Die neue Gefahr aus dem Netz: Wie KI-Deepfakes den digitalen Betrug um 40% nach oben treiben

Automatisierung im industriellen Maßstab. Der Betrug verlagert sich von einzelnen, wertvollen Angriffen hin zu automatisierten Massenattacken . Die Zahl der Identitätstäuschungen stieg allein im Jahr 2025 um über 1.400% . Diese Verschiebung ist so deutlich, dass die Zahl der Opfer selbst dort steigt, wo die Gesamtschäden gleich bleiben – ein Zeichen für industrialisierten, KI-automatisierten Betrug, der auf Masse ausgelegt ist .

Synthetischer Identitätsbetrug. Dieser hat die globale Finanzdienstleistungsbranche im Jahr 2024 schätzungsweise 22 Milliarden Dollar gekostet, 2025 waren es 31 Milliarden Dollar, und für 2026 wird ein Wert von über 40 Milliarden Dollar prognostiziert – mit Deepfake-Technologie als Haupttreiber . Hochwertiger Betrug mit KI-generierten Identitäten stieg im Jahresvergleich um 180% .

Deepfakes sind inzwischen für 11% aller weltweiten betrügerischen Aktivitäten verantwortlich, so Daten von Vectra AI . Deepfake-Identitätsbetrug ist auf dem besten Weg, von 2025 auf 2026 um 495% zuzunehmen . Allein im Finanzsektor ist die Zahl der Deepfake-Betrugsversuche seit 2022 um 2.137% gestiegen .

Wie 'Boss-Scams' KI-Sprachklonung und synthetische Videos nutzen

Bei einem Boss-Scam geben sich Betrüger als leitender Angestellter – CEO, Geschäftsführer oder CFO – aus, um Finanzteams zur Freigabe dringender Überweisungen zu bewegen. Die Methoden lassen sich in mehrere Kategorien einteilen:

KI-Sprachklonung. Kriminelle verwenden eine kurze Audio-Probe (oft von öffentlichen Telefonkonferenzen, aufgezeichneten Meetings oder Social-Media-Clips), um eine überzeugende Stimme zu synthetisieren . Die geklonte Stimme wird in Telefonaten oder Sprachnachrichten eingesetzt, die einen Mitarbeiter zur Überweisung von Geldern auffordern. Im Januar 2026 verlor ein Schweizer Unternehmer mehrere Millionen Schweizer Franken nach einer Reihe von Telefonaten, bei denen eine KI-geklonte Stimme einen vertrauten Geschäftspartner imitierte .

Deepfake-Videoanrufe. Der Arup-Fall ist das bekannteste Beispiel, aber kein Einzelfall. Im März 2025 autorisierte ein Finanzdirektor in Singapur Überweisungen in Höhe von rund 42 Millionen Dollar, nachdem er während eines Videoanrufs Anweisungen von einer Person erhalten hatte, die wie der CFO des Unternehmens aussah und klang . Die Angreifer verwendeten KI-generierte Video- und Audio-Reproduktionen des CFOs und anderer Führungskräfte .

Familiennotfall-Täuschung. Eine parallele Variante nutzt Sprachklonung, um einen Verwandten – oft ein Kind oder Enkelkind – zu imitieren, das angeblich einen Autounfall hatte, verhaftet wurde, entführt wurde oder einen medizinischen Notfall hat, um sofortige Zahlungen zu fordern . Dokumentierte Verluste aus Deepfake-Familiennotfall-Betrügereien übersteigen 5 Millionen Dollar .

Multi-Channel-Taktiken. Betrüger nutzen WhatsApp, E-Mail, Microsoft Teams und Telefonanrufe, um ein Gefühl von Autorität und Dringlichkeit zu erzeugen. Sie recherchieren oft öffentlich zugängliche Informationen, um die Täuschung überzeugender zu machen, und setzen die Opfer mit falscher Dringlichkeit und Vertraulichkeit unter Druck . Im Juli 2026 klagte die US-Bundesstaatsanwaltschaft 14 Angeklagte in einem 47-Millionen-Dollar-Deepfake-Betrugsschema an, das sich durch die Vorspiegelung, Bankangestellte oder Familienmitglieder zu sein, gegen über 1.200 ältere Menschen richtete .

Warum die Identitätsprüfungssysteme der Banken versagen

Banken und Fintech-Unternehmen haben das letzte Jahrzehnt damit verbracht, eine Fernidentitätsprüfung nach einem einfachen Muster aufzubauen: Ausweis zeigen, Selfie machen, vielleicht einen kurzen Lebenstest. Im Jahr 2026 versagt dieses Muster auf messbare Weise.

Ausweis + Selfie KYC wird überwunden. Die Standardprüfung mit Ausweis und Selfie wird durch Gesichtstausch- und Kamera-Injektions-Tools ausgehebelt. Bei Injektionsangriffen – bei denen Angreifer ein vorab aufgenommenes Deepfake-Video direkt in einen Live-Kamerastream einspeisen – stieg die Zahl allein im Jahr 2024 um 783% . Deepfake-Gesichtstäuschungen umgehen standardmäßige Lebenstests in 58% der Fälle .

Synthetische Identitäten umgehen die Kontoeröffnung. Betrüger verändern Fotos auf gestohlenen oder verlorenen Ausweisen und bestehen mit Deepfakes die Fernprüfung. Sie eröffnen dann Konten, die für Kredite, Kreditkartenbetrug und Geldwäsche genutzt werden . Bei jedem 100. Prüfversuch ist inzwischen eine Form von Deepfake im Spiel .

Injektions- und Replay-Angriffe sind standardisiert. Angreifer verwenden Tools wie OBS Virtual Camera oder spezielle Treiber, um einen vorab aufgezeichneten oder KI-generierten Videostream in eine Prüfungssitzung einzuspeisen . Diese Software wird inzwischen als Massenware verkauft .

Das Ausmaß ist überwältigend. Deepfake-Betrugsversuche in den USA stiegen allein im ersten Quartal 2025 um 1.100% . Schätzungsweise 85% aller Identitätsbetrugsfälle nutzen inzwischen generative KI-Tools . Der Entrust Identity Fraud Report 2026 zeigt, dass Deepfakes mit jedem fünften biometrischen Betrugsversuch in Verbindung stehen, und die Zahl der Deepfake-Selfies stieg 2025 um 58% .

SEBI-Warnungen zu Boss-Scams (Juli 2026)

Die indische Wertpapier- und Börsenaufsichtsbehörde (SEBI) hat am 17. Juli 2026 eine offizielle Mitteilung (Pressemitteilung Nr. 40/2026) herausgegeben, in der alle börsennotierten Unternehmen und regulierten Einrichtungen vor dem Boss-Scam gewarnt werden . Die Kernpunkte der Mitteilung:

• SEBI erklärte, dass Betrüger Deepfake-Sprachklonung und KI-generierte Videoanrufe einsetzen, um leitende Angestellte zu imitieren und Finanzabteilungen zur Überweisung von Geldern zu bewegen .
• Anlass für die Mitteilung waren Warnungen des Indian Cyber Crime Coordination Centre (I4C) .
• SEBI forderte die Unternehmen auf, strengere Prüfverfahren für alle Geldtransfers einzuführen, darunter eine Bestätigung auf einem anderen Weg (z. B. Rückruf unter einer bekannten, unabhängig geprüften Nummer) und die Zustimmung mehrerer Personen für Zahlungen über bestimmten Schwellenwerten .
• Die Behörde warnte, dass Betrüger öffentlich zugängliche Informationen recherchieren, um überzeugende Täuschungen zu inszenieren, und die Opfer oft mit vorgetäuschter Dringlichkeit und Vertraulichkeit unter Druck setzen .

SEBIs Warnung ist Teil eines größeren Trends. Im vierten Quartal 2025 gab das US-amerikanische Financial Crimes Enforcement Network (FinCEN) eine Warnung an Finanzinstitute bezüglich Deepfake-Einsatz bei Identitätsbetrug heraus . Auch das Europäische Parlament, INTERPOL und mehrere nationale Aufsichtsbehörden haben ähnliche Warnungen ausgesprochen .

Was Unternehmen jetzt tun können

Aufsichtsbehörden und Sicherheitsexperten empfehlen übereinstimmend dieselben Maßnahmen:

• Bestätigung auf einem anderen Weg. Genehmigen Sie eine Überweisung niemals nur aufgrund eines Telefonats, Videoanrufs oder einer E-Mail. Rufen Sie die Person unter einer bekannten, unabhängig geprüften Nummer zurück – nicht unter der Nummer, die Sie angerufen hat .
• Zustimmung mehrerer Personen. Verlangen Sie mindestens zwei Freigaben für Zahlungen über einer bestimmten Schwelle .
• Transaktionslimits. Legen Sie tägliche oder auf die einzelne Transaktion bezogene Limits fest, die eine Eskalation erforderlich machen .
• Mitarbeiterschulung. Finanzteams müssen wissen, dass eine vertraute Stimme oder ein vertrautes Gesicht am Telefon oder im Video kein zuverlässiger Identitätsnachweis mehr ist .
• Kontinuierliches KYC. Das alte Prinzip 'Einmal bei Kontoeröffnung prüfen' reicht nicht mehr aus. Eine kontinuierliche Überwachung von Identität und Verhalten wird notwendig .

Wie ein Branchenbeobachter es formulierte: "Im digitalen Zeitalter wird Vertrauen zur Waffe. Da Sprachklonung, Deepfake-Technologien und Betrug-as-a-Service-Plattformen leicht zugänglich sind, brauchen Ermittler integrierte forensische Plattformen, Echtzeit-Informationsaustausch und neue Beweisstrukturen" .

Die Schlussfolgerung ist einfach, aber unbequem: Die sensorischen Hinweise, auf die wir uns immer verlassen haben, um zu wissen, mit wem wir sprechen – eine vertraute Stimme, ein wiedererkennbares Gesicht – sind nicht mehr vertrauenswürdig. Organisationen müssen Prüfverfahren aufbauen, die davon ausgehen, dass jeder Kommunikationskanal kompromittiert sein könnte.