Deepfake im Videogespräch: Wie prüfe ich mein Gegenüber?

Das Problem

Sie sind in einem Videogespräch mit einer Person, die Sie nur flüchtig oder gar nicht kennen. Oder Sie sehen scheinbar Ihre Vorgesetzte auf dem Bildschirm. Am Ende des Gesprächs sollen Sie etwas freigeben: eine Zahlung, einen Zugang, eine Datei oder eine Änderung von Kontodaten.

Bisher galt ein Videoanruf als ziemlich sicher: Man sieht ja, wer da spricht. Heute lassen sich Gesicht und Stimme mit KI in Echtzeit nachbilden. Deepfake bedeutet, dass Bild oder Ton mit KI so verändert wurden, dass sie echt wirken. Auch wenn solche Angriffe selten und aufwendig sind, kommen sie vor.

Das Schwierige: Sie können sich nicht darauf verlassen, dass Sie eine Fälschung bemerken. Entscheidend ist deshalb nicht, ob Sie eine Fälschung erkennen, sondern wie Sie sich absichern.

So lösen Sie es mit KI – Schritt für Schritt

1. Fragen Sie sich, was verlangt wird. Geht es um Geld, Passwörter, Zugänge oder vertrauliche Dateien? Je grösser die Folgen, desto sicherer muss die Bestätigung sein.
2. Erkennen Sie die Druckmuster. Zeitdruck, Geheimhaltung («sagen Sie es niemandem») und Ausnahmen vom üblichen Ablauf sind typische Zeichen. Sagen Sie ruhig: «Ich bestätige das kurz und melde mich.»
3. Beenden Sie das Gespräch. Sie müssen nichts im laufenden Gespräch freigeben. Sie dürfen auflegen, auch wenn die Person Ärger zeigt.
4. Wählen Sie einen zweiten Kanal. Rufen Sie die Person über eine bereits bekannte Nummer an oder schreiben Sie über die firmeninterne Nachrichtenfunktion. Nutzen Sie keine Nummer und keinen Link aus dem Gespräch.
5. Bestätigen Sie das Anliegen genau. Fragen Sie nach dem Betrag, dem Empfänger und dem Grund. Das Vorgehen bei Zahlungen beschreibt die Seite Zahlungsauftrag vom Chef prüfen.
6. Halten Sie die internen Regeln ein. Wenn Ihr Betrieb ein Vier-Augen-Prinzip (zwei Personen geben frei) kennt, gilt es auch bei dringenden Aufträgen. Ein Video ersetzt keine Freigabe.
7. Melden Sie den Vorfall. Informieren Sie die IT oder die Geschäftsleitung, auch wenn nichts passiert ist. So können andere gewarnt werden.

Vorlage zum Kopieren

Mit einer KI können Sie einen einfachen Bestätigungsablauf für Ihr Team entwerfen:

Ich arbeite in einem Betrieb mit [Anzahl] Mitarbeitenden in der Branche [Branche].
Entwirf eine einseitige Anleitung «Videogespräch: Identität bestätigen».
Sie soll enthalten:
1. Wann eine Bestätigung über einen zweiten Kanal nötig ist (Geld, Zugänge, Daten),
2. einen Ablauf in fünf Schritten für Mitarbeitende ohne IT-Kenntnisse,
3. einen Beispielsatz, mit dem man ein Gespräch höflich unterbricht,
4. wen man bei Verdacht informiert: [Name/Funktion der Meldestelle].
Verwende einfache Sprache und erfinde keine Fristen oder Gesetze.

Passen Sie Branche, Meldestelle und Schwellen an Ihren Betrieb an und lassen Sie die Anleitung von der Geschäftsleitung freigeben.

Warnzeichen im Videogespräch

Worauf Sie achten müssen

• Bildfehler sind kein sicherer Test. Man hört oft, man solle das Gegenüber bitten, die Hand vor das Gesicht zu halten oder den Kopf zu drehen. Solche Tricks helfen manchmal, aber nicht verlässlich und werden mit der Technik schlechter.
• Rufen Sie nicht über eine Nummer aus dem Gespräch zurück. Sonst landen Sie wieder bei der Täuschung. Nutzen Sie Verzeichnisse, die Sie schon vorher hatten.
• Aufzeichnungen und Datenschutz. Ob und wie Gespräche aufgezeichnet werden dürfen, hängt vom Fall ab. Klären Sie das mit der Datenschutzverantwortlichen oder einer Rechtsberatung.
• Keine Schuldzuweisung. Ein überzeugendes Videogespräch kann jede Person täuschen. Wichtig ist, dass Mitarbeitende Rückfragen stellen dürfen, ohne Nachteile zu befürchten.
• Keine unbekannten Prüfprogramme im Gespräch. Das Installieren von Zusatzsoftware während eines Anrufs kann selbst gefährlich sein.

Das Bundesamt für Cybersicherheit nennt nachgeahmte Stimmen und Bilder als Betrugsmittel und empfiehlt, Angaben über einen zweiten Kanal zu bestätigen (BACS).

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Frau Müller arbeitet im Sekretariat einer Ingenieurfirma in Zug. Sie wird in ein kurzfristiges Videogespräch eingeladen. Auf dem Bildschirm erscheint der Geschäftsführer und bittet sie, eine Anzahlung an einen neuen Lieferanten auszulösen, «streng vertraulich».

Vorher hätte sie die Zahlung vorbereitet. Nachher sagt sie, sie melde sich gleich, und ruft den Geschäftsführer über seine gespeicherte Nummer an. Er hat kein Gespräch geführt. Die Firma informiert die Bank und alle Mitarbeitenden. Es wurde nichts überwiesen.

Was gilt bei Gesprächen mit Kundschaft?

Auch bei externen Gesprächen mit neuen Kundinnen oder Lieferanten gilt: Verlangt jemand Zugangsdaten oder Zahlungen, bestätigen Sie die Angaben über eine Adresse, die Sie selbst gefunden haben, etwa die Website oder das Handelsregister. Geben Sie dabei keine internen Informationen preis, bevor die Identität geklärt ist.

Bei Einladungen zu unbekannten Konferenzen mit Links gilt dasselbe wie bei verdächtigen E-Mails: nicht blind anklicken. Siehe dazu auch Phishing im bestehenden Mailverlauf.

So hilft Ihnen Alpasana

Die KI-Praxiskurse von absofort behandeln Phishing, Deepfakes und betriebliche KI-Richtlinien. So können Sie mit Ihrem Team üben, Videogespräche und Freigaben sicherer zu gestalten.

Konkrete Zahlungs- und Zugriffsregeln legen Sie intern fest. Die Kurse unterstützen bei Verständnis und Training, ersetzen aber keine Prüfung durch Ihre IT oder Bank.

Häufige Fragen

Soll ich bei jedem Videogespräch misstrauisch sein?

Nein. Für normale Gespräche reicht gesundes Vertrauen. Erst wenn Geld, Zugänge oder vertrauliche Daten betroffen sind, brauchen Sie eine Bestätigung über einen zweiten Kanal.

Was, wenn die Person wirklich in Eile ist?

Eine echte Vorgesetzte hat Verständnis für eine kurze Rückfrage. Wer Rückfragen verbietet, handelt verdächtig. Auch ein Hinweis auf die interne Regel hilft.

Gibt es technische Hilfsmittel für Videokonferenzen?

Manche Anbieter bieten Funktionen wie Warteräume, Teilnehmerlisten oder Anmeldung. Sie senken Risiken, ersetzen aber die Bestätigung nicht. Ein Überblick zu Schulung im Team steht auf Deepfake-Schulung im Team.