Chef im Videocall – wirklich er?

Ein Finanzvorstand meldet sich per Videocall. Er wirkt angespannt, redet leise, bittet um eine sofortige Überweisung von 35 Millionen Dollar auf ein ausländisches Konto. Die Mitarbeiterin überweist. Später stellt sich heraus: Der Mann auf dem Bildschirm war nie dabei. Es war ein synthetisch erzeugtes Gesicht, eine sogenannte Deepfake-Technik. Dieser Fall ereignete sich 2024 bei einem Unternehmen in Hongkong und ist kein Einzelfall mehr.

Während Videokonferenzen zum Standardwerkzeug im Berufsalltag geworden sind, hat sich die Qualität von KI-generierten Gesichtern und Stimmen so weit verbessert, dass selbst aufmerksame Menschen getäuscht werden. Die Frage „Ist das wirklich mein Chef?“ ist keine paranoide Übervorsicht mehr. Sie ist eine legitime Sicherheitsabwägung, bei der Praktische Sicherheitsinfos zu Selbstschutz und Krisenvorsorge hilfreich sein können.

Wie täuschend echte Deepfakes heute funktionieren

Moderne Deepfake-Software benötigt nur wenige Minuten Videomaterial einer Person, um ein überzeugendes Echtzeit-Rendering zu erzeugen. Tools wie HeyGen oder ähnliche Plattformen wurden ursprünglich für Marketingzwecke entwickelt, lassen sich aber missbrauchen. Die Lippensynchronisation ist dabei kein Problem mehr, leichte Kopfbewegungen werden automatisch simuliert, und selbst Mimik passt sich dem gesprochenen Text an.

Hinzu kommt die Stimmsynthese. Dienste, die aus wenigen Sekunden Audiomaterial eine Klonstimme erzeugen, sind seit 2022 frei verfügbar. Die Kombination aus geklontem Gesicht und geklonter Stimme ist das, was Sicherheitsteams heute als „vollständigen Identitätsangriff“ bezeichnen. Laut einer Studie des Cybersicherheitsunternehmens Sumsub stieg die Zahl erkannter Deepfake-Angriffe im Jahr 2023 um 700 Prozent gegenüber dem Vorjahr.

Wer ist besonders gefährdet?

Nicht jedes Unternehmen ist gleichermaßen im Visier. Angreifer suchen gezielt nach Situationen, in denen Entscheidungen schnell und ohne Rückfrage getroffen werden. Dazu gehören:

• Mitarbeitende im Finanzbereich mit Überweisungsrechten
• Assistenzkräfte von Geschäftsführung oder Vorstand
• IT-Administratoren mit Zugang zu Systemen und Passwörtern
• Personalverantwortliche, die Kontodaten für Lohnzahlungen verwalten

Besonders risikoreich ist die Kombination aus Remote-Arbeit und flachen Hierarchien. Wenn ein Team seinen Vorgesetzten ohnehin selten sieht und Videocalls die einzige direkte Kommunikation sind, fehlt die gewohnte Vertrauensbasis, die im persönlichen Kontakt entsteht. Angreifer wissen das und wählen gezielt Unternehmen mit verteilten Teams.

Technische und organisatorische Gegenmaßnahmen

Es gibt keine einzelne Maßnahme, die vollständigen Schutz bietet. Wirksam ist ein Schichtmodell aus Technik, Prozessen und menschlichem Urteilsvermögen.

Verifizierungswort oder Codephrase

Eine einfache, aber effektive Methode: Führungskräfte und ihre direkten Mitarbeitenden vereinbaren ein wechselndes Codewort, das zu Beginn sensibler Gespräche genannt wird. Das klingt umständlich, lässt sich aber in drei Minuten einführen und kostet nichts. Wichtig ist, dass das Wort nie per E-Mail oder Messenger ausgetauscht wird.

Rückruf über einen zweiten Kanal

Bevor Zahlungen ausgelöst oder Zugangsdaten herausgegeben werden, gilt: auflegen, eigenständig die bekannte Nummer der Person anrufen, nicht die im Anruf genannte. Dieser Zweikanalansatz ist in vielen Banken bereits Standard und lässt sich direkt auf interne Unternehmenskommunikation übertragen.

Deepfake-Erkennungssoftware

Plattformen wie Intel FakeCatcher oder Microsofts Video Authenticator analysieren Videomaterial auf Artefakte, die für das menschliche Auge unsichtbar sind: unnatürliche Blutflussveränderungen im Gesicht, inkonsistente Beleuchtungsreflexe, Pixelanomalien an Haargrenzen. Wer sich systematisch über den aktuellen Stand solcher Werkzeuge informieren möchte, findet bei Deepfakes erkennen und abwehren einen strukturierten Überblick über Erkennungsmethoden und Schutzstrategien. Diese Software ist kein Allheilmittel, aber eine sinnvolle Ergänzung zu organisatorischen Regeln.

Was Führungskräfte konkret tun können

Viele Geschäftsführungen unterschätzen, wie viel Videomaterial von ihnen öffentlich zugänglich ist. Interviews, Konferenzmitschnitte, LinkedIn-Videos: Alles davon ist potenzielles Trainingsmaterial für Deepfake-Modelle. Das bedeutet nicht, dass Führungskräfte von sozialen Medien verschwinden sollen. Aber es lohnt sich, öffentliche Auftritte bewusster zu gestalten und unnötige Stunden an frei verfügbarem Material zu reduzieren.

Darüber hinaus sollten klare interne Richtlinien festlegen, welche Anweisungen niemals per Videocall alleine erteilt werden dürfen. Eine Überweisung über 10.000 Euro zum Beispiel braucht in vielen Unternehmen zwei Unterschriften auf Papier, aber eine mündliche Anweisung per Videocall reicht angeblich aus. Diesen Widerspruch sollten Verantwortliche schließen.

Schulung ist keine einmalige Maßnahme

Mitarbeitende, die einmal in einem Seminar einen Deepfake gesehen haben, sind nicht dauerhaft geschützt. Die Qualität der Fälschungen verbessert sich schneller, als Schulungsintervalle greifen können. Sinnvoller ist ein rollierendes System: kurze monatliche Updates, konkrete aktuelle Beispiele, simulierte Testanrufe ähnlich wie Phishing-Tests per E-Mail.

In einer Umfrage des Bitkom aus dem Jahr 2023 gaben 52 Prozent der befragten Unternehmen an, ihre Mitarbeitenden nicht gezielt auf KI-gestützte Betrugsversuche vorzubereiten. Das ist eine erhebliche Lücke, die Angreifer kennen und nutzen.

Vertrauen neu kalibrieren

Das Unbehagen, das viele Menschen beim Gedanken empfinden, dem eigenen Chef nicht mehr blind vertrauen zu können, ist verständlich. Es geht aber nicht darum, grundsätzliches Misstrauen in Teams zu säen. Es geht darum, Vertrauen an überprüfbaren Merkmalen festzumachen, statt allein am Aussehen oder der Stimme einer Person.

Wer im Videocall sitzt und gebeten wird, schnell eine ungewöhnliche Entscheidung zu treffen, darf innehalten. Eine kurze Pause, ein kurzer Rückruf, eine schlichte Kontrollfrage sind kein Zeichen von Misstrauen. Sie sind professionelle Sorgfalt. Und wer wirklich der Chef ist, wird dafür Verständnis haben.