Deepfake-Anruf vom Chef: Die Betrugswelle erreicht die Kleinen
Die Stimme klingt exakt wie der Chef – ist aber eine Software. Fünf kostenlose Regeln, mit denen sich auch ein Fünf-Personen-Betrieb ab morgen schützt.
»Das muss heute noch raus. Ich sitze gleich im Notartermin, Sie erreichen mich nicht.« Die Stimme am Telefon klingt exakt wie die Ihres Chefs. Die Betonung stimmt, das Tempo, sogar die Ungeduld. Nur: Ihr Chef ist es nicht. Es ist eine Software – trainiert mit ein paar Sekunden Audio aus dem Imagevideo auf Ihrer eigenen Website.
Die Zahlen: weniger Fälle, deutlich höhere Schäden
Der Kreditversicherer Allianz Trade meldet für 2025 einen Anstieg der Schäden durch CEO-Fraud um 81 Prozent – nachdem sie sich 2024 bereits verdreifacht hatten. CEO-Fraud heißt: Täter geben sich als Geschäftsführung aus und lassen sich Überweisungen freigeben. Bemerkenswert an der Statistik ist das Kleingedruckte. Die Fallzahlen sinken, die Schäden explodieren. Die Täter schießen nicht mehr breit. Sie zielen.
»Betrifft uns nicht, wir sind zu klein«? Der BSI-Lagebericht 2025 sagt das Gegenteil: Rund 80 Prozent der erfassten Ransomware-Angriffe trafen kleine und mittlere Betriebe – das Bundesamt stuft genau die Unternehmen als besonders gefährdet ein, denen Geld, Personal und Know-how für die Abwehr fehlen. Und die HDI-Cyberstudie 2026, für die rund 1.100 Entscheider:innen aus dem Mittelstand befragt wurden, ergänzt: 7 Prozent hatten bereits CEO-Fraud oder Zahlungsbetrug im Haus, 4 Prozent Deepfake-Angriffe. Das klingt nach wenig. Es sind Betriebe wie Ihrer. Warum »wir sind zu klein für Hacker« die gefährlichste Ausrede der deutschen IT ist, habe ich an anderer Stelle ausführlich aufgeschrieben.
Warum jetzt auch der Fünf-Personen-Betrieb?
Früher lohnte sich der Aufwand nur bei Konzernen: wochenlange Recherche, fehlerfreie Mails, ein Anrufer mit Schauspieltalent. Heute erledigt das eine KI in Minuten. Wenige Sekunden Stimmmaterial reichen für einen brauchbaren Stimmklon – der Messeauftritt bei YouTube genügt, die Mailbox-Ansage, die Sprachnachricht im Firmenchat. Die Werkzeuge dafür sind frei verfügbar und kosten fast nichts.
Damit dreht sich die Rechnung der Täter. Wenn ein Angriff kaum noch etwas kostet, ist auch eine Beute von 15.000 Euro rentabel. Genau die Summe, die in einem kleinen Betrieb als »dringende Lieferantenrechnung« durchgeht – freigegeben von einer Buchhaltung, die dem Chef am Telefon nichts abschlagen will.
Ehrlich: Erkennungs-Tools helfen Ihnen wenig
Es gibt Software, die Deepfakes erkennen soll. Für den Alltag eines kleinen Betriebs ist sie praktisch wertlos: Die Fälschungen werden schneller besser, als die Detektoren nachkommen, und am Festnetztelefon Ihrer Buchhaltung läuft ohnehin keine Analyse-KI mit. Ich verkaufe Ihnen an dieser Stelle also kein Wundertool. Was funktioniert, sind Prozesse. Die kosten nichts – außer der Entscheidung, sie einzuführen. Übrigens beginnt auch die Deepfake-Masche oft klassisch mit einer gefälschten Mail; woran Sie die erkennen, zeige ich an echten Beispielen.
Fünf Regeln, die Sie morgen einführen können
1. Rückruf über die bekannte Nummer. Jede Zahlungsanweisung, die per Anruf, Sprachnachricht oder Messenger kommt, wird erst nach Rückruf ausgeführt – über die Nummer, die im Telefon gespeichert ist. Nicht über die Nummer aus der Mail-Signatur, nicht über »Rückruf« im Anrufprotokoll. Eine geklonte Stimme kann anrufen. Sie kann nicht auf dem echten Handy des Chefs abheben.
2. Vier-Augen-Prinzip ab Betrag X. Legen Sie eine Grenze fest – 1.000 Euro, 5.000 Euro, was zu Ihrem Betrieb passt. Darüber gibt niemand allein frei, auch nicht auf direkte Anweisung der Chefin. Ein Blatt Papier mit drei Sätzen reicht als Regelung.
3. Codewort für Zahlungsfreigaben. Vereinbaren Sie mündlich ein Wort, das bei telefonischen Freigaben genannt werden muss. Es steht in keiner Mail, in keinem Chat, in keinem Wiki. Die KI kann die Stimme klonen – das Codewort kennt sie nicht.
4. Dringlichkeit ist ein Warnsignal. »Sofort, streng vertraulich, nur Sie« – diese Kombination ist das Muster fast aller CEO-Fraud-Fälle. Machen Sie daraus eine Betriebsregel: Je größer der Druck, desto gründlicher die Prüfung. Wer wirklich dringend Geld braucht, übersteht auch einen Rückruf von zwei Minuten.
5. Klare Vertretungsregeln im Urlaub. Betrüger schlagen bevorzugt zu, wenn die Chefin nachweislich weg ist – das Urlaubsfoto bei Instagram liefert den Termin frei Haus. Legen Sie vorher fest, wer in Abwesenheit freigeben darf. Und dass die Regeln eins bis vier dann erst recht gelten.
Und wenn es schon passiert ist?
Dann zählt Tempo: sofort die Bank anrufen und die Überweisung stoppen lassen, Anzeige erstatten, nichts löschen. Die wichtigsten Schritte für den Ernstfall habe ich im Beitrag »Was tun nach einem Hackerangriff?« zusammengestellt.
Die fünf Regeln oben kosten Sie kein Geld und keine Software. Wenn Sie darüber hinaus wissen wollen, wie es um Netzwerk, Backups und Zugänge in Ihrem Betrieb steht: Genau dafür gibt es meine IT-Sicherheits-Betreuung – und ein kostenloses Erstgespräch als ehrliche Bestandsaufnahme. Auch »das reicht bei Ihnen schon« ist ein Ergebnis.
