Der Fall Arup

Anfang 2024 wurde bekannt, dass ein Mitarbeiter der Hongkonger Niederlassung des britischen Ingenieurbüros Arup Opfer eines Deepfake-Betrugs geworden war. Nach einer Nachricht des vermeintlichen Finanzchefs nahm er an einer Videokonferenz teil, in der mehrere ihm bekannte Kollegen zu sehen und zu hören waren. Alle waren KI-Fälschungen. Er veranlasste daraufhin 15 Überweisungen im Gesamtwert von rund 25 Millionen US-Dollar.

Der Fall zeigt, dass auch Misstrauen nicht ausreicht: Der Mitarbeiter war anfangs skeptisch. Die Videokonferenz mit vertrauten Gesichtern hat seine Zweifel ausgeräumt.

So läuft ein Angriff typischerweise ab

  1. Recherche: Öffentliche Videos, Interviews und Podcasts der Führungskraft werden gesammelt
  2. Vorbereitung: Stimme oder Gesicht werden mit KI-Werkzeugen geklont
  3. Kontakt: Eine Nachricht über E-Mail oder Messenger kündigt ein vertrauliches Anliegen an
  4. Druck: Anruf oder Videocall mit dringender, geheimer Bitte, etwa eine Übernahme oder eine Strafzahlung
  5. Auszahlung: Überweisung auf ein Konto, das schnell weitergeleitet wird

Warum Erkennen allein nicht hilft

Früher galten unnatürliches Blinzeln, unscharfe Ränder oder abgehackte Sprache als Hinweise. Diese Merkmale werden mit jeder Generation von Werkzeugen seltener, und bei schlechter Verbindung im Videocall fallen sie ohnehin nicht auf. Auf das Erkennen von Fälschungen zu setzen, ist daher keine verlässliche Strategie.

Prozesse, die wirklich schützen

  • Rückruf über eine bekannte, hinterlegte Nummer, nie über die im Anruf genannte
  • Vier-Augen-Prinzip und feste Freigabewege für Zahlungen, die auch der Geschäftsführer nicht umgehen darf
  • Codewort oder Kontrollfrage für außergewöhnliche Anweisungen der Geschäftsführung
  • Klare Regel: Geheimhaltung gegenüber dem eigenen Team ist ein Warnsignal
  • Führungskräfte kündigen selbst an, dass sie solche Anweisungen nie per Anruf oder Videocall erteilen
  • Regelmäßige Übungen mit realistischen Szenarien für Finanz- und Assistenzbereiche

Wenn es passiert ist

  1. Sofort die eigene Bank kontaktieren und einen Rückruf der Zahlung veranlassen
  2. Polizei informieren und Anzeige erstatten
  3. Informationssicherheit und Geschäftsführung über einen bekannten Kanal informieren
  4. Kommunikationsverlauf sichern
  5. Prüfen, ob weitere Personen kontaktiert wurden