Deepfakes, Phishing und Identitätsbetrug: Praktische Schutzmaßnahmen für Unternehmen

Der Grundgedanke: Prozesse statt Wahrnehmung

Täuschung funktioniert, weil Menschen unter Druck auf Eindrücke vertrauen: eine bekannte Stimme, ein vertrautes Gesicht, eine plausible E-Mail. Genau diese Eindrücke lassen sich inzwischen nachbilden. Wer Schutz darauf aufbaut, dass Beschäftigte Fälschungen erkennen, verlässt sich auf eine Fähigkeit, die an Grenzen stößt.

Wirksamer ist es, Abläufe so zu gestalten, dass eine einzelne Täuschung nicht genügt. Dazu gehören vier Bausteine, die im Folgenden beschrieben werden: Freigabe, Rückbestätigung, Authentifizierung und Kultur. Hinzu kommt ein Notfallweg, wenn doch etwas passiert (Incident Response).

Baustein 1: Mehrstufige Freigaben

Das Vier-Augen-Prinzip verlangt, dass kritische Handlungen von zwei Personen geprüft werden. Es wirkt nur, wenn es tatsächlich gelebt wird.

• Schwellenwerte und Regeln legen fest, ab wann welche Freigabe nötig ist.
• Funktionstrennung: Wer eine Zahlung vorbereitet, gibt sie nicht frei.
• Keine Ausnahme „wegen Dringlichkeit“. Gerade dieses Argument wird von Tätern genutzt. Eine schriftliche Regel, dass Dringlichkeit und Vertraulichkeit kein Grund sind, Prozesse zu umgehen, entlastet Beschäftigte.
• Vertretungsregelungen sorgen dafür, dass bei Abwesenheit nicht eine Person beide Rollen übernimmt.
• Technische Durchsetzung im Zahlungs- und Buchhaltungssystem, nicht nur auf dem Papier.

Baustein 2: Unabhängige Rückbestätigung

Bei der Out-of-Band-Validierung wird eine Anweisung über einen zweiten, unabhängigen Kanal bestätigt. Beispiele:

• Änderung von Bankdaten: Rückruf unter einer bereits gespeicherten Nummer des Lieferanten, nicht unter der Nummer aus der Nachricht.
• Eilige Zahlungsanweisung: Rückfrage bei der anweisenden Person über das interne Verzeichnis.
• Zugangsanfrage: Bestätigung durch den Vorgesetzten über einen bekannten Weg.

Entscheidend ist die Unabhängigkeit. Eine Rückfrage an dieselbe Adresse oder Nummer bestätigt nur, dass der Täter erreichbar ist. Auch bei Videoanrufen genügt der Eindruck von Bild und Ton nicht als Nachweis.

Im privaten und im Nahbereich kann ein vereinbartes Familien-Codewort eine zusätzliche Hürde bilden.

Baustein 3: Sichere Authentifizierung

Viele Betrugsfälle beginnen mit gestohlenen Zugangsdaten. Gegenmaßnahmen:

• Zwei-Faktor-Authentifizierung für alle Konten, besonders E-Mail, Cloud, Verwaltung und Zahlungssysteme.
• Phishing-resistente Verfahren für privilegierte Konten: Sicherheitsschlüssel und Passkeys binden die Anmeldung an die echte Website und schützen vor vielen Formen des Phishings.
• Einzigartige Passwörter und ein Passwortmanager.
• Gesicherte Wiederherstellungswege: Ein schwacher Rücksetzweg untergräbt jedes starke Anmeldeverfahren.
• Warnungen bei ungewöhnlichen Anmeldungen und regelmäßige Prüfung von Postfachregeln und neu registrierten Geräten.

MFA ist kein vollständiger Schutz. Bestätigungsanfragen können erschlichen und Codes abgefangen werden. Phishing-resistente Verfahren sind in dieser Hinsicht robuster.

Baustein 4: Identitätsprüfung bei Kunden und Bewerbern

Wo Identitäten digital geprüft werden, etwa bei Kontoeröffnungen oder Onboarding, steigen die Anforderungen. Verfahren wie Know Your Customer und Liveness Detection erschweren Täuschungen, sind aber nicht unüberwindbar. Wirksam ist eine Kombination mehrerer unabhängiger Prüfungen, die Beobachtung von Auffälligkeiten über die Zeit und menschliche Prüfung bei Verdacht. Auch eine hohe Zahl neuer Konten mit gemeinsamen Merkmalen kann ein Hinweis sein (siehe Synthetic Identity Fraud).

Für Personalprozesse gilt: Einstellungen aus der Ferne und Zugriffe neuer Beschäftigter sollten mit zusätzlichen Prüfschritten abgesichert werden, etwa durch Rückbestätigung über unabhängige Kanäle und gestufte Zugriffsrechte.

Baustein 5: Sensibilisierung und Kultur

Medienkompetenz und Schulung wirken, wenn sie praxisnah sind.

• Realistische, schematische Beispiele aus dem eigenen Arbeitsalltag statt allgemeiner Warnungen.
• Verhalten statt Merkmale: „Zahlungsanweisungen werden unabhängig bestätigt“ ist hilfreicher als „Achten Sie auf Rechtschreibfehler“.
• Kurze, regelmäßige Impulse statt einmaliger Pflichtveranstaltungen.
• Einfacher Meldeweg: Eine Stelle, an die verdächtige Nachrichten weitergeleitet werden, mit schneller Rückmeldung.
• Fehlerfreundlichkeit: Wer hereingefallen ist, meldet es früh, wenn keine Sanktion droht. Frühe Meldung rettet oft Spuren und Geld.

Technische Ergänzungen

• Kennzeichnung externer Absender und Warnungen bei ähnlichen Domains.
• Absenderauthentifizierung (SPF, DKIM, DMARC) für eigene Domains.
• Filter für Links und Anhänge, Prüfung von QR-Codes in E-Mails.
• Verwaltung dienstlicher Geräte und Regeln für Messenger-Dienste.
• Protokollierung relevanter Ereignisse mit angemessener Aufbewahrung, damit im Ernstfall Spuren verfügbar sind.
• Erkennungswerkzeuge für synthetische Inhalte können eine zusätzliche Information liefern. Sie sind nicht in jedem Fall zuverlässig und ersetzen keine Prozesse.

Umgang mit KI im Unternehmen

Der Einsatz von KI-Diensten selbst gehört zur Prävention: Welche Daten dürfen in externe Dienste eingegeben werden? Wie werden Ergebnisse geprüft? Welche Rechte erhalten automatisierte Assistenten? Klare Regeln verhindern, dass vertrauliche Informationen abfließen oder automatisierte Systeme zu Einfallstoren werden.

Realistische Erwartungen

Kein Maßnahmenpaket garantiert vollständigen Schutz. Ziel ist, Risiken zu verringern, Schäden zu begrenzen und die Aufklärbarkeit zu verbessern. Die Maßnahmen sollten zur Größe und zu den Prozessen des Unternehmens passen: Ein kleines Handwerksunternehmen braucht keine Konzernstruktur, wohl aber klare Regeln für Zahlungen und Zugänge.

Wenn doch etwas passiert

Ein Verdacht sollte früh gemeldet, nichts gelöscht und Spuren gesichert werden. Eine Orientierung gibt der Artikel Verdacht auf digitalen Betrug: Was Unternehmen zunächst beachten sollten.

Wo anfangen? Eine Priorisierung

Nicht jedes Unternehmen kann alles gleichzeitig umsetzen. Als pragmatische Reihenfolge bietet sich an:

1. Zahlungs- und Freigabeprozess klären: Rückbestätigung bei Änderungen von Bankdaten und bei eiligen Anweisungen, Vier-Augen-Prinzip.
2. Anmeldeverfahren absichern: Zwei-Faktor-Authentifizierung für E-Mail und Cloud, für Administratoren und Führungskräfte möglichst phishing-resistent.
3. Protokollierung prüfen: Welche Anmelde- und Audit-Daten werden erfasst und wie lange gespeichert?
4. Meldeweg einrichten: Eine Stelle, an die verdächtige Nachrichten gemeldet werden, mit schneller Rückmeldung.
5. Schulen und üben: Kurze, praxisnahe Impulse mit schematischen Beispielen aus dem eigenen Alltag.
6. Notfallplan festlegen: Ansprechpartner, Kontaktwege, erste Schritte und Zuständigkeit für die Sicherung von Spuren.

Diese Reihenfolge ist eine Orientierung. Je nach Branche, Größe und vorhandener Technik können andere Prioritäten sinnvoll sein.

Einordnung

Der Beitrag ist eine allgemeine Information. Er ersetzt keine Beratung zu Ihrer konkreten IT- und Prozesslandschaft und keine Rechtsberatung. Lagebeschreibungen und Empfehlungen veröffentlichen unter anderem das BSI und die ENISA; auf Einzelzahlen wird hier bewusst verzichtet.