Deepfake-Anruf vom Chef: die Rückruf-Regel

Dienstag, kurz vor fünf. Ein Videoanruf im Firmenchat, auf dem Bild die Geschäftsführerin, im Auto, der Ton ein wenig verzögert. Es gehe um eine vertrauliche Übernahme, heute müsse noch eine Anzahlung an eine Kanzlei überwiesen werden. Bitte mit niemandem besprechen. Und bitte nicht auf dem Handy zurückrufen, sie sitze gleich in der Besprechung.

Diese Szene ist erfunden. Die Masche nicht. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt CEO-Betrug mit gefälschter Stimme ausdrücklich: Jemand ruft mit der Stimme einer vorgesetzten Person an, um eine Überweisung auszulösen. Die österreichische Plattform onlinesicherheit.gv.at berichtete im Juli 2025 über CEO-Betrug mit gefälschtem Video und Audio in Online-Meetings und Telefonaten. Das FBI warnte im Dezember 2024, dass Kriminelle Videos für Echtzeit-Videochats mit angeblichen Führungskräften erzeugen.

Dieser Beitrag erklärt, warum man sich auf das eigene Auge und Ohr nicht verlassen sollte, und welche einfache Regel stattdessen hilft.

Was ein Deepfake ist

Ein Deepfake ist ein mit künstlicher Intelligenz verändertes oder erzeugtes Bild, Video oder Tonstück, das eine echte Person zeigt oder klingen lässt. Für eine nachgebildete Stimme genügen oft öffentlich verfügbare Aufnahmen: ein Interview, ein Video auf der Firmenwebsite, eine Sprachnachricht. Laut BSI lassen sich solche Fälschungen inzwischen mit wenig Aufwand und Fachwissen in hoher Qualität herstellen.

Kann man Fälschungen erkennen?

Manchmal. Das BSI nennt typische Fehler. Bei Stimmen: ein metallischer Klang, falsche Aussprache einzelner Wörter, eine monotone Sprechweise, eine merkbare Verzögerung. Bei Videos: sichtbare Übergänge am Rand des Gesichts, verwaschene Zähne und Augen, wenig Mimik, Licht, das nicht zur Umgebung passt.

Das Problem: Diese Fehler werden seltener, und ein schlechtes Netz erzeugt dieselben Symptome. Eine verzögerte, leicht unscharfe Verbindung aus dem Auto ist im Arbeitsalltag normal. Auch automatische Erkennung hat laut BSI Grenzen, vor allem bei neuen Fälschungsmethoden.

Seit 2. August 2026 verpflichtet die EU-KI-Verordnung zudem dazu, Deepfakes offenzulegen. Wer betrügt, hält sich nicht daran. Ein fehlender Hinweis beweist nichts.

Deshalb lohnt es sich, nicht auf die Technik zu schauen, sondern auf die Bitte.

Die vier Spuren, die nicht von der Technik abhängen

Ob echt oder gefälscht: Ein Betrugsanruf braucht bestimmte Zutaten, damit er funktioniert. Diese sind auch dann sichtbar, wenn Bild und Ton perfekt sind.

1. Es geht um Geld, Daten oder einen Zugang. Eine Überweisung, eine Liste mit Kundendaten, ein Passwort, eine Freigabe.
2. Es soll geheim bleiben. „Mit niemandem besprechen", „Sie sind die Einzige, der ich das anvertraue". Geheimhaltung schaltet die Kolleginnen und Kollegen aus, die nachfragen würden.
3. Es ist eilig. Heute noch, in einer Stunde, bevor die Bank schließt. Eile lässt keine Zeit zum Prüfen.
4. Der Rückruf wird erschwert. „Ich bin gleich nicht erreichbar", „ruf nicht die alte Nummer an", „das ist mein neues Handy". Wer den Rückruf verhindert, hat einen Grund.

Wenn zwei oder mehr dieser Spuren zusammenkommen, ist die Echtheit von Stimme und Gesicht keine Frage mehr, die Sie beantworten müssen.

Die Rückruf-Regel

Wenn eine bekannte Stimme Geld oder Daten will, legen Sie auf und rufen Sie unter der gespeicherten Nummer zurück.

Drei Details machen die Regel wirksam:

• Auflegen, nicht weiterreden. Im laufenden Gespräch hat der Anrufer die Führung. Ein höfliches „Ich rufe Sie gleich zurück" reicht.
• Die gespeicherte Nummer, nicht die genannte. Die Nummer aus Ihrem Telefonbuch, dem Firmenverzeichnis oder der Visitenkarte. Nicht die Nummer, die der Anrufer nennt, und nicht der Rückruf-Knopf im selben Chat. Die angezeigte Rufnummer kann gefälscht sein; die österreichische Regulierungsbehörde RTR beschreibt das in ihren Fragen zum Rufnummernmissbrauch.
• Auch wenn es unangenehm ist. Eine echte Geschäftsführerin versteht einen Rückruf. Wer Geld bewegt, darf prüfen. Gute Betriebe schreiben das vorher fest, damit niemand im Moment allein entscheiden muss.

Das FBI empfiehlt dasselbe: auflegen und die Organisation unter einer Nummer anrufen, die man selbst nachgeschlagen hat.

Was der Betrieb vorher regeln kann

Die Rückruf-Regel wirkt verlässlicher, wenn sie nicht vom Mut einer einzelnen Person abhängt. Dafür braucht es keine Technik:

• Vier-Augen-Prinzip für Zahlungen und Kontodaten-Änderungen. Keine Ausnahme „auf Anweisung der Geschäftsführung".
• Schriftlich festhalten, dass Rückrufe erwünscht sind. Die Geschäftsführung sagt einmal allen: „Wenn ich am Telefon Geld will, ruft mich zurück. Immer."
• Bekannte Wege für Dringendes. Wer wirklich eilig zahlen muss, nutzt den Weg, den alle kennen, nicht einen neuen Chat.

Ein vereinbartes Codewort im Betrieb kann zusätzlich helfen, ersetzt aber den Rückruf nicht. Codewörter sprechen sich herum.

Und in der Familie

Dieselbe Masche gibt es privat. Das FBI beschreibt nachgebildete Stimmen von Angehörigen, die in einer angeblichen Notlage um Geld bitten. Eine Sprachnachricht von einer neuen Nummer, die Stimme der Tochter, weinend: Handy verloren, Unfall, dringend Geld, „sag Papa nichts".

Hier hilft, was das FBI ausdrücklich empfiehlt: ein Familien-Codewort. Ein Wort oder eine Frage, die nirgends öffentlich steht, auch nicht in sozialen Medien, vereinbart am Küchentisch und nicht per Messenger. Wer am Telefon das Wort nicht kennt, bekommt kein Geld. Und dann die Rückruf-Regel: die Tochter unter ihrer bekannten Nummer anrufen, die Schule oder die Eltern der Freundin.

Kein Schuldvorwurf

Wer auf einen gut gemachten Anruf hereinfällt, hat nicht versagt. Diese Anrufe sind gebaut, um Menschen zu täuschen, die hilfsbereit und loyal sind. Wichtig ist dann nur eins: sofort der zuständigen Stelle Bescheid geben, damit die Bank eine Überweisung vielleicht noch zurückholen kann.

Üben statt lesen

Eine Regel, die man einmal gelesen hat, ist im entscheidenden Moment oft nicht da. Eine Regel, die man ein paar Mal angewendet hat, schon. In Wachsam spielen Sie solche Situationen in kurzen Fällen durch: Ein Fuchs, der Trickser, ruft an, und Sie finden seine drei Spuren. Probieren Sie es im Browser unter /spielen aus, ohne Anmeldung.

Checkliste

• Geht es um Geld, Daten oder einen Zugang?
• Wird Geheimhaltung verlangt?
• Ist es eilig?
• Wird der Rückruf erschwert?
• Wenn ja: auflegen, unter der gespeicherten Nummer zurückrufen, nichts überweisen.
• Familie: Codewort vereinbaren, das nirgends öffentlich steht.

Quellen (abgerufen am 14.10.2026): BSI, Deepfakes – Gefahren und Gegenmaßnahmen; onlinesicherheit.gv.at, Betrug, Erpressung und Identitätsdiebstahl durch KI, 28.07.2025; FBI IC3, PSA I-120324-PSA, 03.12.2024; RTR, FAQ Rufnummernmissbrauch; Verordnung (EU) 2024/1689, Art. 50.