Eine Stimme ist kein Identitätsbeweis mehr
Fast immer war es vernünftig, jemanden am Telefon anhand der Stimme zu erkennen. Das gilt nicht mehr. Kommerziell verfügbare KI-Werkzeuge klonen eine Stimme schon aus drei bis fünf Sekunden Audio – und diese Quelle muss nicht einmal privat sein. Eine Voicemail-Ansage, ein Webinar-Mitschnitt oder ein Video auf der Firmenseite reicht aus.
Warum das das Playbook des Überweisungsbetrugs verändert
Business Email Compromise stützt sich seit jeher darauf, dass eine geschriebene Nachricht legitim wirkt. Deepfake-Stimmbetrug fügt einen zweiten Kanal hinzu: einen Anruf, der genau nach der imitierten Person klingt und die gerade per E-Mail eingegangene Anweisung bestätigt. Auch ein vorsichtiger Käufer oder Closing-Koordinator, der weiß, dass eine „aktualisierte" Anweisung telefonisch geprüft werden soll, kann darauf hereinfallen, wenn genau der Anruf selbst gefälscht ist.
Wie ein realer Angriff aussieht
Das Muster wiederholt sich in den gemeldeten Fällen: eine E-Mail nimmt Bezug auf echte Details der Transaktion, danach ruft eine Stimme an, die exakt nach der richtigen Person klingt und die Änderung bestätigt, und die Anfrage wird unter Zeitdruck abgeschlossen. In einem viel diskutierten Fall autorisierte ein Finanzmitarbeiter mehr als ein Dutzend Überweisungen nach einem Videocall, bei dem alle weiteren Teilnehmenden – inklusive eines scheinbaren Top-Managers – KI-generiert waren. Der Betrug fiel erst bei einer separaten Prüfung auf, als das Geld bereits weg war.
„Klingt das richtig?" ist kein sicherer Test mehr
Klassische Schulungen zum Überweisungsbetrug zielten auf schiefe Details: ein seltsamer Ton, eine ungewohnte Formulierung, eine fast richtige E-Mail-Adresse. Diese Signale verschwinden. Ein geklonter Stimmklon hat oft den richtigen Rhythmus, die richtige Vertrautheit und sogar die passende emotionale Dringlichkeit, weil er auf echten Aufnahmen der echten Person basiert.
Verifikation muss außerhalb des kompromittierten Kanals stattfinden
Die einzige Verteidigung, die gegen Stimmklone standhält, ist die Prüfung von Identität und Kontodaten über einen Kanal, auf den der Angreifer keinen Zugriff hat – unabhängig von der E-Mail-Kette und unabhängig von jeder Nummer, die in der verdächtigen Nachricht steht. Genau darauf baut die Identitätsebene von WireVault auf: bestätigen, wer jemand wirklich ist – biometrisch – statt sich darauf zu verlassen, wie er klingt oder schreibt.
- Wie viel Audio braucht es, um eine Stimme überzeugend zu klonen?
- Heutige KI-Werkzeuge liefern brauchbare Klone aus drei bis fünf Sekunden Ausgangsmaterial, oft aus bereits öffentlich verfügbaren Aufnahmen.
- Ist ein Anruf zur Verifikation wirklich nicht mehr sicher?
- Ein Anruf an eine Nummer aus einer verdächtigen Nachricht ist nicht mehr sicher. Ein Anruf an eine Nummer, die Sie bereits in Ihren Unterlagen hatten, zusammen mit einer separaten Identitätsprüfung, funktioniert weiterhin.