Deepfakes und Unternehmensbetrug erhöhen die Anforderungen an die Verifizierung

Zusammenfassung der Meldung

Die Fähigkeit, immer überzeugendere synthetische Stimmen, Bilder und Videos zu erzeugen, verändert einen Grundsatz, den viele Unternehmen für selbstverständlich hielten: Eine Person wiederzuerkennen reicht nicht mehr aus, um eine Anweisung zu bestätigen.

Das Risiko ist besonders bei Betrug durch Social Engineering relevant. Angreifer können versuchen, die Stimme einer Führungskraft nachzuahmen, einen Videoanruf vorzutäuschen oder generiertes Material mit öffentlich verfügbaren Informationen zu kombinieren, um einer dringenden Anfrage Glaubwürdigkeit zu verleihen. Ziel ist meist, eine Zahlung auszulösen, eine Bankverbindung zu ändern oder interne Daten zu erhalten.

Die Gegenmaßnahmen müssen technisch nicht kompliziert sein. Tatsächlich betreffen einige der wirksamsten Maßnahmen die Abläufe. Änderungen von Bankverbindungen über einen anderen Kanal zu verifizieren, für sensible Vorgänge eine Freigabe nach dem Vier-Augen-Prinzip zu verlangen oder in Ausnahmesituationen vereinbarte Kennwörter zu verwenden, verringert die Abhängigkeit von Erscheinungsbild oder Stimme.

Außerdem sollten Teams darin geschult werden, bei Zeitdruck misstrauisch zu werden. Bei Betrugsversuchen wird häufig Druck ausgeübt, um Kontrollen zu umgehen, etwa mit dem Hinweis auf einen vertraulichen Vorgang, einen unmittelbar bevorstehenden Abschluss oder die Unmöglichkeit, das übliche Verfahren einzuhalten.

Erkennungstools können helfen, dürfen aber nicht zur einzigen Schutzmaßnahme werden. Die Qualität generierter Inhalte entwickelt sich rasant weiter und jedes automatische System kann Fehler machen.

Die Schlussfolgerung ist klar: Die Authentifizierung wichtiger Entscheidungen muss auf überprüfbaren Prozessen beruhen, nicht allein auf menschlichen Signalen.

Unternehmen können diese Bedrohungen in ihre regelmäßigen Übungen einbeziehen. Ein Anruf, der scheinbar von der Geschäftsleitung kommt und eine dringende Zahlung verlangt, ist ein einfaches Szenario, um zu prüfen, ob die Kontrollen auch unter Druck funktionieren. Ziel ist nicht, jemanden zu überführen, sondern zu überprüfen, ob der Prozess eine sichere Entscheidung ermöglicht, selbst wenn die Anfrage überzeugend wirkt.