertrauensperson die Rolle der zweiten Person übernehmen und bekommt von Ihnen eine Benachrichtigung über Überweisungen ab einem festgelegten Betrag.

Die geänderte Kontonummer auf einer Rechnung ist ein eigener, sehr häufiger Fall. Ich beschreibe ihn im Ratgeber Ausgetauschte Kontonummer auf der Rechnung: Dort finden Sie ein Verfahren für die Buchhaltung und einen Plan für die erste Stunde nach der Überweisung.

Schritt 4: Kurze Schulung des Teams

Ein Verfahren funktioniert nicht ohne Gespräch mit den Menschen. Es reichen 15–20 Minuten alle paar Monate. Beim Treffen:

1. Erklären Sie, wie der Betrug funktioniert, und spielen Sie dem Team einige Beispielaufnahmen aus dem Internet vor, damit es hört, wie realistisch eine künstliche Stimme klingt.
2. Zeigen Sie die fünf Warnsignale aus diesem Ratgeber.
3. Üben Sie das Szenario: „Der Chef ruft an und will eine Überweisung auf ein neues Konto.“ Was tun Sie Schritt für Schritt?
4. Sagen Sie klar, dass alle das Recht und die Pflicht haben, eine Anweisung zu überprüfen, auch gegenüber dem Inhaber.
5. Legen Sie fest, wer die Ansprechperson bei Zweifeln ist.

Der wichtigste Satz, den alle im Team hören sollten: „Niemand wird Ihnen übelnehmen, dass Sie eine Anweisung überprüft haben, auch wenn sie echt war.“

Was tun, wenn die Überweisung schon raus ist

Am meisten hängt von den ersten Minuten ab. Gehen Sie in dieser Reihenfolge vor:

1. Rufen Sie Ihre Bank an, unter der Hotline-Nummer aus der App oder von der Website der Bank. Sagen Sie, dass Sie einen Betrug vermuten, und bitten Sie darum, zu versuchen, die Überweisung anzuhalten oder zurückzurufen.
2. Sichern Sie Beweise: Screenshots, Gesprächsaufnahmen, Sprachnachrichten, Telefonnummern, Uhrzeiten und den Inhalt der Rechnungen. Löschen Sie nichts.
3. Melden Sie den Fall der Polizei und legen Sie die gesammelten Materialien bei.
4. Melden Sie den Vorfall bei CERT Polska (dem polnischen Computer-Notfallteam) über das Formular auf incydent.cert.pl. Solche Meldungen helfen, andere Firmen zu warnen.
5. Warnen Sie Team und Geschäftspartner, dass sich jemand als Ihre Firma ausgibt. Derselbe Betrüger kann die nächste Person anrufen.
6. Hat der Betrüger Passwörter oder Zugänge zu Konten erlangt, ändern Sie die Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Ich verspreche nicht, dass die Bank das Geld immer rechtzeitig stoppen kann. Je schneller Sie anrufen, desto größer ist die Chance.

Weniger Material für Betrüger

Ein Betrüger bereitet sich meist vor: Er prüft, wer der Chef ist, wer Überweisungen macht und wie die Firma mit Kunden spricht. Einen Teil dieser Informationen veröffentlichen wir selbst. Es lohnt sich, das einzuschränken:

• geben Sie auf der Website keine privaten Telefonnummern und keine vollständige Firmenstruktur mit Finanzfunktionen an,
• veröffentlichen Sie keine internen Dokumente oder Rechnungsvorlagen mit Bankdaten,
• behalten Sie Formulare und Postfächer der Website im Blick: Spam und Einbrüche gehen oft dem Auftreten im Namen der Firma voraus,
• aktivieren Sie für die Firmen-E-Mail SPF, DKIM und DMARC, um das Fälschen der Absenderadresse zu erschweren (das beschreibe ich im Ratgeber zu E-Mails im Spam),
• prüfen Sie nach allen Veränderungen in der Firma, wer Zugang zum Onlinebanking und zu den Postfächern hat.

Wenn Sie prüfen möchten, wie gut Ihre Website geschützt ist, beginnen Sie mit dem kostenlosen Tool Website prüfen: In etwa 30 Sekunden sehen Sie, was Sie bei der Sicherheit und bei der E-Mail in Ihrer Domain verbessern sollten.

Checkliste zum Ausdrucken

• [ ] Wir haben das Codewort mündlich vereinbart.
• [ ] Jede Überweisung an einen neuen Empfänger bestätigen wir telefonisch unter einer bekannten Nummer.
• [ ] Überweisungen über einem festgelegten Betrag geben zwei Personen frei.
• [ ] Das Team hat eine 15-minütige Schulung absolviert.
• [ ] Alle wissen, wen sie benachrichtigen, wenn etwas zweifelhaft erscheint.
• [ ] Die Nummer der Bank und die Adresse incydent.cert.pl haben wir gut sichtbar notiert.
• [ ] Wir haben die Zwei-Faktor-Authentifizierung im Onlinebanking und in der E-Mail aktiviert.

Zusammenfassung

Die Stimme des Chefs am Telefon ist kein Identitätsnachweis mehr. Codewort, Rückruf unter einer bekannten Nummer und Vier-Augen-Prinzip kosten eine Minute, können die Firma aber vor dem Verlust der Löhne für einen ganzen Monat bewahren.

Wenn Sie die Sicherheit von Website und Server Ihrer Firma prüfen lassen möchten, führe ich für Sie ein Sicherheitsaudit durch und sichere bei Bedarf Server und Anwendung ab. Schreiben Sie mir, ich antworte innerhalb von 24 Stunden, und Neukunden erhalten 20 % Rabatt auf den ersten Auftrag.