IT-Sicherheit

KI-Phishing, Deepfakes und CEO-Fraud: So schützen KMU ihre Mitarbeiter vor perfekt gefälschten Betrugsversuchen

Von Christopher Schütz · Juli 2026 · 9 Min. Lesezeit
Die gefährlichste Sicherheitslücke sitzt selten im Server, sondern am Schreibtisch. Angreifer wissen das und setzen inzwischen Künstliche Intelligenz ein, um genau diese menschliche Ebene anzugreifen. Die Zeiten holpriger Phishing-Mails mit Rechtschreibfehlern sind vorbei. Heute klingen betrügerische E-Mails fehlerfrei und persönlich, und am Telefon meldet sich eine Stimme, die exakt wie der eigene Chef klingt.

Warum KI Betrug auf ein neues Niveau hebt

Früher waren gefälschte Nachrichten oft an schlechter Sprache oder plumpen Formulierungen zu erkennen. Generative KI macht diesen Vorteil zunichte. Sie schreibt in perfektem Deutsch, im richtigen Tonfall, mit Bezug auf reale Projekte, die Angreifer vorher aus sozialen Netzwerken oder der Unternehmenswebsite recherchiert haben.

Die Zahlen aus Branchenberichten sind deutlich. Laut dem Kreditversicherer Allianz Trade stiegen die durch CEO-Fraud verursachten Schäden 2025 spürbar an. Sicherheitsanbieter berichten, dass ein großer Teil aller Phishing-Mails inzwischen KI-generierte Inhalte enthält und dass solche Mails deutlich häufiger angeklickt werden als klassische Kampagnen. Der Grund ist einfach: Die Nachrichten sind persönlicher, glaubwürdiger und schwerer zu entlarven.

Besonders stark wächst der Betrug per gefälschter Stimme, das sogenannte Vishing. Mit wenigen Sekunden Audiomaterial, etwa aus einem Interview oder einer Sprachnachricht, lässt sich eine Stimme heute überzeugend nachbilden. Deutschland gehört laut mehreren Analysen zu den am stärksten von Deepfake-Betrug betroffenen Ländern Europas.

Die drei häufigsten Angriffsmuster im Mittelstand

1. CEO-Fraud, die gefälschte Chef-Anweisung

Ein Mitarbeiter aus der Buchhaltung erhält eine E-Mail oder einen Anruf, angeblich vom Geschäftsführer. Es geht um eine dringende, vertrauliche Überweisung, oft mit Zeitdruck und der Bitte um Diskretion. Genau dieser Zeitdruck ist die Falle, denn er soll das kritische Nachdenken ausschalten.

2. Deepfake-Anruf und gefälschte Video-Calls

Noch eine Stufe weiter geht der Betrug per gefälschter Stimme oder sogar gefälschtem Video in einer Konferenz. Wenn der vermeintliche Vorgesetzte live zu sehen und zu hören ist, fällt es schwer, die Anweisung anzuzweifeln. Technisch ist so eine Fälschung heute machbar.

3. Zielgerichtetes Phishing auf Zugangsdaten

Statt um Geld geht es oft um Passwörter. Eine perfekt nachgebaute Login-Seite von Microsoft 365, der Bank oder dem Shop-Backend fängt die Zugangsdaten ab. Mit diesen Daten öffnen Angreifer dann die eigentliche Tür.

Konkrete Schutzmaßnahmen für Ihr Unternehmen

Gegen KI-gestützten Betrug hilft eine Kombination aus klaren Regeln, geschulten Mitarbeitern und solider Technik. Kein einzelner Baustein reicht allein.

Organisatorisch: Regeln, die Betrug ins Leere laufen lassen

  • Vier-Augen-Prinzip bei Zahlungen. Überweisungen ab einem festgelegten Betrag brauchen immer eine zweite Freigabe. Keine Ausnahme, auch nicht bei Eile.
  • Rückruf über einen bekannten Kanal. Bei jeder ungewöhnlichen Zahlungsaufforderung wird der angebliche Absender über eine bereits bekannte Nummer zurückgerufen, niemals über die Kontaktdaten aus der verdächtigen Nachricht.
  • Ein Codewort für den Ernstfall. Ein internes Kennwort für sensible telefonische Anweisungen entlarvt eine gefälschte Stimme sofort, denn die KI kennt es nicht.
  • Klare Eskalationswege. Jeder muss wissen, an wen er einen Verdacht meldet, ohne Angst vor einer Blamage.

Technisch: die Basis richtig absichern

  • Zwei-Faktor-Authentifizierung überall. Selbst wenn ein Passwort per Phishing abgefischt wird, bleibt das Konto ohne den zweiten Faktor gesperrt.
  • E-Mail-Authentifizierung mit SPF, DKIM und DMARC. Diese Verfahren erschweren es Angreifern, unter Ihrer eigenen Domain gefälschte Mails zu verschicken, und schützen so auch Ihre Kunden und Partner.
  • Spam- und Phishing-Filter aktuell halten. Moderne Filter fangen einen großen Teil der Angriffe ab, bevor sie im Postfach landen.
  • Regelmäßige Sensibilisierung. Kurze, wiederkehrende Schulungen und simulierte Testmails halten das Thema präsent, ohne die Belegschaft zu überfordern.

Wie TwoPixels hier unterstützt

Wir setzen an beiden Enden an. Im Rahmen unserer Security- und DSGVO-Audits prüfen wir unter anderem die E-Mail-Sicherheit Ihrer Domain, also ob SPF, DKIM und DMARC korrekt eingerichtet sind, sodass Kriminelle nicht einfach in Ihrem Namen schreiben können. Über unser rund um die Uhr laufendes Sicherheitsmonitoring erkennen wir zudem verdächtige Anmeldungen, etwa wenn nach einem erfolgreichen Phishing plötzlich ein fremder Zugriff auf ein Konto erfolgt.

So bekommen Sie nicht nur einen Ratschlag, sondern eine überprüfbare Absicherung, die menschliche Wachsamkeit und technische Kontrolle verbindet.

Häufige Fragen

Wie erkenne ich eine KI-generierte Phishing-Mail?
An der Sprache oft gar nicht mehr, denn die ist meist fehlerfrei. Achten Sie stattdessen auf den Kontext: unerwartete Dringlichkeit, ungewöhnliche Zahlungsbitten, Links auf fremde Adressen und Aufforderungen zur Geheimhaltung. Im Zweifel über einen bekannten Kanal nachfragen.

Kann man Deepfake-Stimmen technisch erkennen?
Teilweise, aber verlassen sollten Sie sich darauf nicht. Der zuverlässigste Schutz ist ein organisatorischer: ein Rückruf über eine bekannte Nummer und ein internes Codewort für sensible Anweisungen.

Reichen Mitarbeiterschulungen aus?
Sie sind wichtig, aber allein nicht genug. Selbst gut geschulte Menschen können unter Zeitdruck getäuscht werden. Deshalb braucht es zusätzlich klare Prozesse wie das Vier-Augen-Prinzip und technische Schutzschichten.

Was tun, wenn wir schon auf einen Betrug hereingefallen sind?
Sofort handeln: betroffene Zugänge sperren, Passwörter ändern, bei überwiesenen Beträgen umgehend die Bank kontaktieren und Anzeige erstatten. Danach prüfen, welche Systeme betroffen sind, idealerweise mit fachlicher Unterstützung.

Fazit und nächster Schritt

KI macht Betrug persönlicher und überzeugender, aber nicht unbesiegbar. Wer klare Zahlungsregeln, geschulte Mitarbeiter und eine saubere technische Basis kombiniert, nimmt den Angreifern den entscheidenden Vorteil.

Möchten Sie wissen, ob Ihre E-Mail-Domain gegen Fälschungen geschützt ist und wo Ihre größten Risiken liegen? Fordern Sie einen Sicherheits-Check bei TwoPixels an: Christopher Schütz, info@webagentur-twopixels.de, +49 1556 7039821.

Quellen

Weiterführende Leistungen & Ratgeber

KI-Cyberangriffe: Fall GTG-1002 Prompt Injection & KI-Agenten IT-Sicherheits-Fahrplan 2026 NIS2 & IT-Sicherheit

Sie möchten wissen, wie sicher Ihre IT wirklich ist? Wir prüfen Ihre Systeme und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.

Kostenlos beraten lassen