Anzeige · Dieser Beitrag enthält Werbelinks zu Partnerangeboten.
Phishing-Mails und Deepfake-Anrufe erkennst du selten an der Technik, sondern am Ablauf: Wer unerwartet Druck macht, Geld oder Zugangsdaten verlangt und eine Prüfung über bekannte Kanäle verhindern will, ist verdächtig. Schutz bietet vor allem ein fester Rückruf über eine hinterlegte Nummer.
Laut Bitkom-Studie Wirtschaftsschutz 2026 hatten 16 Prozent der befragten Unternehmen Schäden durch Phishing, 8 Prozent durch Deepfakes und 14 Prozent durch automatisierte Robo Calls. Erkennungssoftware hilft als Zusatz, ersetzt aber keine Regeln. Entscheidend ist ein Ablauf, der jede ungewöhnliche Zahlung oder Datenfreigabe über einen zweiten, bekannten Kanal bestätigt. Dafür gibt es unten den Rückkanal-Check in fünf Schritten.
Wie häufig treffen Phishing und Deepfakes Unternehmen?
Laut der Bitkom-Studie Wirtschaftsschutz 2026 verursachte Phishing bei 16 Prozent der befragten Unternehmen Schäden, Deepfakes bei 8 Prozent. Ein Jahr zuvor lag der Deepfake-Wert noch bei 4 Prozent. Befragt wurden 1.003 Unternehmen ab 10 Beschäftigten in Deutschland.
| Angriffsart mit Schaden | Anteil 2025 | Anteil 2026 |
|---|---|---|
| Phishing | keine Angabe in der Pressemitteilung | 16 % |
| Deepfakes (gefälschte Stimme, Bild, Video) | 4 % | 8 % |
| Automatisierte Robo Calls | 3 % | 14 % |
Quelle: Bitkom, Studienbericht Wirtschaftsschutz 2026, S. 22; telefonische Befragung von 1.003 Unternehmen ab 10 Beschäftigten, Kalenderwochen 16 bis 23 2026.
Die Gesamtschäden durch Datendiebstahl, Spionage und Sabotage beziffert Bitkom auf 211 bis 270,8 Milliarden Euro, davon entfallen 76 Prozent auf Cyberangriffe. 82 Prozent der Unternehmen gehen davon aus, dass Angreifer verstärkt KI einsetzen; sicher sind sich allerdings nur 31 Prozent. Das Bundeskriminalamt registrierte für 2025 rund 334.000 Cybercrime-Fälle und verweist selbst auf ein großes Dunkelfeld.
Für kleine Betriebe gilt: Wo eine Person Überweisungen freigibt, reicht eine gut gemachte Nachricht. Einen Überblick über die Grundschutz-Maßnahmen gibt der Leitfaden IT-Sicherheit für kleine Unternehmen.
Woran erkennst du eine Phishing-Mail im Geschäftsalltag?
Eine Phishing-Mail erkennst du am sichersten an der Domain im tatsächlichen Linkziel und an der Absenderadresse, nicht am Logo oder an fehlerfreiem Deutsch. Dazu kommen typische Muster: unerwartete Nachricht, Zeitdruck, Bitte um Passwort, Zahlung oder Rückruf unter neuer Nummer.
Die Forschungsgruppe SECUSO am Karlsruher Institut für Technologie empfiehlt, vor jedem Klick das echte Linkziel anzuzeigen: am Rechner per Mauszeiger über dem Link, am Smartphone durch etwa zwei Sekunden langes Drücken. Entscheidend ist der Domain-Teil der Adresse. Passt er nicht zum Absender oder ist er leicht falsch geschrieben, klickst du nicht.
| Signal | Worauf du achtest |
|---|---|
| Linkziel | Domain stimmt mit dem Absender überein, keine Zahlen-IP, keine Tippfehler-Domain |
| Absender | Vollständige Adresse ansehen, nicht nur den Anzeigenamen |
| Anliegen | Passwort, Zahlung, geänderte Bankverbindung oder Anruf unter neuer Nummer |
| Anhang | Ausführbare Dateien und Office-Dateien mit Makros nur öffnen, wenn sie erwartet wurden |
| Ton | Zeitdruck, Geheimhaltung, ungewohnte Anrede |
Je mehr Signale zusammenkommen, desto wahrscheinlicher ist Betrug. Auf der eigenen Seite senken sauber gesetzte SPF– und DMARC-Einträge das Risiko, dass Fremde Mails im Namen deiner Domain verschicken. Wie du sie prüfst, steht im Beitrag E-Mails landen im Spam: SPF, DKIM und DMARC prüfen.
Wie laufen CEO-Fraud und Deepfake-Anrufe ab?
Beim CEO-Fraud geben sich Täter als Geschäftsführung aus und veranlassen eine dringende, vertrauliche Überweisung, oft mit einer angeblichen Firmenübernahme als Begründung. Deepfakes ergänzen die klassische Mail um eine gefälschte Stimme oder ein gefälschtes Videobild des Vorgesetzten.
Die Polizei Berlin beschreibt die Vorbereitung: Täter sammeln Informationen aus Handelsregister, Geschäftsberichten, Firmenwebsite und Prospekten, leiten das Schema der E-Mail-Adressen ab und werten aus, was Beschäftigte in sozialen Netzwerken über ihre Rolle preisgeben. Je mehr öffentlich ist, desto glaubwürdiger wirkt die Anfrage.
Wie weit das gehen kann, zeigt ein dokumentierter Fall: Beim Ingenieurbüro Arup überwies ein Mitarbeiter in Hongkong nach einer Videokonferenz mit scheinbar bekannten Führungskräften in 15 Transaktionen 200 Millionen Hongkong-Dollar, rund 25,6 Millionen US-Dollar. Arup bestätigte gegenüber CNN im Mai 2024, dass gefälschte Stimmen und Bilder eingesetzt wurden. Der Mitarbeiter hatte die vorausgehende Mail zunächst für Phishing gehalten; die Videokonferenz räumte seine Zweifel aus.
Der Arup-Fall zeigt den Kern des Problems: Der Mitarbeiter war misstrauisch und hat trotzdem bezahlt, weil der Angreifer den Prüfkanal selbst gestellt hat. Eine Rückfrage im selben Videocall, im selben Mailverlauf oder unter einer Nummer aus der Nachricht prüft nichts. Wirksam ist nur ein Kanal, den der Angreifer nicht kontrolliert, etwa die Nummer aus dem internen Telefonverzeichnis.
Was kann Software zur Deepfake-Erkennung leisten und was nicht?
Erkennungssoftware sucht nach Spuren der Fälschung oder nach Merkmalen echter Aufnahmen und kann einen zusätzlichen Hinweis liefern, aber keinen Beweis. Herstellerangaben zur Trefferquote gelten meist für eigene Testbedingungen, nicht für komprimierte Videos aus Messengern oder schlechte Verbindungen im Videocall.
Die meisten Systeme suchen Unstimmigkeiten an Augen, Haarrändern, Beleuchtung und Lippenbewegung. Ein anderer Ansatz prüft Merkmale echter Aufnahmen: Intel stellte 2022 sein System FakeCatcher vor, das feine Farbveränderungen der Haut durch den Blutfluss auswertet, und gab eine Genauigkeit von 96 Prozent an. Das ist eine Herstellerangabe, kein unabhängiger Test unter Alltagsbedingungen.
Zwei Grenzen gelten für alle Verfahren. Erstens lernen sie aus bekannten Fälschungen und hinken neuen Generierungsverfahren hinterher. Zweitens gehen bei starker Kompression, wie sie beim Teilen über Messenger oder soziale Netzwerke entsteht, viele Bildspuren verloren, die forensische Verfahren auswerten. Wer verschiedene Werkzeuge vergleichen will, findet eine Übersicht zu Deepfake-Detection-Tools mit Angaben zu Einsatzbereichen; einige sind für Einzelbilder gedacht, andere für Videostreams oder die forensische Nachanalyse.
Sinnvoll ist Software als erste Filterstufe, etwa bei eingehenden Video-Nachrichten in der Identitätsprüfung oder bei der Recherche, ob ein virales Video echt ist. Für die Entscheidung über eine Überweisung reicht ein Software-Ergebnis nie.
Wie schützt der Rückkanal-Check vor Überweisungsbetrug?
Der Rückkanal-Check ist ein fester Ablauf in fünf Schritten, der jede ungewöhnliche Zahlung, geänderte Bankverbindung oder Datenfreigabe über einen zweiten, unabhängigen Kanal bestätigt. Er baut auf den Empfehlungen der Polizei zum CEO-Fraud auf und funktioniert unabhängig davon, wie echt eine Stimme klingt.
| Schritt | Was du tust | Warum |
|---|---|---|
| 1. Auslöser erkennen | Zahlung außer der Reihe, neue IBAN, Bitte um Zugangsdaten, Geheimhaltung | Diese Anliegen sind das Ziel fast jeder Betrugsmasche |
| 2. Kanal wechseln | Rückruf über die Nummer aus Verzeichnis oder Vertrag, nie aus der Nachricht | Der Angreifer kontrolliert nur den Kanal, den er selbst gewählt hat |
| 3. Zweite Person | Vier-Augen-Prinzip ab einem festgelegten Betrag | Druck auf eine einzelne Person wirkt nicht mehr |
| 4. Kontrollfrage | Frage zu einem internen Vorgang, der nicht öffentlich ist | Öffentliche Informationen hat der Täter vorher gesammelt |
| 5. Dokumentieren | Prüfung kurz notieren, Verdachtsfälle intern melden | Wiederholte Versuche werden sichtbar, Kollegen sind gewarnt |
Wichtig ist, die Regel vorab schriftlich festzulegen und der Geschäftsführung selbst aufzuerlegen. Dann wirkt die Prüfung nicht wie Misstrauen. Ergänzend schützen Zwei-Faktor-Authentifizierung und ein gemeinsamer Passwortmanager davor, dass erbeutete Zugangsdaten allein ausreichen; die Auswahl beschreibt der Beitrag Passwortmanager für Teams: Auswahlkriterien und Einführung.
💬 Meine EinschätzungOft heißt es, man müsse Mitarbeitende nur gut genug schulen, damit sie Deepfakes erkennen. Ich halte das für die falsche Erwartung. Laut Bitkom sind sich selbst die befragten Unternehmen nur zu 31 Prozent sicher, ob Angreifer KI einsetzen, und der Arup-Fall zeigt, dass ein misstrauischer Mitarbeiter trotzdem überzeugt werden kann. Schulung sollte deshalb nicht das Erkennen trainieren, sondern das Befolgen der Rückrufregel, auch wenn die Stimme echt klingt.
Was tust du, wenn bereits geklickt oder überwiesen wurde?
Bei einer Fehlüberweisung zählt jede Stunde: Sofort die eigene Bank anrufen und einen Rückruf der Zahlung verlangen, danach Anzeige bei der Polizei oder der Zentralen Ansprechstelle Cybercrime des Landeskriminalamts erstatten. Bei preisgegebenen Zugangsdaten änderst du sofort das Passwort und meldest alle Sitzungen ab.
- Zahlung stoppen: Bank telefonisch informieren, Transaktionsdaten bereithalten.
- Zugänge sichern: betroffene Passwörter ändern, Zwei-Faktor-Authentifizierung aktivieren, aktive Sitzungen beenden.
- Gerät prüfen: Wurde ein Anhang geöffnet, das Gerät vom Netz trennen und von einer Fachperson untersuchen lassen.
- Beweise sichern: Mail mit Kopfzeilen, Anrufliste, Screenshots nicht löschen.
- Melden: Anzeige bei Polizei oder LKA; für Rückfragen nennt die KIT-Forschungsgruppe SECUSO das Service-Center des BSI unter 0800 274 1000.
Ob Daten oder Systeme betroffen sind, zeigt im Zweifel nur eine Prüfung. Eine aktuelle Sicherung macht den Neuanfang leichter; wie sie aufgebaut ist, erklärt der Beitrag Backup-Strategie für Selbstständige: Die 3-2-1-Regel umsetzen.
Ob eine Bank eine bereits ausgeführte Überweisung zurückholen kann und wer den Schaden trägt, hängt vom Einzelfall, vom Vertrag und vom Zeitpunkt der Meldung ab. Sind personenbezogene Daten abgeflossen, können zusätzlich Meldepflichten nach der DSGVO bestehen. Dieser Beitrag ersetzt keine Rechtsberatung; kläre konkrete Fälle mit deiner Bank, deiner Versicherung und einer Rechtsberatung.
Welche Regeln sollte jedes kleine Team festlegen?
Jedes Team sollte drei Regeln schriftlich festhalten: Rückruf über bekannte Nummer bei jeder ungewöhnlichen Zahlung, Vier-Augen-Prinzip ab einem festen Betrag und eine Meldestelle für Verdachtsfälle. Dazu gehört, was über Rollen und Abläufe öffentlich sichtbar ist.
Die Polizei Berlin rät, regelmäßig zu prüfen, welche Informationen über das Unternehmen öffentlich sind und was Beschäftigte darüber posten, und klare Abwesenheitsregeln festzulegen. Wer die eigene Umgebung systematisch durchgehen will, findet Ansatzpunkte in den Beiträgen IT-Sicherheit für KMU: 7 Schwachstellen beheben und Security-Audit 2026: IT-Infrastruktur professionell prüfen.
- Bitkom 2026: Schäden durch Phishing bei 16 %, durch Deepfakes bei 8 % und durch Robo Calls bei 14 % der Unternehmen.
- Phishing-Mails erkennst du am tatsächlichen Linkziel und an der vollständigen Absenderadresse.
- Deepfake-Software liefert Hinweise, aber keinen Beweis; Herstellerangaben gelten für eigene Testbedingungen.
- Rückkanal-Check: Auslöser erkennen, Kanal wechseln, zweite Person, Kontrollfrage, dokumentieren.
- Im Ernstfall sofort Bank anrufen, Zugänge sichern, Beweise aufheben und Anzeige erstatten.
Häufige Fragen zu Phishing und Deepfakes
Diese Fragen tauchen beim Schutz vor Betrugsversuchen im Büro besonders oft auf.
Kann ich einen Deepfake-Anruf an der Stimme erkennen?
Verlassen solltest du dich darauf nicht. Gefälschte Stimmen können vertraut klingen, und eine schlechte Leitung erklärt scheinbar jede Auffälligkeit. Sicherer ist es, das Gespräch zu beenden und über die bekannte Nummer zurückzurufen.
Ist eine Mail ohne Rechtschreibfehler automatisch echt?
Nein. Bitkom berichtet, dass 38 Prozent der Unternehmen, die einen KI-Einsatz vermuten, dies an der Textqualität der Nachrichten festmachen. Fehlerfreier Text ist also kein Echtheitsmerkmal mehr; prüfe Linkziel, Absender und Anliegen.
Reicht ein Spamfilter gegen Phishing?
Ein Filter fängt viele Massenmails ab, gezielte Nachrichten an einzelne Personen kommen aber durch. Deshalb braucht es zusätzlich feste Regeln für Zahlungen und Zugangsdaten sowie Zwei-Faktor-Authentifizierung für wichtige Konten.
Wem melde ich einen Betrugsversuch, der nicht erfolgreich war?
Intern der festgelegten Meldestelle, damit Kollegen gewarnt sind. Die Polizei Berlin empfiehlt, auch verdächtige Vorgänge bei der örtlichen Polizei oder dem zuständigen Landeskriminalamt zu melden.
Quellen
Stand der Recherche: November 2026.
- Wie sicher ist die deutsche Wirtschaft vor Cyberangriffen, Spionage und Sabotage? (Studienbericht Wirtschaftsschutz 2026) · bitkom.org · Schadensanteile nach Angriffsart, Methodik (September 2026).
- Angriffe auf deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten · bitkom.org · Gesamtschaden, Deepfakes, Robo Calls, KI-Einsatz (26.08.2026).
- Bundeslagebild Cybercrime 2025: Internetkriminalität auf hohem Niveau · bundesregierung.de · Fallzahlen 2025 und Dunkelfeld (12.05.2026).
- Geschäftsführer-Schwindel (CEO-Fraud) · berlin.de/polizei · Vorgehen der Täter und Schutzempfehlungen (abgerufen November 2026).
- Arup revealed as victim of $25 million deepfake scam · cnn.com · Ablauf und Schadenshöhe des Falls in Hongkong (16.05.2024).
- Intel Introduces Real-Time Deepfake Detector · intel.com · Funktionsweise und Herstellerangabe zur Genauigkeit von FakeCatcher (14.11.2022).
- Betrügerische Nachrichten erkennen · secuso.aifb.kit.edu · Prüfschritte für Links, Absender und Anhänge (2022).