Der Rückruf als letzte Verteidigung: Was Stimmklon-Betrug für Unternehmen bedeutet

Ein Anruf, der alles bestätigte

Am 23. Februar 2026 bekam der damalige Verwaltungsratschef der italienischen Privatbank Fideuram eine WhatsApp-Nachricht, angeblich vom Chef des Mutterkonzerns Intesa Sanpaolo – von einer Nummer, die er nicht kannte. Gleich werde sich ein Anwalt melden, hieß es. Dann rief eine Stimme an, die klang wie ein Partner der Großkanzlei A&O Shearman, den der Bankmanager persönlich kannte. Die Stimme war nach Darstellung von Reuters und der Mailänder Gerichtsakten mit KI nachgebildet. Binnen drei Tagen flossen knapp 95 Millionen Euro ins Ausland; rund 36 bis 39 Millionen gelten als verloren. Wir berichten über den Fall ausführlich in der heutigen Ausgabe.

Bemerkenswert ist weniger die Technik als die Choreografie. Die Textnachricht kündigte den Anruf an, der Anruf bestätigte die Nachricht, die folgenden E-Mails lieferten die Kontodaten. Jeder Kanal stützte den anderen – und alle drei gehörten den Betrügern. Dazu kam ein Geheimhaltungsgebot, das verhinderte, dass jemand im Haus gegenprüfte.

Drei Sekunden Audio

Dass so etwas funktioniert, ist seit Längerem absehbar. Schon im Mai 2024 berichtete McAfee, in einem Test hätten drei Sekunden Audiomaterial gereicht, um einen Stimmklon mit 85 Prozent Übereinstimmung zum Original zu erzeugen; mit etwas mehr Trainingsmaterial kamen die Forscher auf 95 Prozent. In McAfees damaliger Befragung von 7.000 Menschen gaben 53 Prozent an, mindestens einmal pro Woche Sprachaufnahmen von sich online zu teilen. Jeder Zehnte hatte eine Nachricht von einem Stimmklon erhalten, 77 Prozent davon verloren Geld.

Bei Führungskräften ist das Rohmaterial noch leichter zu finden: Interviews, Konferenzvorträge, Firmenvideos, Telefonkonferenzen mit Analysten. Das italienische Onlinemedium Il Post weist darauf hin, dass genau solche Aufnahmen reichen, um die Stimme einer öffentlich exponierten Person zu rekonstruieren.

Hinzu kommt die Geschwindigkeit. ElevenLabs gibt für sein Modell Flash v2.5 eine Latenz von rund 75 Millisekunden an, in 32 Sprachen. Das ist ein legitimes Produkt mit Nutzungsregeln, zeigt aber den Stand der Technik: Synthetische Sprache lässt sich so schnell erzeugen, dass sie in einem laufenden Gespräch mithalten kann.

Was die Statistik zeigt – und was nicht

Das Internet Crime Complaint Center des FBI führt in seinem Jahresbericht 2025 erstmals eine eigene Kategorie „AI Related“: 22.364 Beschwerden, gemeldete Verluste von rund 893 Millionen Dollar. Insgesamt meldete das IC3 für 2025 Verluste von 20,877 Milliarden Dollar, 26 Prozent mehr als im Vorjahr. Der Bericht beschreibt, wie Stimmklone in Business-E-Mail-Compromise-Betrug eingebaut werden, also gefälschte Zahlungsanweisungen im Namen von Chefs und Geschäftspartnern: Voice Cloning könne genutzt werden, um Überweisungen anzufordern. Für BEC-Betrug mit erkennbarem KI-Bezug meldeten Unternehmen 2025 Verluste von über 30 Millionen Dollar. Das ist die gemeldete Untergrenze – ob KI im Spiel war, erkennen Opfer oft gar nicht.

Europol schreibt in seiner Lageanalyse IOCTA 2025, Kriminelle könnten Stimm-Deepfakes nutzen, „to increase the credibility of spear-phishing campaigns used for BEC and CEO fraud“ – als Glaubwürdigkeitsverstärker bekannter Maschen, nicht als neue Betrugsform. Eine eigene Schadenssumme nennt Europol nicht. Das Bundeskriminalamt beziffert im Bundeslagebild Cybercrime 2025 den geschätzten Schaden für die deutsche Wirtschaft auf 202,4 Milliarden Euro, rund 4,5 Prozent des Bruttoinlandsprodukts. Das ist der Gesamtschaden durch Cybercrime, keine Deepfake-Zahl. Wer im Netz auf spezifische Deepfake-Schadenssummen für Deutschland stößt, die angeblich vom BSI stammen, sollte genau hinsehen: In der BSI-Mitteilung vom April 2026 stehen sie nicht.

Was das BSI tatsächlich belegt, ist ein Wahrnehmungsproblem. Fast die Hälfte der Befragten fühlt sich in der Lage, KI-generierte Inhalte zu erkennen. Aber nur 28 Prozent haben je nach Unstimmigkeiten gesucht und nur 19 Prozent die Seriosität der Quelle geprüft.

Warum Hinhören nicht reicht

Wie schlecht Menschen synthetische Stimmen erkennen, hat das University College London schon 2023 gemessen. 529 Teilnehmende sollten echte und künstliche Sprachproben unterscheiden und lagen nur in 73 Prozent der Fälle richtig – auf Englisch wie auf Mandarin. Training verbesserte das Ergebnis nur leicht. Die Forscher wiesen selbst darauf hin, dass sie mit vergleichsweise alten Algorithmen gearbeitet hatten; neuere Systeme dürften schwerer zu erkennen sein.

Für ein Unternehmen heißt das: Auch eine geschulte Buchhaltung, die weiß, dass es Stimmklone gibt, wird einen Teil der gefälschten Anrufe nicht erkennen. Im Fideuram-Fall kam erschwerend hinzu, dass das Opfer die nachgeahmte Stimme persönlich kannte – Vertrautheit schützt nicht, sie macht empfänglicher. Automatische Erkennungswerkzeuge sind, wie unsere Reportage „Zwei Minuten bis zum Klon“ im Mai gezeigt hat, ebenfalls kein verlässlicher Schutz.

Was die EU regelt – und für wen

Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister in der Eurozone die Empfängerüberprüfung anbieten, auf Englisch Verification of Payee. Vor einer Überweisung wird geprüft, ob Name und IBAN des Empfängers zusammenpassen. Die EU-Kommission begründet das so: Der Name müsse zur IBAN passen, „which helps prevent mistakes and scams“. Das hilft, wenn Betrüger ein Konto unter fremdem Namen nutzen. Gegen ein Konto, das auf eine eigens gegründete Firma mit passend gewähltem Namen läuft, hilft es nicht – im Fideuram-Fall ging die erste Überweisung an ein portugiesisches Unternehmen.

Weiter reicht die geplante EU-Zahlungsdiensteverordnung PSR. Ihr Artikel 59 soll erstmals einen Erstattungsanspruch für sogenannten Impersonation-Betrug schaffen: Wer eine Zahlung autorisiert, weil sich jemand als Mitarbeiter der eigenen Bank, eines Unternehmens oder einer Behörde ausgegeben hat, soll sein Geld zurückbekommen. Die Bank soll die Erstattung nur verweigern dürfen, wenn sie begründeten Verdacht auf Betrug oder grobe Fahrlässigkeit des Kunden hat. Der entscheidende Punkt für Unternehmen steht in der Analyse der Kanzlei A&O Shearman: Die Pflicht gilt nur für Verbraucher als Zahlungsdienstnutzer. Eine Überweisung, die ein Finanzvorstand oder eine Buchhaltung freigibt, fällt nicht darunter. Genau die Organisationen, die die größten Einzelsummen verlieren können, bleiben auf Prävention, Versicherung und zivilrechtliche Ansprüche angewiesen.

Der EU AI Act verpflichtet schließlich nach Artikel 50 ab dem 2. August 2026 dazu, Deepfakes zu kennzeichnen; für bereits am Markt befindliche generative Systeme gilt nach der vorläufigen Omnibus-Einigung vom Mai eine Frist bis zum 2. Dezember 2026. Für die Betrugsabwehr ist das kaum relevant. Kriminelle kennzeichnen nicht. Die Wirkung liegt eher beim Druck auf seriöse Anbieter, Missbrauch ihrer Werkzeuge zu erschweren.

Der Prozess schlägt das Ohr

Wenn weder das Gehör noch Erkennungssoftware noch die neue Regulierung eine Firmenüberweisung im entscheidenden Moment schützen, muss der Schutz vorher greifen – in Abläufen, die eine Stimme grundsätzlich nicht überwinden kann. Vier Maßnahmen tragen dabei am meisten:

Rückruf über einen eigenen Kanal. Jede ungewöhnliche Zahlungsanweisung wird über eine Nummer bestätigt, die man selbst kennt und selbst wählt – nicht über die Nummer aus der Nachricht, nicht über den Anruf, der gerade eingeht. Im Fideuram-Fall hätte ein Anruf beim echten Konzernchef oder in der Kanzlei unter der bekannten Nummer genügt. Die beste Stimmimitation nützt nichts, wenn der Betrüger gar nicht in der Leitung ist.

Vier Augen ab einer Schwelle. Große oder eilige Zahlungen an neue Empfänger brauchen eine zweite Freigabe durch jemanden, der nicht Teil der ursprünglichen Kommunikation war. Das gilt ausdrücklich auch für Vorstände und Aufsichtsräte, die in der Praxis oft Ausnahmen für sich beanspruchen.

Codewörter für Ausnahmefälle. Vereinbarte Kennwörter für echte Notfälle, die nie über denselben Kanal abgefragt werden, über den die Anweisung kommt.

Geheimhaltung als Alarmsignal. Die Regel muss lauten: Wer um Vertraulichkeit bittet, um einen Freigabeprozess zu umgehen, löst ihn damit erst recht aus. Druck, Eile und Diskretion sind die Werkzeuge jedes Social Engineerings – mit oder ohne KI.

Die Empfängerüberprüfung bleibt eine sinnvolle technische Ergänzung, ersetzt aber keinen dieser Schritte. Und wer darauf setzt, im Schadensfall von der Bank entschädigt zu werden, verlässt sich auf eine Regel, die für Verbraucher geschrieben wurde. Der wirksamste Schutz vor einer geklonten Stimme ist unspektakulär: auflegen und selbst zurückrufen.