KI-Deepfake-Phishing: So erleichtern Betrüger Handwerker um 500.000 EUR

TL;DR

Ihr Chef ruft an und fordert 150.000 Euro. Er klingt echt, redet wie er, drängelt wie er. Aber es ist nicht Ihr Chef. Es ist eine KI, die seine Stimme aus drei Sekunden Audio nachgebaut hat. Das BSI warnt vor einer Welle solcher Angriffe auf Handwerksbetriebe. Die Schäden liegen zwischen 50.000 und 500.000 Euro pro Fall. Der Schutz ist erstaunlich einfach: Zurückrufen, Vier-Augen-Prinzip, feste Prozesse. Keine teure Software nötig.

Problem/Kontext

Das Telefon klingelt. Kurz vor Feierabend. Der Chef ist angeblich in einem wichtigen Meeting. Er braucht sofort eine Überweisung an einen neuen Lieferanten. 150.000 Euro. Die Stimme klingt gestresst, aber eindeutig wie der Chef. Der Tonfall passt. Die Ausrede ist glaubwürdig. Der Mitarbeiter zögert kurz. Wer widerspricht schon dem Chef? Er gibt die Zahlung frei. Drei Minuten später ist das Geld auf einem Konto im Ausland. Zurückholen? Fast unmöglich. So schnell geht KI-Deepfake-Phishing im Jahr 2026. Das Bundesamt für Sicherheit in der Informationstechnik registriert einen Anstieg von KI-gestützten Social-Engineering-Angriffen um über 300 Prozent. Jeder vierte Angriff richtet sich gegen Handwerks- und Mittelstandsbetriebe. Die Erfolgsquote liegt bei über 40 Prozent – höher als bei klassischem Phishing. Warum? Weil die Täter nicht mehr mit komischen E-Mails aus Nigeria kommen. Sie kommen mit der Stimme Ihres Chefs.

Handwerksbetriebe in Niederbayern und im Bayerischen Wald sind für Kriminelle kein Zufallsopfer. Sie sind ein ideales Ziel. Die meisten Betriebe haben wenig bis keine IT-Sicherheit. Keinen Sicherheitsbeauftragten. Keine regelmäßigen Schulungen. Keine festen Freigabeprozesse. Der Chef entscheidet oft spontan am Telefon. Der Mitarbeiter führt aus. Genau diese Hierarchie und Schnelligkeit nutzen die Betrüger aus. Dazu bewegen Handwerksbetriebe echtes Geld. Materiallieferungen, Anzahlungen, Bauprojekte – fünfstellige Beträge sind keine Seltenheit. Für einen Kriminellen lohnt sich die Recherche. Er schaut sich Podcasts, YouTube-Videos, öffentliche Auftritte an. Drei Sekunden Audio reichen, um eine Stimme zu klonen, die selbst langjährige Mitarbeiter nicht mehr vom Original unterscheiden können.

Definition

KI-Deepfake-Phishing ist eine Form des Social Engineering. Dabei nutzen Kriminelle künstliche Intelligenz, um Stimmen, Bilder oder kurze Videos von echten Personen täuschend echt nachzubilden. Ziel ist nicht, Ihre Firewall zu knacken. Ziel ist, Sie oder Ihre Mitarbeiter zu überzeugen, Geld zu überweisen oder sensible Daten preiszugeben. Der Angriff funktioniert nicht über technische Sicherheitslücken, sondern über menschliche. Vertrauen. Respekt vor der Hierarchie. Zeitdruck. Die Angst, den Chef zu enttäuschen. Das macht diese Masche so gefährlich und so erfolgreich zugleich. Wer das versteht, versteht auch, warum die beste Abwehr keine Software ist, sondern ein klarer Kopf und ein fester Prozess.

Die Technik dahinter ist erschreckend simpel. Die Täter sammeln öffentlich verfügbare Sprachproben aus Podcasts, YouTube-Videos oder Telefonaten. Eine KI braucht dafür nur wenige Sekunden Audio. Daraus generiert sie eine Stimme, die nicht nur klingt wie das Original, sondern auch dessen Tonfall, Sprechpausen und typische Floskeln imitiert. Das Ergebnis ist eine Nachricht, die selbst Menschen täuscht, die den Chef seit Jahren kennen.

Konkrete Anwendung/Beispiele

Die drei gefährlichsten Szenarien zeigen, wie vielseitig die Täter vorgehen. Szenario eins: Der "Chef" ruft an. Der Anruf kommt kurz vor Feierabend. Der vermeintliche Geschäftsführer ist in einem "wichtigen Meeting". Eine Sofortüberweisung an einen "neuen Lieferanten" muss sofort raus. Die Stimme klingt echt. Der Tonfall passt. Der Mitarbeiter gibt die Überweisung frei. Das Geld ist weg. Szenario zwei: Der "Lieferant" mit neuer IBAN. Ein Anruf vom Stammkunden oder Lieferanten. Die Rechnung ist höher als erwartet. Die Bankverbindung hat sich angeblich geändert. Die Stimme am Telefon bestätigt alles. Der Buchhalter ändert die IBAN im System. Die nächste Zahlung geht an die Betrüger. Der echte Lieferant bekommt kein Geld. Der Schaden verdoppelt sich: Verlust plus Lieferantenkonflikt.

Szenario drei: Der "Notfall" am Wochenende. Samstagmorgen. Der "Chef" ruft an. Ein wichtiges Projekt steht auf dem Spiel. Eine Sonderzahlung muss sofort raus. Wer prüft schon am Wochenende die Bankverbindung? Diese Angriffe passieren immer häufiger. Sie nutzen keine technischen Lücken. Sie nutzen menschliche. Vertrauen. Hierarchie. Zeitdruck.

Vergleich/Checkliste/Tabelle

Klassisches Phishing vs. KI-Deepfake-Phishing

Der Unterschied ist brutal. Beim klassischen Phishing merken Sie oft, dass etwas nicht stimmt. Beim Deepfake-Anruf merken Sie es nicht. Deshalb reichen die alten Regeln nicht mehr.

Checkliste: So schützen Sie Ihren Betrieb

• Callback-Verfahren: Rufen Sie bei ungewöhnlichen Anrufen auf der bekannten Nummer zurück. Nicht auf der Nummer, die der Anrufer nennt.

• Vier-Augen-Prinzip: Keine Überweisung über 10.000 Euro ohne zweite Person. Keine Ausnahmen. Nicht für den Chef. Nicht am Wochenende.

• Feste IBAN-Liste: Bankverbindungen werden nur schriftlich geändert. Nie am Telefon.

• Mitarbeiterschulung: Vierteljährlich über aktuelle Betrugsmaschen informieren. Auch für Azubis und Aushilfen.

• Sprachproben schützen: Podcasts, Videos, öffentliche Auftritte von Geschäftsführern überprüfen. Was online steht, kann missbraucht werden.

• Notfallkontakt: Eine interne Hotline, bei der Mitarbeiter verdächtige Anrufe melden können, ohne Angst vor Blamage zu haben.

Häufige Fehler / Mythen

"Das passiert doch nur Großunternehmen." Falsch. Die Täter gehen gezielt nach dem Geld. Und Handwerksbetriebe bewegen fünfstellige Summen, haben wenig IT-Sicherheit und entscheiden schnell. Genau das macht sie attraktiv. Lesen Sie auch Insolvenzrisiko durch Cyberangriffe, um zu verstehen, wie schnell ein Betrieb dabei zugrunde gehen kann.

"Ich erkenne meinen Chef doch an der Stimme." Nein, tun Sie das nicht. Nicht mehr. Moderne KI-Systeme brauchen drei Sekunden Audio, um eine Stimme täuschend echt zu klonen. Selbst Familienmitglieder lassen sich täuschen. Verlassen Sie sich nicht auf Ihr Ohr. Verlassen Sie sich auf Ihren Prozess.

"Wir haben doch nichts zu verbergen." Dieser Satz gehört zu den dümmsten im Digitalen. Es geht nicht um Verbergen. Es geht um Geld. Um Ihr Unternehmen. Um das Lebenswerk, das Sie über Jahrzehnte aufgebaut haben. Ein einziger Anruf kann genug Schaden anrichten, um das zu gefährden.

"Ein IT-Sicherheitskonzept ist zu teuer." Teurer als 500.000 Euro? Teurer als der Imageschaden, wenn ein Kunde merkt, dass Sie nicht zahlen können, weil Ihr Geld weg ist? Ein paar klare Regeln kosten nichts. Disziplin kostet nichts. Zurückrufen kostet zwei Minuten. Mehr zu den technischen Hintergründen lesen Sie unter KI-gestützte Cyberangriffe: Die neue Bedrohung für kritische Infrastruktur.

Nächster Schritt

KI-Deepfake-Phishing ist kein Zukunftsszenario. Es passiert jetzt. In deutschen Handwerksbetrieben. Mit echten Schäden. Aber Sie sind nicht machtlos. Rufen Sie Ihre Mitarbeiter nächste Woche zusammen. Machen Sie eine Übung. Legen Sie fest: Wer darf welche Zahlungen freigeben? Wie läuft eine IBAN-Änderung ab? Was passiert, wenn der Chef anruft und Geld fordert? Wenn Sie Unterstützung brauchen: In einem kostenlosen 15-Minuten-Gespräch zeige ich Ihnen, welche drei Maßnahmen Ihren Betrieb zuerst absichern. Kein Fear-Mongering, keine teure Software, nur pragmatische Regeln, die funktionieren. Termin vereinbaren.