Deepfakes erkennen: Merkmale, Prüfungen und Verifizierung

Wie werden Deepfakes für Betrug an Unternehmen eingesetzt?

Anfang 2024 erhielt ein Finanzmitarbeiter im Hongkonger Büro des Ingenieurkonzerns Arup eine Nachricht, scheinbar vom in Großbritannien ansässigen Finanzvorstand, mit der Bitte um eine vertrauliche Transaktion. Er war misstrauisch, bis er an einer Videokonferenz mit dem CFO und mehreren Kollegen teilnahm, die er wiedererkannte. Danach tätigte er 15 Überweisungen über insgesamt 200 Millionen Hongkong-Dollar, rund 25,6 Millionen US-Dollar. Arup bestätigte, dass in der Konferenz gefälschte Stimmen und Bilder eingesetzt wurden.

Der Mitarbeiter hatte der E-Mail misstraut, so wie es Awareness-Schulungen lehren. Die Videokonferenz räumte diese Zweifel aus, weil mehrere vertraute Personen sich scheinbar in Echtzeit einig waren. Der Fall Arup zeigt ein verbreitetes Angriffsmuster, auch wenn nicht jeder Deepfake-Angriff eine Videokonferenz oder eine Zahlung umfasst.

1. Recherche: Der Angreifer sucht Führungskräfte, deren Bilder und Stimmen öffentlich verfügbar sind, und erfährt genug über interne Abläufe, um eine Anfrage glaubwürdig zu machen.
2. Auslöser: Eine E-Mail oder Nachricht startet eine Zahlungs- oder Zugriffsanfrage, oft als vertraulich markiert, damit der Empfänger nicht bei anderen nachfragt.
3. Bestätigung: In einer Videokonferenz oder Sprachnachricht scheinen gefälschte Kollegen die Anfrage zu bestätigen.
4. Auszahlung: Das Geld wird bewegt, im Fall Arup aufgeteilt auf 15 Überweisungen.

Die Anfrage selbst hat die bekannte Struktur von CEO-Fraud, mit Dringlichkeit, Autorität, Geheimhaltung und einer ungewöhnlichen Zahlung. Neu ist, dass Sehen und Hören des Absenders nicht mehr beweist, wer tatsächlich anfragt.

Woran erkennt man ein Deepfake-Video?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die visuellen Artefakte, die Face-Swap-Verfahren am häufigsten erzeugen, und das FBI veröffentlicht eine ähnliche Checkliste. Echtzeit-Generierung kann Unstimmigkeiten sichtbar machen, weil fehlerhafte Bilder nicht nachträglich korrigiert werden können. Ein Anruf ohne sichtbare Artefakte ist trotzdem kein Beweis für seine Echtheit.

• Verwaschene Details: Zähne und Augen wirken weich oder unscharf, weil Face-Swap-Systeme feine Konturen schlecht darstellen.
• Übergänge am Gesichtsrand: sichtbare Kanten, wo das eingesetzte Gesicht auf Haaransatz, Hals oder Hintergrund trifft.
• Begrenzte Mimik und unstimmige Belichtung: Das Gesicht bewegt sich weniger als bei der echten Person, oder das Licht im Gesicht passt nicht zum Raum.
• Unregelmäßige Gesichtszüge und Schatten: Das FBI nennt undeutliche oder unregelmäßige Gesichter, unrealistische Gesichtszüge, verzerrte Hände und falsche Schatten.
• Unrealistische Accessoires: Brillen oder Schmuck, die flackern, sich verformen oder falsch sitzen.
• Unnatürliche Bewegungen: Kopf- oder Lippenbewegungen, die nicht dazu passen, wie die Person sich sonst bewegt und spricht.

In einer unerwarteten Videokonferenz lohnt ein Blick auf Zähne, Augen und Gesichtsrand, wo aktuelle Face-Swap-Systeme oft Fehler zeigen. Diese Merkmale sind Hinweise, keine zuverlässigen Tests, und bessere Generatoren zeigen weniger davon.

Wie erkennt man eine geklonte Stimme?

Für einen Stimmklon braucht es deutlich weniger Material als für ein Video. In einem Experiment von McAfee aus dem Jahr 2023 genügten drei Sekunden Audio für einen Klon mit 85 Prozent Stimmübereinstimmung. Ein Konferenzvortrag oder ein Social-Media-Video liefert einem Angreifer mehr als das.

Das BSI beschreibt die Artefakte, die synthetische Stimmen häufig zeigen, und die meisten davon sind in einem normalen Gespräch hörbar.

• Metallischer Klang: Viele Verfahren erzeugen Audio, das metallisch statt warm klingt.
• Monotone Sprechweise: Betonung und Intonation wirken flach, besonders bei schlechten Trainingsdaten.
• Falsche Aussprache: Namen und Fremdwörter werden oft falsch ausgesprochen.
• Unnatürliche Geräusche: Lange Sätze oder unerwartete Pausen können seltsame Artefakte erzeugen.
• Verzögerung: Eine Live-Stimmfälschung muss erst erfassen, was gesagt wurde, bevor sie antworten kann, was eine Verzögerung verursacht.

Telefonaudio ist komprimiert, wodurch diese Artefakte schwerer zu hören sind. Das FBI warnt, dass ein Anruf oder eine Sprachnachricht eines bekannten Kontakts und ein KI-generierter Stimmklon nahezu identisch klingen können. Eine Stimme am Telefon ist deshalb nur eine Identitätsbehauptung, die noch geprüft werden muss. Typische Anrufe beim KI-Voice-Phishing verbinden eine geklonte Stimme mit Zeitdruck und einer plausiblen internen Geschichte.

Warum kann Erkennungssoftware das Problem nicht lösen?

Das BSI erwartet, dass das manuelle Erkennen von Fälschungen schwieriger wird, weil Generatoren besser werden und Angreifer weniger Daten brauchen, und weist darauf hin, dass automatisierte Detektoren neu entwickelte Verfahren übersehen. Das FBI stellt fest, dass KI-generierte Inhalte inzwischen oft schwer zu erkennen sind. Die Artefakt-Checklisten bleiben als Schulungsinhalt sinnvoll, beschreiben aber die Generatoren von heute, nicht die des nächsten Jahres.

Werkzeuge zur Deepfake-Erkennung analysieren Pixelmuster, digitale Signaturen oder Sprachfrequenzen und helfen als zusätzliche Schutzebene. In der Praxis haben sie vier Grenzen.

• Kurze Halbwertszeit: Ein Detektor wird auf bekannten Generierungsverfahren trainiert. Neue Techniken können seine Genauigkeit senken und Evaluierung, Updates oder neues Training erfordern, was den Wartungsaufwand für das Security-Team erhöht.
• Wahrscheinlichkeiten statt Antworten: Ein Detektor meldet, wie wahrscheinlich eine Manipulation ist, und erzeugt sowohl Fehlalarme als auch übersehene Fälschungen. Ob die Alarmschwelle bei 90 oder 99 Prozent liegt, verschiebt das Verhältnis zwischen beiden.
• Unklare Folgeprozesse: Oberhalb der Schwelle kann der Anruf abgebrochen, der Nutzer gewarnt oder eine manuelle Prüfung gestartet werden. Jede Option wirkt sich auf Produktivität und Akzeptanz aus.
• Lücken in der Abdeckung: Ein in Microsoft Teams oder Zoom integrierter Detektor sieht keine Anrufe auf privaten Mobiltelefonen oder in Messengern wie WhatsApp, die Angreifer nutzen, um Unternehmenskontrollen zu umgehen.

Erkennungswerkzeuge sind nützliche unterstützende Kontrollen, aber ihr Ergebnis ist kein Echtheitsbeweis. Security-Teams sollten nicht erwarten, dass Mitarbeitende beurteilen, ob ein Gesicht oder eine Stimme echt ist. Sensible Anfragen, besonders Zahlungen und Änderungen an Zugriffsrechten, sollten über einen festgelegten Prozess geprüft werden, unabhängig davon, wer scheinbar anfragt.

Manche Angriffe kommen ganz ohne Deepfake aus. 2025 riefen Angreifer der von Google als UNC6040 bezeichneten Gruppe Mitarbeitende an und gaben sich als IT-Support aus. Sie überredeten sie, eine manipulierte Version des Salesforce Data Loader als Connected App freizugeben. Anschließend exportierten sie große Mengen Salesforce-Daten und nutzten sie zur Erpressung. Googles Bericht beschreibt klassisches Voice-Phishing. Hätten die Mitarbeitenden den unerwarteten Support-Anruf über einen bekannten internen Kanal geprüft, hätte das den Angriff unterbrechen können.

Was sollten Mitarbeitende tun, bevor sie auf einen Anruf reagieren?

Die Empfehlungen des FBI funktionieren auch dann, wenn die Fälschung perfekt ist. Prüfen Sie vor einer Antwort die Rufnummer und die Person, die angeblich anruft, und suchen Sie dann selbst eine Telefonnummer dieser Person heraus und rufen Sie zurück. Die Nummer muss eine sein, die Sie selbst nachschlagen, nie eine, die der Anrufer nennt, denn ein Rückruf bei einer Nummer des Angreifers bestätigt nichts.

1. Innehalten. Angreifer setzen auf Dringlichkeit, und eine echte Anfrage übersteht eine kurze Prüfung.
2. Gespräch beenden und zurückrufen, unter einer Nummer aus dem internen Verzeichnis oder einer anderen zuvor bestätigten Quelle.
3. Anfrage prüfen. Fragen Sie, ob Kontext und Plausibilität stimmen oder ob die Geschichte nur funktioniert, wenn man nicht nachfragt.
4. Bestehende Abläufe einhalten. Zahlungen und Änderungen an Zugriffsrechten laufen über die üblichen Freigabeschritte einschließlich Vier-Augen-Prinzip, auch wenn der Anrufer eine Ausnahme verlangt.
5. Nichts Sensibles weitergeben, und nie einen Zwei-Faktor-Code, an einen Kontakt, der nicht über einen zuvor bestätigten Kanal verifiziert wurde.

Das Unternehmen macht aus dieser Gewohnheit eine Kontrolle. Ungewöhnliche Zahlungen brauchen vor der Freigabe eine zweite Person, für finanzkritische Rollen und den IT-Service-Desk gibt es veröffentlichte Rückrufnummern, und Dringlichkeit ist nie ein Grund, die Prüfung zu überspringen. Ein Anrufer, der keinen Rückruf zulässt, ist nicht verifiziert.

So hilft revel8 Mitarbeitenden, Deepfakes zu erkennen

Das BSI nennt die Schulung potenziell Betroffener als zentrale Gegenmaßnahme gegen Deepfake-Angriffe. Simulationen ermöglichen eine erste Begegnung mit einem realistischen Deepfake in einem Umfeld, in dem ein Fehler nichts kostet.

revel8 führt kanalübergreifende Simulationen durch, in denen ein Deepfake-Videoklon einer bekannten Führungskraft an einem laufenden Microsoft-Teams-Meeting teilnimmt, gefolgt von einer Rechnungs-E-Mail, die sich auf das Gespräch bezieht. KI-Personas führen außerdem Live-Anrufe durch und hinterlassen Sprachnachrichten, und Szenarien können vom Posteingang in einen Anruf übergehen.

Mitarbeitende erhalten nach jeder Interaktion sofort kontextbezogenes Feedback, und das Unternehmen sieht die Ergebnisse in Auswertungen auf Gruppenebene. Simulationen bereiten Mitarbeitende auf solche Anrufe vor, wirken aber zusammen mit Zahlungs- und Zugriffskontrollen und ersetzen diese nicht. Wie wenig Material ein überzeugender Klon braucht, zeigt die kostenlose Deepfake-Demo.