Deepfake-Anrufe vom Chef: Wie KI-Phishing 2025 die Spielregeln ändert
2025 ist das Jahr, in dem Phishing erwachsen wurde. Anrufe mit geklonten Stimmen, perfekt formulierte E-Mails ohne Tippfehler, video-deepfake-Konferenzen. Hier ist Ihr Spickzettel.
Das Ende der „Wir-merken-das-schon"-Strategie
Bis 2023 reichte oft der Hinweis: „Achten Sie auf schlechtes Deutsch, komische Absender, Druckmittel." Im Jahr 2025 ist das gefährlich naiv. KI-gestütztes Phishing macht alle drei klassischen Indikatoren wertlos.
Drei reale Szenarien aus 2025
Szenario 1 – Voice-Clone vom CEO Ein Geschäftsführer eines hessischen Maschinenbauers ruft am Donnerstagnachmittag bei der Buchhaltung an. Stimme: identisch. Hintergrundgeräusche: glaubwürdig (Flughafen). Anweisung: „Überweis mir bitte noch heute 280.000 EUR auf das neue Konto in Polen, die Maschine darf nicht stehenbleiben." Die Buchhalterin überweist. Der Geschäftsführer war in Wirklichkeit in einer Besprechung im Nachbarraum.
Aufwand der Täter: 3 Minuten Audio aus einem YouTube-Vortrag des Geschäftsführers. Klon-Tool: kostenpflichtig, 15 USD/Monat.
Szenario 2 – Spear-Phishing per LLM Ein Sachbearbeiter im Personalbereich bekommt eine E-Mail vom (vermeintlichen) Steuerberater mit konkreten Bezügen zu einem laufenden Steuerprüfungsverfahren – Aktenzeichen korrekt, Tonalität wie immer, signiert wie immer. Anhang: eine angeblich aktualisierte Vollmacht.
Wirklichkeit: Der Angreifer hat zuvor zwei legitime Mails aus dem Postfach kopiert (Initial Access via gestohlenes Passwort aus einem alten Datenleck), ein LLM erzeugt daraus die perfekte dritte Mail. Erkennung durch Spam-Filter: 0.
Szenario 3 – Deepfake-Teams-Call Mitarbeiter wird in einen Teams-Call mit „dem Vorstand" und „dem CFO" eingeladen. Beide Gesichter und Stimmen: deepfake-generiert in Echtzeit. Anweisung: dringender vertraulicher M&A-Vorgang, sofortige Überweisung an Anwaltskanzlei. Ergebnis: Schaden im siebenstelligen Bereich.
Warum klassische Awareness-Programme versagen
Die meisten Awareness-Schulungen lehren noch immer:
- ❌ Auf Rechtschreibfehler achten – 2025 nicht mehr relevant
- ❌ Auf Absenderadresse achten – 2025 leicht zu spoofen oder zu kompromittieren
- ❌ „Wenn es seltsam wirkt, fragen Sie nach" – die Stimme klingt nicht seltsam mehr
Was 2025 wirklich hilft
1. Out-of-Band-Verifikation (Pflicht-Kultur) Jede ungewöhnliche Anweisung mit Geldfluss oder Zugang wird auf einem anderen Kanal rückbestätigt. Anruf → Rückruf an die bekannte Nummer. E-Mail → kurzer Persönlich-Check im Büro oder Teams.
2. Code-Wörter im Top-Management Jeder Geschäftsführer hat ein Code-Wort für „echte Anweisung". Der CFO kennt es. Niemand sonst. Klingt 1990er, schützt 2025 Millionenbeträge.
3. DMARC / DKIM / SPF strikt enforced Wenn Ihr Mail-Server externe Mails mit Ihrer Domain durchlässt, sind Sie selbst Teil des Problems. Wir richten das in 2 Tagen auf REJECT.
4. Awareness-Programme mit echten Simulationen Keine PowerPoints. Echte, regelmäßige Phishing-Simulationen mit messbarem Lernerfolg – inklusive Voice-Phishing-Tests.
5. Just-in-Time-Trainings Wenn jemand auf einen verdächtigen Link klickt, kommt sofort ein 60-Sekunden-Microtraining – im Moment des Fehlers ist die Lernkurve 7× steiler.
Was wir konkret anbieten
Unsere Awareness PLUS kombiniert:
- Regelmäßige Simulationen (Mail, SMS, Voice)
- Aufbau einer Verifikations-Kultur
- DMARC-Hardening Ihrer Domains
- KPI-Dashboard für die Geschäftsführung
Die Frage, die Sie sich heute Abend stellen sollten
Wenn Ihr Buchhalter morgen einen Anruf von Ihnen bekommt – wüsste er, wie er prüft, dass Sie es wirklich sind?
Klingt das nach Ihrem Risiko?
Wir analysieren in einem kostenfreien 30-Minuten-Gespräch, wie verwundbar Ihre Infrastruktur aktuell ist – konkret, ohne Verkaufs-Folien. Anschließend erhalten Sie eine schriftliche Einschätzung mit drei priorisierten Maßnahmen.
Über 10 Jahre Erfahrung in Managed Security für den deutschen Mittelstand. Made in Germany. Inhabergeführt.
Oder rufen Sie direkt an: +49 (0) 6629 9153890.