„Hier ist die Chefin, bitte sofort überweisen“ – wie KI-Betrug klingt und wie dein Team ruhig bleibt

Würde jemand aus deinem Team Geld überweisen, wenn die Chefin anruft, gestresst klingt und sagt, es sei dringend und vertraulich?

Die meisten würden zögern – zum Glück. Aber Betrüger arbeiten genau mit diesem Moment: Zeitdruck, Autorität und die Bitte um Verschwiegenheit. Neu ist, dass sie dafür keine schlecht gemachte E-Mail mehr brauchen. Mit KI lassen sich Stimmen und sogar Gesichter in Videos so echt nachahmen, dass man es im Alltag kaum merkt.

Was heute technisch geht

Das BSI beschreibt, wie sich Stimmen per KI nachbilden lassen – so gut, dass Menschen und sogar automatische Sprechererkennung getäuscht werden. Für hohe Qualität braucht man meist mehrere Stunden Tonmaterial, mit zusätzlichen Hilfsdaten teils nur wenige Minuten. Von vielen Führungskräften gibt es solches Material öffentlich: Interviews, Videos, Vorträge. Auch Gesichter lassen sich laut BSI inzwischen in Echtzeit fälschen.

Ein bekanntes Beispiel stammt aus Hongkong. Anfang 2024 überwies dort ein Mitarbeiter eines internationalen Unternehmens nach einer Videokonferenz umgerechnet rund 25 Millionen US-Dollar an Betrüger. Alle anderen Teilnehmenden der Konferenz waren laut Polizei Fälschungen. Aufgefallen ist es erst, als er später bei der Zentrale nachfragte.

Die Masche ist alt, das Werkzeug ist neu

Fachleute nennen das „CEO-Fraud“: Jemand gibt sich als Geschäftsführung aus und veranlasst eine Zahlung. Früher per E-Mail, heute auch per Anruf, Sprachnachricht oder Videocall. Das Muster ist fast immer gleich:

• Es ist eilig: „heute noch“, „bevor die Bank schließt“.
• Es ist geheim: „sprich mit niemandem darüber“.
• Es ist ungewöhnlich: neues Konto, neuer Empfänger, ungewohnter Kanal.
• Es kommt von ganz oben – damit niemand widerspricht.

Laut Bundeslagebild Cybercrime 2025 des BKA nutzen Kriminelle KI, um Angriffe effizienter und professioneller zu machen. Phishing wird überzeugender, Sprachfehler verschwinden. Woran man Betrug früher erkannt hat, taugt deshalb immer weniger.

Drei Regeln, die mehr bringen als jede Software

• Rückruf über eine bekannte Nummer. Bei jeder ungewöhnlichen Zahlungs- oder Datenanfrage legst du auf und rufst die Person über die Nummer an, die ihr ohnehin gespeichert habt – nicht über die, die im Anruf oder in der Mail genannt wird.
• Vier Augen bei Geld. Neue Kontoverbindungen und Zahlungen über einem festen Betrag gibt immer eine zweite Person frei. Ohne Ausnahme, auch nicht „nur heute“.
• Ein Codewort für Notfälle. Vereinbart ein Wort oder eine Frage, die nur echte Kolleginnen und Kollegen kennen. Klingt nach Agentenfilm, funktioniert aber.

Wichtig ist, dass die Leitung diese Regeln selbst vorlebt und offen sagt: „Wenn ich anrufe und etwas Ungewöhnliches will, ruft mich bitte zurück. Ich bin nicht beleidigt.“ Dieser eine Satz nimmt dem Team den Druck.

Schulen, ohne Angst zu machen

Das Ziel ist nicht, dass dein Team jeden Anruf verdächtig findet. Das Ziel ist, dass niemand allein entscheiden muss, wenn etwas komisch ist. Eine gute Schulung dauert keine zwei Stunden und besteht aus drei Teilen: ein, zwei echte Beispiele hören oder sehen, den festen Ablauf gemeinsam durchgehen und ihn einmal üben – zum Beispiel mit verteilten Rollen, bei denen jemand den „Chef“ spielt und jemand anderes freundlich zurückruft.

Wichtig ist der Ton. Wer nach einer Schulung Angst hat, ans Telefon zu gehen, wurde schlecht geschult. Wer weiß, dass Nachfragen ausdrücklich erwünscht ist, bleibt ruhig. Und wenn jemand doch einmal auf eine Masche hereinfällt, gilt: sofort melden ist richtig, verstecken ist falsch. Nur so lernt das ganze Team daraus.

Auch die Technik kann ein wenig helfen: Zahlungsfreigaben im Online-Banking an zwei Personen binden, Rufnummern der Leitung im Telefonsystem als Kontakte hinterlegen, auffällige Mails mit einem Klick an eine Prüfadresse weiterleiten. Das ersetzt keinen klaren Ablauf, macht ihn aber bequemer.

Und wenn es doch passiert ist?

Dann schnell, aber ruhig handeln. Informiere sofort die Bank und versuche, die Zahlung zurückzuholen. Schreib alles auf und sichere Beweise: Anrufliste, Mails, Sprachnachrichten. Erstatte Anzeige bei der Polizei – in Deutschland haben die Landeskriminalämter dafür eigene Zentrale Ansprechstellen Cybercrime für Unternehmen. Und dann werte ohne Schuldzuweisung aus, wie es dazu kam. Wer Fehler offen meldet, hilft allen; wer Angst vor Ärger hat, schweigt. Wie die ersten Minuten nach einem Angriff aussehen, steht im 10-Minuten-Notfallplan.

Das Cyber-Monster schult dein Team – ohne Angstmache, mit echten Beispielen und einem Ablauf, der im Alltag funktioniert. Wenn bei euch das Telefon die Hauptleitung zur Kundschaft ist, schaut das Telefon-Monster gleich mit auf Rufnummern und Weiterleitungen.