CEO-Fraud per Deepfake: Was tun, wenn Ihre Geschäftsführung gefälscht wird

1. Was Unternehmen passiert: drei dokumentierte Fälle

• Arup (Hongkong, Januar 2024): Ein Mitarbeiter im Hongkonger Büro des britischen Ingenieurbüros erhielt eine Nachricht des Finanzchefs aus Großbritannien zu einer „vertraulichen Transaktion“. In der folgenden Videokonferenz waren der Finanzchef und mehrere Kollegen KI-generierte Fälschungen. Der Mitarbeiter tätigte 15 Überweisungen auf fünf Hongkonger Konten, insgesamt 200 Millionen HK-Dollar (rund 25 Millionen US-Dollar). Arup bestätigte, dass „gefälschte Stimmen und Bilder verwendet wurden“.
• WPP (bekannt geworden im Mai 2024): Betrüger nutzten das öffentliche Foto von CEO Mark Read für einen WhatsApp-Account und organisierten ein Microsoft-Teams-Meeting, an dem scheinbar Read und eine weitere WPP-Führungskraft teilnahmen. Sie setzten einen Stimmklon und YouTube-Material dieser Führungskraft ein, „Read“ schrieb ohne Kamera im Chat, und sie forderten einen Agenturchef auf, ein neues Geschäft aufzubauen, um an Geld und persönliche Daten zu kommen. Der Versuch scheiterte, weil die Angesprochenen vorsichtig waren.
• Ferrari (Juli 2024): Ein Manager erhielt WhatsApp-Nachrichten und dann einen Anruf mit der imitierten Stimme von CEO Benedetto Vigna zu einer vertraulichen Übernahme. Er fragte nach dem Titel eines Buches, das Vigna ihm kurz zuvor empfohlen hatte. Der Anrufer legte auf.

Führungskräfte werden auch über geklonte Personen des öffentlichen Lebens angesprochen: Im Februar 2025 wurde die Stimme des italienischen Verteidigungsministers Guido Crosetto geklont, um italienische Spitzenmanager zu kontaktieren. Der frühere Inter-Mailand-Besitzer Massimo Moratti überwies fast 1 Million Euro, die die Polizei später auf einem niederländischen Bankkonto einfror.

Es geht um große Summen. Das Internet Crime Complaint Center des FBI verzeichnete 2025 Verluste von 3,05 Milliarden US-Dollar durch Business E-Mail Compromise (die E-Mail-Variante des CEO-Fraud) bei 24.768 Beschwerden und erstmals 22.364 Beschwerden mit KI-Bezug, mit Verlusten von über 893 Millionen US-Dollar.

2. Eine Überweisung wurde verlangt oder ausgeführt: die ersten Stunden

1. Ist Geld abgeflossen, rufen Sie jetzt Ihre Bank an und verlangen Sie einen Rückruf der Zahlung. Das FBI sagt es deutlich: „Zeit ist entscheidend“. 2025 hat sein Recovery Asset Team 679 Millionen US-Dollar von 1,16 Milliarden US-Dollar versuchter Diebstähle eingefroren, bei denen es eingeschaltet wurde.
2. Ist die Zahlung noch nicht raus, stoppen Sie sie und sperren Sie die betrügerische Bankverbindung in Ihren Zahlungssystemen.
3. Geschäftsführung, Finanzabteilung und die imitierte Führungskraft informieren, über einen Kanal, dem Sie vertrauen.
4. Alles sichern: Rufnummern, Nachrichten, E-Mails mit vollständigem Header, Gesprächsaufzeichnungen oder Notizen, Meeting-Einladungen, Zahlungsaufträge.
5. Anzeige erstatten:
   • Deutschland: bei der Polizei, auch über die Onlinewache Ihres Bundeslandes. Für Unternehmen haben die Landeskriminalämter Zentrale Ansprechstellen Cybercrime (ZAC).
   • Österreich: bei der Polizei (133).
   • Schweiz: über cybercrimepolice.ch oder bei der Kantonspolizei (117).
6. Passwörter zurücksetzen und Zwei-Faktor-Authentifizierung aktivieren, falls ein E-Mail-Konto kompromittiert sein könnte, und Ihre Versicherung informieren, wenn Sie eine Cyber- oder Vertrauensschadenversicherung haben.

3. Ein Fake-Video oder eine Fake-Anzeige Ihrer Führungskraft kursiert

1. Beweise sichern: die URL jeder Anzeige, jedes Videos und jeder Seite, datierte Screenshots, Name des Werbetreibenden oder Accounts und bei Meta-Anzeigen den Eintrag in der Werbebibliothek.
2. Öffentlich warnen, über Ihre offiziellen Kanäle: „Ein manipuliertes Video von [Name] ist im Umlauf. Wir bieten keine Geldanlagen auf diesem Weg an. Überweisen Sie kein Geld.“
3. Jeden Inhalt auf der Plattform melden, als Identitätsmissbrauch oder Betrug, und die übrigen Anzeigen des Werbetreibenden prüfen. Schritt für Schritt: unser Ratgeber zu Fake-Werbung.
4. Die Werkzeuge für Personen des öffentlichen Lebens nutzen: Meta bietet ihnen eine Gesichtserkennung, die Betrugsanzeigen mit ihrem Gesicht aufspürt. In der EU und in Großbritannien ist sie seit März 2025 per Opt-in verfügbar; in vielen anderen Ländern meldet Meta betroffene Personen selbst an, und sie können widersprechen.
5. Ist die Stimme geklont (Sprachnachrichten, Anrufe, synchronisierte Videos), folgen Sie auch unserem Ratgeber zum KI-Stimmklon.
6. Lehnt die Plattform ab oder antwortet nicht: In der EU müssen Plattformen nach dem Digital Services Act ein internes Beschwerdeverfahren anbieten; anderswo beantragen Sie eine Überprüfung und schicken eine schriftliche Meldung.

4. Vorbeugung: die Kontrollen, die diese Betrugsmasche stoppen

1. Immer zurückrufen. Jede dringende, vertrauliche oder ungewöhnliche Zahlungsanweisung wird durch einen Rückruf bei der Person bestätigt, unter einer bereits hinterlegten Nummer, nie unter der aus der Nachricht. Das ist der zentrale Rat des FBI zu geklonten Stimmen.
2. Vier-Augen-Prinzip. Keine ungewöhnliche Zahlung und keine Änderung von Bankdaten ohne Freigabe einer zweiten Person, nach einem schriftlichen Ablauf.
3. Eine Kontrollfrage oder ein Codewort, das nur die echten Personen kennen, wie die Buchfrage bei Ferrari oder ein vorab vereinbartes Wort.
4. Keine Ausnahme für den CEO. Die Regel gilt auch, wenn „der CEO“ sagt, es sei dringend oder geheim. Genau das sind die Argumente der Betrüger.
5. Die am stärksten exponierten Personen schulen: Finanzbuchhaltung, Treasury, Assistenz der Geschäftsführung, Auslandstöchter. Gehen Sie die echten Fälle oben mit ihnen durch.
6. Akzeptieren, dass Videos der Führungskräfte öffentlich sind. Sie können nicht jeden Konferenzvortrag und jedes Interview offline nehmen, und genau daraus werden Stimmklone gebaut. Der Schutz besteht darin, dass eine Stimme oder ein Gesicht allein nie eine Zahlung freigibt.

In Großbritannien verzeichnete UK Finance 2025 197 Fälle von CEO-Fraud mit 5,6 Millionen Pfund Schaden, die seltenste Form des autorisierten Überweisungsbetrugs (unter 1 % der Fälle), gegenüber 41,3 Millionen Pfund bei Rechnungs- und Mandatsbetrug.

5. Was das Gesetz sagt

Wer sich als Führungskraft ausgibt, um eine Zahlung zu erlangen, begeht in Deutschland Betrug (§ 263 StGB), ebenso in Österreich und der Schweiz und im Rest der EU. Plattformen verbieten Identitätsmissbrauch und irreführende Werbung zudem in ihren eigenen Regeln, Löschungen setzen also keinen Gerichtsbeschluss voraus. Ob Sie Geld von einer Bank zurückfordern oder Ansprüche geltend machen können, hängt von Recht und Verträgen ab: Sprechen Sie mit einer Anwältin oder einem Anwalt. Diese Seite ist eine allgemeine Information, keine Rechtsberatung.