CEO-Fraud & Deepfake-Angriffe: Drei präventive Schutzmaßnahmen

Weltweit ist KI-gestützter Identitätsbetrug auf dem Vormarsch – auch in der DACH-Region. Allein in Österreich haben Deepfake-Angriffe, laut einer aktuellen KPMG Austria-Erhebung, in diesem Jahr um satte 119 Prozent zugelegt.

Da ist es kein Wunder, dass sich in der kürzlich erschienen Umfrage, an der auch zahlreiche deutsche IT-Entscheider beteiligt waren, mehr als die Hälfte ‚sehr besorgt‘ über KI-gestützte Bedrohungsszenarien zeigt. Vor allem in Zusammenhang mit Deepfake-Angriffen sehen viele IT-Entscheider nach wie vor enorme Sicherheitslücken klaffen. Annährend die Hälfte vermutet, dass Deepfake-Angriffe im eigenen Unternehmen nicht rechtzeitig erkannt werden können – auch und gerade dann nicht, wenn die Angreifer Stimme und Bild des eigenen CEOs zum Einsatz bringen.

Dass solche Angriffe mittlerweile längst keine Ausnahmeerscheinung mehr darstellen, demonstrierte vor kurzem der italienische Autohersteller Ferrari, der einen solchen Deepfake-Angriff öffentlich machte. Ein Manager des Unternehmens hatte per Mail mehrere Nachrichten seines Vorstandsvorsitzenden erhalten. In diesen war er aufgefordert worden, im Rahmen einer angeblichen Konzernübernahme eine Verschwiegenheitserklärung zu unterzeichnen. Als er nicht reagierte, erhielt er einen Telefonanruf – angeblich vom Vorsitzenden selbst. Die Stimme am Telefon: eine perfekte Imitation. Sogar der markante süditalienische Akzent des Vorstandsvorsitzenden passte genau. Zum Glück für Ferrari schöpfte der Manager aber Verdacht und stellte dem Betrüger eine persönliche Frage, die nur der Vorsitzende hätte beantworten können. Der Angreifer legte sofort auf und brach den Deepfake ab.

Auch wenn der Angriff in diesem Beispiel letztlich erfolglos blieb, so zeigt er doch: Deepfake-Angriffe sind längst in den Alltag der Unternehmen vorgedrungen. Mit einer rasanten Zunahme ihrer Quanti- und Qualität ist in den kommenden Jahren fest zu rechnen. Die raschen Fortschritte im Bereich KI-gestützter Technologien, die Möglichkeit der Automatisierung der Abläufe und die wachsende Menge im Netz frei zur Verfügung stehender personenbezogener und personenbeziehbarer Informationen machen solche Angriffe für Cyberkriminelle immer unkomplizierter und billiger.

Unternehmen müssen sich deshalb besser schützen. Bereits drei präventive Maßnahmen können die Chance eines erfolgreichen KI-gestützten Deepfake-Angriffs erheblich mindern:

Erstens: Die Führungsetage muss klare Regeln für die interne Kommunikation aufstellen, die die Kommunikationskanäle sämtlicher Mitarbeiter, auch und gerade die des CEO, absichern helfen. Diese müssen klar formuliert und kontinuierlich kommuniziert und angewandt werden. Hierzu ein Beispiel: Der CEO gibt bekannt, dass er unter keinen Umständen jemals die Bitte an seine Mitarbeiter herantragen wird, Geschenkkarten – eine beliebte Phishing-Beute von Cyberkriminellen – für ihn zu erwerben und an eine Drittpartei weiterzuleiten.

Zweitens: Für das Stellen interner Anfragen muss im Unternehmen eine einheitliche Struktur geschaffen werden. Diese Struktur muss gewährleisten, dass Anfragen stets über mehrere Kommunikationskanäle gleichzeitig geleitet werden. Eingehende Anfragen können sich dann gegenseitig verifizieren. Auch hierzu ein Beispiel: Der CEO versendet eine schriftliche Anweisung nicht allein per Mail, sondern gleichzeitig auch über eine am Arbeitsplatz verwendete Instant Messaging-Plattform. Erhält der Mitarbeiter nun die Nachricht nur über einen der beiden Kanäle, ignoriert er die Anweisung, fragt über einen dritten Kanal beim CEO nach und kontaktiert im Zweifel das IT-Sicherheitsteam. Prozesse wie dieser sollten über die gesamte Organisation hinweg kommuniziert, implementiert und angewandt werden. Wird dann einmal ein Betrugsversuch aufgedeckt, ist es wichtig, diesen innerhalb des Betriebs öffentlich zu machen. So lernen sämtliche Mitarbeiter unterschiedliche Bedrohungen am lebenden Beispiel kennen, können ein Gefühl für die eigene Risikolage sowie ein gesundes Sicherheitsbewusstsein entwickeln.

Drittens: Unternehmen müssen regelmäßig Schulungen durchführen, um Mitarbeiter über Deepfakes und andere Arten von Identitätsbetrug, wie Phishing, Spear Phishing und Social Engineering, auf dem Laufenden zu halten. Einige Mitarbeiter wissen immer noch nicht, dass mittlerweile nicht nur Briefe und Emails, sondern auch Sprach- und Videoanrufe von Cyberkriminellen manipuliert und gefälscht werden können. So hat laut einer aktuellen Bitkom-Studie knapp jeder dritte Deutsche noch nie etwas von Deepfakes gehört. Das muss sich dringend ändern.

Denn in den kommenden Jahren werden Quanti- und Qualität von Deepfake-Angriffen – KI sei Dank – weiter zunehmen. Sie effektiv aufzuspüren, wird für den Einzelnen immer schwieriger werden. Laut einer Europol-Untersuchung vom vorvergangenen Jahr dürften bereits 2026 rund 90 Prozent aller Online-Inhalte synthetischen Ursprungs sein. In Sprach- und Videoanrufen die eigenen Kollegen und Mitarbeiter von Betrügern zu unterscheiden, dürfte dann eine immer größere Herausforderung darstellen. Unternehmen werden gegensteuern müssen. Mit der neuesten Technik im Bereich des Identity and Access-Managements sowie mit der Implementierung sichererer Kommunikationsstrukturen. Nur so wird es gelingen, die wachsende Gefahr von Deepfake-Angriffen und anderen KI-gestützten Identitätsbetrugsversuchen in den Griff zu bekommen.