Wie funktioniert Voice Cloning?
Voice Cloning bezeichnet Verfahren, die aus einer Sprachprobe die Merkmale einer Stimme lernen, etwa Tonhöhe, Klangfarbe, Sprechtempo und Betonung. Je nach System entsteht daraus ein Stimmprofil oder ein eigens trainiertes Modell. Anbieter nennen das unterschiedlich, zum Beispiel Voice Clone oder Stimmprofil. Eine einheitliche technische Bezeichnung gibt es nicht.
Das BSI unterscheidet zwei Verfahren. Bei Text-to-Speech spricht das System einen eingetippten Text mit der Zielstimme. Bei Voice Conversion wird die Stimme eines Sprechers in Echtzeit oder nachträglich in die Zielstimme umgewandelt. Beide Verfahren brauchen möglichst saubere Aufnahmen der Zielperson ohne Musik und Hintergrundgeräusche.
Mehr Material verbessert vor allem Akzent, Pausen und emotionale Färbung. McAfee beobachtete außerdem, dass Stimmen mit ungewöhnlichem Rhythmus oder Sprechstil schwerer zu kopieren waren. Woher die Sprachprobe stammt, hängt davon ab, wie viel Audio von der Zielperson bereits verfügbar ist.
Szenario 1: Die Stimme wird direkt eingesprochen
Die sauberste Grundlage ist eine Aufnahme, die die Person selbst in ein Mikrofon spricht. Das Material ist rauscharm, gleichmäßig laut und enthält nur eine Stimme. Kommerzielle Anbieter arbeiten mit dieser Methode. ElevenLabs nennt für einen Instant Voice Clone rund eine Minute Audio und für einen Professional Voice Clone 30 Minuten bis drei Stunden.
ElevenLabs verlangt für das Klonen eine Bestätigung der Einwilligung. Für den Professional Voice Clone kommt eine Sprachverifikation hinzu, mit der das System prüft, ob die hochgeladene Stimme zum Konto gehört.
In der Sicherheitspraxis spielt dieses Szenario vor allem bei autorisierten Übungen eine Rolle. Eine Geschäftsführerin spricht einige Sätze ein, damit ihr Team einen realistischen Anruf mit ihrer geklonten Stimme erlebt. Angreifern steht dieser Weg in der Regel nicht offen, weil die Zielperson nicht freiwillig mitwirkt.
Szenario 2: Die Stimme stammt aus öffentlichen Quellen (OSINT)
Open Source Intelligence (OSINT) bezeichnet die Auswertung öffentlich zugänglicher Informationen. Für Stimmen sind das YouTube-Videos, Podcasts, Webinare, Konferenzvorträge, Interviews, Imagefilme und Social-Media-Clips. McAfee nennt YouTube, Social-Media-Reels und Podcasts ausdrücklich als Quellen, aus denen Kriminelle Stimmmaterial gewinnen können.
Führungskräfte sind besonders exponiert. Wer auf Bühnen spricht, Quartalszahlen präsentiert oder in Podcasts auftritt, hat oft viel sauberes Audio im Netz. Aus solchen Aufnahmen lassen sich Passagen herausschneiden, in denen nur die Zielperson spricht.
Ein früh dokumentierter Fall stammt aus dem Jahr 2019. Der Chef eines britischen Energieunternehmens überwies 220.000 Euro, weil er am Telefon den Vorstandschef der deutschen Muttergesellschaft zu hören glaubte. Laut dem Versicherer Euler Hermes erkannte er dessen leichten deutschen Akzent und die Sprachmelodie wieder. Woher die Täter das Stimmmaterial hatten, wurde nicht bekannt.
Szenario 3: Die Stimme wird am Telefon erschlichen
Gibt es von einer Person kaum öffentliches Audio, kann ein Anruf unter einem Vorwand Material liefern. Die Polizei im indischen Bundesstaat Tamil Nadu warnte, dass Betrüger Stimmproben aus Social-Media-Videos oder über angeblich falsch gewählte Anrufe beschaffen.
Häufig wird auch vor stummen Anrufen gewarnt, bei denen der Anrufer schweigt, bis die angerufene Person mehrfach „Hallo?“ sagt. Die malaysische Polizei sprach im Dezember 2025 eine solche Warnung aus, erklärte aber, dass ihr keine Anzeigen zu stummen Anrufen vorlagen, die für KI-Betrug genutzt wurden. Stumme Anrufe als Quelle für Stimmklone sind damit plausibel, aber bisher kaum belegt.
Im Unternehmen kommen für dieses Szenario vor allem Personen infrage, deren Stimme intern Gewicht hat, die aber selten öffentlich zu hören sind. Dazu zählen Finanzleitungen, IT-Administratoren und Assistenzen der Geschäftsführung.
Wie entstehen Video-Deepfakes?
Video-Deepfakes entstehen mit unterschiedlichen Verfahren, die sich im Ergebnis und im Materialbedarf unterscheiden.
- Face Swapping: Das Gesicht der Zielperson wird auf den Kopf einer anderen Person in einem Video gesetzt. Mimik und Kopfbewegung stammen von der Person im Originalvideo.
- Face Reenactment: Mimik, Lippen- und Kopfbewegungen der Zielperson werden gesteuert, oft durch das Videobild eines Angreifers. Die Zielperson scheint Dinge zu sagen, die sie nie gesagt hat.
- Talking-Head-Generierung: Ein Modell erzeugt aus einem Bild und einer Audiospur ein sprechendes Gesicht. Bewegung und Mimik werden aus dem Audio abgeleitet.
Laut BSI hängt die Qualität stark vom Trainingsmaterial ab. Ebenso wichtig sind das Modell, die Auflösung und die Aufnahmebedingungen im späteren Einsatz. Kombiniert mit einem Stimmklon entsteht ein Video, in dem Gesicht und Stimme zur Zielperson passen.
Szenario 1: Ein einzelnes Foto
Ein Profilbild auf LinkedIn oder ein Porträt auf der Unternehmenswebsite kann als Ausgangsmaterial genügen. Microsofts Forschungsmodell VASA-1 erzeugt aus einem einzelnen Porträtfoto und einer Audiospur ein sprechendes Gesicht mit Lippensynchronisation, Mimik und Kopfbewegungen in Echtzeit. Microsoft hat VASA-1 nicht veröffentlicht und erklärt, vorerst keine Demo, keine API und kein Produkt anzubieten.
Die Mimik erzeugt ein solches Modell aus gelernten Mustern vieler Gesichter. Ein Foto zeigt nicht, wie genau diese eine Person lacht, die Stirn runzelt oder beim Sprechen den Kopf bewegt. Kolleginnen und Kollegen, die die Person kennen, bemerken solche Abweichungen eher als Fremde, besonders in längeren Gesprächen.
Szenario 2: Öffentliches Videomaterial (OSINT)
Interviews, Keynotes, Webinar-Aufzeichnungen und Social-Media-Clips zeigen eine Person aus mehreren Blickwinkeln, mit eigener Mimik und eigener Stimme. Für Face Swapping genügen laut BSI wenige Minuten Video, wenn es hochwertig ist und möglichst viele Gesichtsausdrücke und Perspektiven enthält. Für ein Demonstrationsvideo des BSI wurden je fünf bis zehn Minuten Video beider Personen aufgenommen, und der Gesichtstausch lief in Echtzeit. Die BSI-Angaben stammen von 2022.
Fehlen im Material etwa Profilansichten oder bestimmte Gesichtsausdrücke, zeigt das Modell laut BSI häufig Unschärfen bei schnellen Kopfdrehungen oder eine eingeschränkte Mimik. Im Fall des Ingenieurkonzerns Arup überwies 2024 ein Mitarbeiter in Hongkong nach einer Videokonferenz mit gefälschten Kollegen, darunter dem Finanzvorstand, rund 25,6 Millionen US-Dollar in 15 Transaktionen. Arup bestätigte, dass gefälschte Stimmen und Bilder eingesetzt wurden.
Szenario 3: Eigens aufgenommenes Video
Wird die Zielperson gezielt vor der Kamera aufgenommen, lassen sich Licht, Perspektive und unterschiedliche Gesichtsausdrücke bewusst abdecken, etwa neutral, lachend, nachdenklich und eindringlich. Das Modell lernt dann die individuelle Mimik dieser Person statt allgemeiner Muster. Unter vergleichbaren Bedingungen wirken Mimik, Emotion und Lippenbewegungen damit in der Regel natürlicher als bei Foto oder Fremdmaterial.
Dieser Weg setzt Mitwirkung voraus. Er ist typisch für autorisierte Awareness-Übungen, in denen eine Führungskraft einwilligt, als Deepfake aufzutreten.
| Ausgangsmaterial | Typisches Verfahren | Typische Quelle | Stärken | Typische Schwächen | Dokumentiertes Beispiel |
|---|---|---|---|---|---|
| Einzelnes Foto | Talking-Head-Generierung | LinkedIn-Profil, Website, Pressefoto | Sehr wenig Material nötig, Echtzeit möglich (VASA-1) | Mimik folgt allgemeinen Mustern, nicht der individuellen Person | VASA-1 (Forschungsmodell, nicht veröffentlicht) |
| Öffentliches Video (OSINT) | Face Swapping, Face Reenactment | Keynotes, Interviews, Webinare, Social Media | Echte Mimik und Stimme der Person | Begrenzt auf vorhandene Blickwinkel und Ausdrücke, Qualität abhängig von Auflösung und Licht | Arup 2024 |
| Eigene Videoaufnahme | Face Swapping, Face Reenactment | Gezielte Aufnahme mit Kamera | Kontrollierte Bedingungen, viele Ausdrücke abgedeckt | Setzt Mitwirkung der Zielperson voraus | BSI-Demonstrationsvideo |
Wie schützen sich Unternehmen vor Voice- und Video-Deepfakes?
Stimme und Gesicht am Telefon oder im Videocall sind kein verlässlicher Identitätsnachweis mehr. Schutz bieten Prozesse, die eine Anweisung über einen zweiten, unabhängigen Kanal prüfen.
- Rückruf über eine bekannte Nummer: Bei Zahlungsanweisungen, Kontoänderungen oder Passwort-Resets legt die angerufene Person auf und ruft über die Nummer aus dem internen Verzeichnis zurück, nicht über die Nummer im Display oder in der Nachricht.
- Unabhängige Freigabe: Ungewöhnliche oder dringende Zahlungen brauchen eine zweite Freigabe durch eine andere Person über einen anderen Kanal.
- Feste Prozesse statt Ausnahmen: Anweisungen, die Vertraulichkeit verlangen oder Prozesse umgehen sollen, werden grundsätzlich über den regulären Weg geprüft, auch wenn sie scheinbar von der Geschäftsführung kommen.
- Sichere Identitätsprüfung für Helpdesk und Konten: Passwort- und MFA-Resets setzen Merkmale voraus, die ein Anrufer nicht per Stimme oder Video vortäuschen kann.
- Codewörter als Ergänzung: Vereinbarte Codewörter können helfen, schützen aber nur, solange sie geheim bleiben. Wissensfragen sind schwächer, weil viele Antworten über OSINT recherchierbar sind.
- Öffentliches Material prüfen: Unternehmen können prüfen, welche Aufnahmen von Führungskräften dauerhaft öffentlich bleiben müssen und ob Mailbox-Ansagen mit eigener Stimme nötig sind.
Das BSI nennt Aufklärung als zentrale Schutzmaßnahme, weil das Wissen um solche Angriffe die Bewertung von Gesehenem und Gehörtem verändert. Realistische Übungen machen diese Angriffe erfahrbar, ersetzen aber keine Prüfprozesse. Bekannte Artefakte wie metallischer Klang, monotone Betonung, unscharfe Zähne oder Fehler bei Kopfdrehungen können auf eine Fälschung hinweisen. Ein verlässlicher Test sind sie nicht. Wie Täter Stimme und E-Mail kombinieren, zeigen Anrufe mit KI-Stimmen und die Chef-Masche.
Wie revel8 bei Voice- und Video-Deepfakes hilft
Mit revel8 stellen Unternehmen ihre Deepfake-Avatare für Awareness-Übungen individuell zusammen. Sie wählen, wer als Deepfake auftritt, zum Beispiel die Geschäftsführerin, ein Abteilungsleiter oder ein Kollege aus dem IT-Support, und bestimmen so, wie viel Autorität und Vertrautheit ein Angriff mitbringt.
Auch der Schwierigkeitsgrad lässt sich an das Team anpassen. Übungen können mit vorgefertigten Deepfake-Videos beginnen und bis zu Live-Deepfakes reichen, die im Anruf oder im Online-Meeting in Echtzeit auf Fragen antworten. Die Avatare lassen sich aus einem Foto oder aus einer Videoaufnahme vorbereiten, entsprechend den oben beschriebenen Szenarien. KI-Personas rufen außerdem live an oder hinterlassen Voicemails mit geklonten Stimmen, und die Szenarien kombinieren E-Mail, SMS, Anruf und Video, so wie echte Angriffe vom Posteingang ans Telefon wechseln. Mit Threat Intelligence und OSINT werden die Übungen auf das öffentliche Profil des Unternehmens und seiner Führungskräfte zugeschnitten.
Für europäische Unternehmen läuft revel8 auf der souveränen STACKIT Cloud in Deutschland und ist nach ISO/IEC 27001:2022 zertifiziert. Das vereinfacht die Prüfung der Datenresidenz. Wie sich revel8 von anderen Anbietern unterscheidet, zeigt der Vergleich der Top 8 Plattformen für Deepfake-Awareness-Training. Wie überzeugend ein Stimmklon klingt, können Sie mit den kostenlosen Tools selbst testen, oder Sie vereinbaren eine Demo.
