Vom Phishing zum Deepfake-Phishing
Phishing ist eine Bedrohung, mit der Unternehmen seit Jahren vertraut sind. Sicherheitsteams haben in Schulungen, Spam-Filter und Erkennungsrichtlinien für verdächtige E-Mails investiert und dabei konkrete Ergebnisse gegen die einfachsten Angriffe erzielt. Dennoch entwickelt sich die Bedrohungslandschaft in eine Richtung, die die Wirksamkeit dieser Schutzmaßnahmen erheblich verringert: die Kombination bewährter Phishing-Techniken mit Audio- und Video-Deepfakes.
Zwei Szenarien verdeutlichen diese Veränderung besonders gut.
- Im ersten Szenario erhält der CFO eines Industrieunternehmens einen Anruf von der Nummer des CEO. Die Stimme klingt vertraut, der Ton ebenfalls – und die Anfrage ist dringend: eine Überweisung, die noch am selben Tag ausgeführt werden soll, um eine vertrauliche Akquisition abzuschließen.
- Im zweiten Szenario erhält ein Finanzverantwortlicher ein kurzes, auf einer Collaboration-Plattform aufgezeichnetes Video: Ein „interner“ Führungsverantwortlicher bittet darum, die Bankverbindung eines Lieferanten vor dem Monatsabschluss zu aktualisieren. In beiden Fällen sind Stimme und Gesicht synthetisch – generiert von einem KI-System.
Deepfake-Phishing ist jedoch kein Nischenphänomen, das ausschließlich große internationale Konzerne betrifft. Im Gegenteil: Die zunehmende Verfügbarkeit kostengünstiger Sprach- und Videosynthese-Tools in Kombination mit der Leichtigkeit, Audio- und Videosamples aus öffentlichen Profilen von Führungskräften zu gewinnen, senkt die Einstiegshürde für Angreifer erheblich.
Was ist ein Deepfake und wie hängt er mit Phishing zusammen?
Der Begriff Deepfake bezeichnet Audio-, Video- oder Bildinhalte, die mithilfe von Deep-Learning-Techniken generiert oder manipuliert werden, um Gesichter, Stimmen und das Verhalten realer Personen realistisch nachzuahmen. Dieselben Technologien, die im kreativen und filmischen Bereich eingesetzt werden, dienen heute dazu, hochgradig überzeugende betrügerische Nachrichten zu erstellen.
Der Zusammenhang mit Phishing ist direkt: Deepfakes verstärken die Social-Engineering-Komponente, indem sie Anfragen, die normalerweise mit größerer Sorgfalt geprüft würden, visuelle und akustische Glaubwürdigkeit verleihen. Eine verdächtige E-Mail löst instinktiv einen Überprüfungsmechanismus aus – ein Anruf mit der Stimme des eigenen Vorgesetzten oder ein Video mit seinem Gesicht hingegen hemmt diesen Mechanismus.
Hinzu kommt ein von mehreren Anbietern und Forschern gemeldeter Trend: Deepfakes werden zunehmend eingesetzt, um biometriebasierte Identity-Verification-Systeme zu umgehen, etwa Liveness-Detection-Kontrollen, die bei digitalen Onboarding-Prozessen verwendet werden. Die Angriffsfläche erstreckt sich damit weit über das E-Mail-Postfach hinaus.
Häufige Deepfake-Phishing-Szenarien im Unternehmensumfeld
Die Identifikation konkreter Angriffsvektoren hilft Sicherheitsteams dabei, das Risiko in praktische Maßnahmen zu übersetzen. Drei Szenarien tauchen in den Analysen der Cyber Threat Intelligence besonders häufig auf.
BEC-Betrug mit Voice- und Video-Deepfakes
Der BEC-Angriff (Business-E-Mail Compromise) entwickelt sich zum Business Voice Compromise weiter. Der Angreifer klont die Stimme einer Führungskraft – CEO, CFO oder Vertriebsleiter – und nutzt dafür online verfügbare Audiosamples: Interviews, Webinare, offizielle Videos.
Der Anruf erreicht das Finance-Team oder einen Mitarbeiter mit Zahlungsbefugnis mit einer dringenden und vertraulichen Anfrage. Die Video-Variante erhöht die Glaubwürdigkeit zusätzlich: ein kurzer Clip in einem Videoanruf oder eine auf Teams oder Zoom vorab aufgezeichnete Nachricht.
Dringlichkeit ist ein zentrales Element dieses Schemas: „Genehmige es sofort, wir formalisieren das nachher“ oder „Informiere keine anderen Abteilungen, das ist vertraulich.“ Diese Anweisungen zielen darauf ab, die Zwei-Augen-Genehmigungsverfahren zu umgehen.
Umgehung von Identity Verification und KYC
Digitale Identitätsüberprüfungssysteme, die für das Onboarding von Kunden, Lieferanten oder Mitarbeitern aus der Ferne eingesetzt werden, basieren häufig auf biometrischen Kontrollen wie Gesichtserkennung, Liveness Detection und dem Abgleich mit Ausweisdokumenten.
Deepfakes der neuesten Generation sind in der Lage, einige dieser Kontrollen zu überwinden und so die Erstellung synthetischer Identitäten oder den Identitätswechsel bei digitalen Onboarding-Prozessen zu ermöglichen. Das Risiko ist besonders relevant für Unternehmen mit digitalisierten KYC-Prozessen, die in regulierten Branchen tätig sind oder über internationale Lieferketten verfügen.
Kompromittierung interner Prozesse und der Lieferkette
Ein dritter Angriffsvektor betrifft die Lieferkette: Audio- oder Videonachrichten, die Kommunikationen von Lieferanten, Partnern oder internen Verantwortlichen simulieren, um Vertragsänderungen, Änderungen von Zugangsdaten oder die Validierung von Finanztransaktionen zu erwirken. Dieses Szenario kombiniert sich häufig mit Spear-Phishing-Techniken per E-Mail, bei denen der Deepfake als glaubwürdige Bestätigung einer bereits schriftlich eingeleiteten Anfrage fungiert.
Das gemeinsame Merkmal dieser drei Szenarien ist die Verlagerung des Angriffsvektors weg vom E-Mail-Postfach hin zu als vertrauenswürdiger geltenden Kanälen: Sprache, Video und Collaboration-Plattformen.
Warum klassische Phishing-Schutzmaßnahmen nicht mehr ausreichen
Die klassischen Abwehrmaßnahmen gegen Phishing – E-Mail-Filterung, Link-Analyse, grundlegende Schulungen zur Erkennung verdächtiger Nachrichten – wurden für ein Angriffsmodell konzipiert, das auf schriftlicher Kommunikation basiert. Deepfake-Phishing operiert auf einer anderen Ebene.
Generisches Training lehrt Mitarbeiter, E-Mails von unbekannten Absendern, verkürzten Links oder ungewöhnlicher Dringlichkeit zu misstrauen. Doch wenn die Kommunikation per Telefon mit der Stimme des eigenen Vorgesetzten erfolgt oder über ein Video auf einer internen Plattform, werden die in Standardschulungen erlernten Warnsignale irrelevant. Der „Sehbeweis“ und der „Hörbeweis“ erzeugen ein Vertrauensgefühl, das eine E-Mail niemals erzeugt hätte.
Auf Prozessebene verschärft sich das Problem in Unternehmen, in denen kritische Entscheidungen noch immer in Telefonaten oder über informelle Kanäle getroffen werden, ohne strukturierte Freigabe-Workflows. Das Vertrauen in den Sprach- oder Videokanal wird damit zu einem systemischen Angriffspunkt.
Die Antwort erfordert einen Identity-zentrierten Ansatz und Zero Trust, der auch auf Finanz- und Genehmigungsprozesse ausgeweitet wird: Kein kritischer Vorgang – Zahlungen, IBAN-Änderungen, privilegierte Zugriffe – darf auf Basis einer einzigen Quelle autorisiert werden, unabhängig von der scheinbaren Vertrauenswürdigkeit des Kanals.
Maßnahmen und Prozesse gegen Deepfake-Phishing strukturieren
Immer über einen unabhängigen Kanal verifizieren
Die erste Verteidigungslinie ist organisatorischer Natur und erfordert keine zusätzliche Technologie. Kein kritischer Vorgang sollte auf Basis einer einzigen Kommunikation – ob Audio oder Video – autorisiert werden, so überzeugend sie auch sein mag. Die operative Regel lautet: Verifizierung über einen zweiten, unabhängigen Kanal – ein Bestätigungsanruf über eine bekannte und vorab gespeicherte Nummer, eine separate E-Mail oder ein direkter Kontakt mit dem Büro.
Doppelte Genehmigungsverfahren und mehrstufige Workflows für sensible Finanztransaktionen müssen in schriftlichen Richtlinien formalisiert und allen Mitarbeitern mit operativer Entscheidungsbefugnis bekannt sein. Die Kultur der Verifizierung muss aufgebaut werden, bevor ein Angriff erfolgt – nicht als Reaktion auf einen Vorfall.
Schulungen mit Voice- und Video-Szenarien aktualisieren
Programme zur Cybersecurity Awareness müssen aktualisiert werden, um die Weiterentwicklung der Angriffstechniken widerzuspiegeln. Die Botschaft, die heute an Mitarbeiter mit operativer Entscheidungsbefugnis vermittelt werden sollte, lautet nicht mehr nur „erkennen Sie den Phishing-Link“, sondern: „Eine vertraute Stimme oder ein vertrautes Gesicht sind kein Echtheitsbeweis – verifizieren Sie immer über einen separaten Kanal.“
Phishing-Simulationskampagnen – oder Phishing Campaigns – werden über ihre reine Schulungsfunktion hinaus auch zum Messinstrument: Szenarien mit synthetischen Sprachanrufen oder vorab aufgezeichneten kurzen Videoclips ermöglichen es, zu bewerten, inwieweit das Personal die Verifizierungsverfahren in der Praxis anwendet – und wo die Verhaltenslücken am kritischsten sind. Tools wie der Continuous Penetration Test auf diesen Vektoren ergänzen die Bewertung um eine kontinuierliche technische Perspektive.
Monitoring über das E-Mail-Postfach hinaus ausweiten
Deepfake-Phishing-Angriffe operieren selten isoliert: In den meisten dokumentierten Fällen geht der Voice- oder Video-Komponente eine Phishing-E-Mail voraus oder begleitet sie, die den Boden bereitet. Ein fortschrittliches System zur E-Mail Security bleibt daher ein relevanter Schutz – aber für sich allein nicht ausreichend.
Das auf Endpoints, Identitäten, Collaboration-Plattformen und Netzwerkverkehr ausgeweitete Monitoring – über XDR-Kapazitäten oder Managed-Detection-and-Response-Dienste (wie den Managed Extended Detection and Response-Dienst) – ermöglicht es, anomale Aktivitäten zu erkennen, die einem Angriff häufig vorausgehen: Aufklärung über Unternehmenskommunikation, ungewöhnliche Zugriffe auf Repositories öffentlicher Audio- und Videoinhalte, Veränderungen in Authentifizierungsmustern. Eine frühzeitige Erkennung in dieser Phase reduziert das Expositionsfenster erheblich.
Den Aktionsradius durch Authentifizierung und Zugriffskontrolle einschränken
Selbst wenn ein Deepfake-Angriff erfolgreich ist und ein Mitarbeiter dazu gebracht wird zu handeln, hängt das Schadensausmaß davon ab, was der Angreifer mit den erlangten Zugangsdaten oder Berechtigungen tun kann. Starke MFA, passwortlose Authentifizierung und die Verwaltung privilegierter Zugriffe schränken diesen Aktionsradius strukturell ein.
Ein ausgereiftes Identity-Governance-Modell mit nach dem Prinzip der minimalen Rechtevergabe kalibrierten Zugriffsrechten, regelmäßiger Überprüfung der Berechtigungen und Monitoring privilegierter Aktivitäten wirkt dem Deepfake-Vektor in der Tiefe entgegen: Gelingt die Täuschung dennoch, bleibt der Schadensradius begrenzt.
Deepfake-Phishing und das Assessment-&-Resilience-Programm
Unternehmen mit strukturierten Security-Assessment-Programmen behandeln neue Bedrohungen als neue Dimensionen, die in bestehende Tests integriert werden müssen – nicht als separate, isoliert zu verwaltende Kategorien.
Deepfake-Phishing folgt dieser Logik: Es muss in den Resilienzbewertungszyklus einbezogen werden, neben klassischen BEC-Szenarien, E-Mail-Phishing-Simulationen und Tests der Finanzgenehmigungsprozesse.
Ein strukturiertes Assessment-&-Resilience-Programm, das diese Dimension einschließt, kann vorsehen:
- Simulationen von Deepfake-Voice- und Video-Szenarien in Phishing-Tests, um die Fähigkeit des Personals zur Anwendung der Verifizierungsverfahren zu messen.
- Überarbeitung der Anti-BEC-Verfahren im Hinblick auf die neuen Vektoren: Aktualisierung der Genehmigungsworkflows, Überprüfung von Befugnissen und Genehmigungsketten.
- Bewertung der für das digitale Onboarding und KYC-Prozesse eingesetzten Identity-Verification-Systeme, mit gezielten Tests der Liveness-Detection-Kapazitäten.
- Incident-Response-Plan, der auch Reputations- und Kommunikationskomponenten umfasst: Ein Deepfake, der eine Führungskraft einbezieht, erfordert auch ein Management der externen Kommunikation.
Den eigenen Reifegrad der Prozesse im Hinblick auf das Deepfake-Phishing-Risiko mit einem spezialisierten Partner zu bewerten – beginnend bei den BEC-Workflows und den E-Mail-Security-Schutzmaßnahmen – ist der konkreteste Ausgangspunkt für Unternehmen, die ihre Security-Posture aktualisieren wollen.
Deepfake-Phishing: Kultur, Prozesse und Technologien aktualisieren
Deepfake-Phishing ist ein Beispiel dafür, wie Technologien, die in völlig anderen Kontexten entstanden sind, in weit kürzerer Zeit für betrügerische Zwecke umgelenkt werden, als Organisationen ihre Schutzmaßnahmen aktualisieren können. Mit dieser Entwicklung Schritt zu halten, ist ein integraler Bestandteil einer reifen Sicherheitskultur.
Die Bewältigung dieser Bedrohung erfordert einen Perspektivwechsel – noch vor dem Einsatz neuer Tools. Unternehmen, die Cyberrisiken wirksam managen, investieren kontinuierlich in die Sensibilisierung des Personals, in die Aktualisierung interner Prozesse und in Technologien, die anomales Verhalten auf der gesamten Angriffsfläche erkennen können.
Die Qualität dieser Investitionen hängt in hohem Maße von der Fähigkeit ab, spezialisierte Partner zu wählen, die in der Lage sind, die Entwicklung der Bedrohungen in konkrete und auf den Unternehmenskontext abgestimmte Maßnahmen zu übersetzen.
FAQ
Was ist Deepfake-Phishing in einfachen Worten?
Deepfake-Phishing ist eine Betrugstechnik, die KI-generierte Audio- oder Videoinhalte – die Stimme oder das Gesicht einer realen Person nachahmen können – mit klassischen Phishing-Methoden kombiniert, um das Opfer zu schädlichen Handlungen zu bewegen, etwa einer Zahlungsfreigabe oder der Preisgabe von Zugangsdaten. Der Unterschied zum klassischen Phishing besteht darin, dass der Angriffsvektor vom schriftlichen E-Mail-Kanal auf Sprach- und Videokanäle verlagert wird, bei denen die wahrgenommene Authentizität deutlich höher ist.
Worin unterscheidet sich Deepfake-Phishing von klassischem Phishing?
Klassisches Phishing operiert auf schriftlichen Kanälen, bei denen Signale wie unbekannter Absender, verdächtige Links oder ungewöhnlicher Ton mit der richtigen Schulung erkannt werden können. Deepfake-Phishing nutzt das instinktive Vertrauen aus, das Menschen der Stimme oder dem Gesicht einer vertrauten Person entgegenbringen, und umgeht damit die gegen betrügerische E-Mails entwickelten Alarmmechanismen.
Welche Unternehmen sind am stärksten durch Deepfake-Phishing gefährdet?
Das Risiko ist besonders hoch in Organisationen mit kritischen Finanzprozessen, die auch über Sprachkanäle abgewickelt werden, mit informellen Genehmigungsverfahren oder mit digitalen Identity-Verification-Systemen, die auf Biometrie basieren. Die Unternehmensgröße ist ein Faktor, aber nicht der ausschlaggebende: Entscheidender sind die Struktur der Genehmigungsprozesse und der Formalisierungsgrad der Verifizierungsverfahren.
Was ist der erste Schritt, um ein Unternehmen vor Deepfake-Phishing zu schützen?
Der Ausgangspunkt ist zu prüfen, ob bereits Bestätigungsverfahren über einen Sekundärkanal für kritische Vorgänge – Überweisungen, IBAN-Änderungen, privilegierte Zugriffe – existieren und ob das Personal mit operativer Entscheidungsbefugnis diese kennt und anwendet. Diese Analyse erfordert keine Technologieinvestitionen und legt die kritischsten Lücken sofort offen.
