KI, die Kreative Intelligenz jetzt in der neuesten Folge SMART&nerdy! Podcastfolge #23.
Ulrike Reimann, Scheer School of Digital Sciences at Saarland University gGmbH
(Titelbild: KI-generiert mit ChatGPT )
Deepfakes stellen Unternehmen vor ein Problem, das über ihre technische Erkennung hinausgeht: Zwischen dem ersten Verdacht und einer verlässlichen Prüfung entsteht eine Phase der Unsicherheit, in der bereits Entscheidungen getroffen und Informationen kommuniziert werden müssen. Sicherheit bedeutet deshalb nicht, jede Fälschung sofort zu entlarven. Entscheidend sind Prozesse, Verifikationswege und eine Kommunikation, die Organisationen auch dann handlungsfähig halten, wenn noch nicht feststeht, was tatsächlich geschehen ist.
Eine besonders kritische Phase eines Deepfake-Angriffs beginnt womöglich nicht mit der Fälschung selbst, sondern in dem Moment, in dem das Video bereits kursiert, Medien nachfragen und Beschäftigte Antworten erwarten, während seine Echtheit noch geprüft wird. Schweigen kann Vertrauen kosten, ein vorschnelles Dementi ebenso. Technische Systeme können bei der Prüfung unterstützen. Die Verantwortung dafür, wie ein Unternehmen unter Unsicherheit entscheidet und kommuniziert, bleibt jedoch bei der Organisation selbst.
Die Videokonferenz wirkt vertraut. Auf dem Bildschirm sind mehrere Kolleginnen zu sehen, darunter eine Führungskraft des Unternehmens. Sie erläutert eine vertrauliche Transaktion und fordert einen Mitarbeitenden auf, mehrere Überweisungen auszuführen. Bild, Stimme und Gesprächssituation erscheinen glaubwürdig. Er folgt der Anweisung.
Was wie ein konstruiertes Zukunftsszenario klingt, ist bereits geschehen. Anfang 2024 wurde ein Mitarbeitender des Ingenieurunternehmens Arup in Hongkong durch eine manipulierte Videokonferenz dazu gebracht, umgerechnet rund 23 Millionen Euro auf verschiedene Konten zu überweisen. Die Täterinnen hatten Stimmen und Erscheinungsbilder von Führungskräften des Unternehmens mithilfe von KI imitiert. Interne Systeme waren nach Angaben des Unternehmens nicht kompromittiert worden. Der Angriff zielte auf etwas anderes: auf das Vertrauen des Mitarbeitenden in das, was er sah und hörte. [1]
Der Fall zeigt, warum Deepfakes für Unternehmen mehr sind als ein technisches Erkennungsproblem. Eine künstlich erzeugte Situation kann reale Zahlungen auslösen, Entscheidungen beeinflussen und innerhalb kürzester Zeit zur Unternehmenskrise werden. Betroffen sind damit nicht nur IT und Cybersicherheit, sondern ebenso Unternehmensführung, Kommunikation und Reputation.
Die entscheidende Frage beginnt dort, wo die technische Prüfung noch keine Antwort liefert: Wie handelt eine Organisation, solange sie nicht weiß, ob das, was sie sieht und hört, tatsächlich echt ist?
nen an. Sie verändern, was überhaupt noch als glaubwürdiger Beleg gelten kann. Videos, Stimmen und Fotografien wurden lange als besonders überzeugend wahrgenommen. Was mit eigenen Augen gesehen oder mit eigenen Ohren gehört wurde, besaß eine besondere Beweiskraft. Genau diese Gewissheit gerät zunehmend ins Wanken.
Für Unternehmen entsteht daraus vor allem ein praktisches Problem: Plausibilität und Echtheit fallen auseinander. Ein manipuliertes Video kann beispielsweise eine Standortschließung ankündigen, den Rücktritt einer Führungskraft vortäuschen oder ihr Aussagen zuschreiben, die Beschäftigte, Kund*innen oder die Öffentlichkeit alarmieren. Je glaubwürdiger die Inszenierung wirkt, desto größer ist der Druck, unmittelbar darauf zu reagieren. Doch genau diese schnelle Reaktion kann zum Risiko werden, solange die Echtheit noch nicht geklärt ist.
Damit wird die Zeit zwischen dem Auftauchen eines verdächtigen Inhalts und seiner Verifikation selbst zum kritischen Faktor. In dieser Phase können sich Informationen bereits verbreiten, Medienanfragen eingehen und innerhalb des Unternehmens Entscheidungen erforderlich werden. Eine spätere technische Klärung kann zwar feststellen, was echt oder manipuliert war. Sie macht Entscheidungen, Aussagen oder Reaktionen, die zuvor auf einer falschen Annahme beruhten, jedoch nicht automatisch rückgängig.
Damit verschiebt sich das Problem: Unternehmen müssen nicht nur Fälschungen erkennen. Sie müssen auch dann handlungsfähig bleiben, wenn vorübergehend unklar ist, welchen Informationen sie vertrauen können.
Besonders kritisch sind die Minuten und Stunden, in denen ein verdächtiger Inhalt bereits zirkuliert, seine Echtheit aber noch nicht geklärt ist. Angenommen, in sozialen Netzwerken verbreitet sich ein angebliches Video einer Führungskraft. Beschäftigte fordern Aufklärung, Medien stellen erste Anfragen und Geschäftspartner*innen sind verunsichert. Die Kommunikationsabteilung muss reagieren, obwohl noch nicht feststeht, ob die Aufnahme echt oder manipuliert ist.
Genau hier entsteht ein Dilemma. Schweigt das Unternehmen, kann der Eindruck entstehen, es habe die Kontrolle verloren. Weist es das Video vorschnell als Fälschung zurück, droht ein zusätzlicher Vertrauensverlust, falls sich diese Einschätzung später als falsch erweist. Gleichzeitig erhöht der öffentliche und interne Erwartungsdruck das Risiko übereilter Entscheidungen.
Technische Prüfverfahren können helfen, diese Unsicherheit zu reduzieren, liefern aber nicht zwangsläufig sofort ein eindeutiges Ergebnis. Auch Deepfake-Detektoren bieten keine absolute Sicherheit. Ihre Leistungsfähigkeit hängt unter anderem von Trainingsdaten, Medientyp und Manipulationsverfahren ab. [4] Auch Menschen erkennen Deepfakes nicht zuverlässig, wie eine systematische Übersichtsarbeit zur menschlichen Erkennung manipulierter Inhalte zeigt.
Unternehmen brauchen deshalb nicht nur Verfahren, um möglichst schnell zwischen echt und falsch zu unterscheiden. Sie benötigen einen belastbaren Umgang mit dem Zeitraum, in dem genau diese Unterscheidung noch nicht möglich ist. Strategische Kommunikation wird damit selbst zum Bestandteil der Krisenabwehr: Sie muss Orientierung schaffen, ohne eine Gewissheit vorzutäuschen, die zu diesem Zeitpunkt noch gar nicht besteht.
Digitale B2B-Services sind kein einmaliges IT-Projekt, sondern das Ergebnis eines strukturierten Managementprozesses, der sich die skizzierten Hebel zunutze macht und so den Preis für Kund:innen systematisch reduziert. Entscheidend ist dabei ein Perspektivwechsel weg von der Funktionalität hin zum Nutzungserlebnis. Abbildung 1 stellt diesen Prozess in seinen vier Phasen dar.
In einer solchen Situation besteht professionelle Kommunikation nicht darin, möglichst schnell eine eindeutige Antwort zu liefern. Entscheidend ist vielmehr, den laufenden Prüfprozess glaubwürdig zu vermitteln. Unternehmen sollten klar benennen, was bereits bekannt ist, welche Informationen noch geprüft werden und wann mit neuen Erkenntnissen zu rechnen ist. Spekulationen sollten dabei weder wiederholt noch unnötig weiterverbreitet werden. Beschäftigte und zentrale Anspruchsgruppen benötigen stattdessen verlässliche Anlaufstellen und offizielle Kommunikationskanäle.
Das erfordert die Bereitschaft, Unsicherheit offen auszuhalten. Fakten, Annahmen und offene Fragen müssen klar voneinander getrennt werden. Ändert sich die Informationslage, sollten neue Erkenntnisse zeitnah kommuniziert und fehlerhafte Einschätzungen nachvollziehbar korrigiert werden. Vertrauen entsteht in diesem Moment nicht dadurch, dass ein Unternehmen Gewissheit inszeniert, sondern dadurch, dass nachvollziehbar bleibt, wie es zu seinen Aussagen und Entscheidungen kommt.
Die dafür notwendigen Strukturen lassen sich allerdings nicht erst dann aufbauen, wenn ein verdächtiges Video bereits kursiert. Klärt ein Unternehmen erst im Krisenfall, wer die Aufnahme prüft, wer gegenüber Medien und Beschäftigten kommuniziert und über welche Kanäle verbindliche Informationen veröffentlicht werden, geht wertvolle Zeit verloren. Deepfake-Szenarien gehören deshalb in die Krisenvorsorge und sollten regelmäßig geübt werden.
Aus individueller Aufmerksamkeit muss deshalb organisationale Kompetenz werden. Deepfake-Angriffe treffen Unternehmen an den Schnittstellen zwischen Technik und Kommunikation, formalen Prozessen und informellen Gewohnheiten sowie zwischen Zeitdruck und Verantwortung. Ein einzelnes Erkennungswerkzeug oder eine einmalige Schulung reichen nicht aus.
Entscheidend sind Strukturen, die auch unter Unsicherheit funktionieren. Dazu gehören zusätzliche Verifikationsschritte bei ungewöhnlichen oder folgenreichen Anweisungen, ein Vier-Augen-Prinzip bei kritischen Transaktionen und Veröffentlichungen sowie festgelegte Rückruf- und Bestätigungswege über einen zweiten, unabhängigen Kanal. Ebenso wichtig sind klare Zuständigkeiten zwischen IT, Kommunikation, Recht und Management sowie geschützte und verifizierbare eigene Kommunikationskanäle. Deepfake-Szenarien sollten außerdem Bestandteil von Krisenplänen, Übungen und rollenbezogenen Weiterbildungen sein.
Dabei benötigen unterschiedliche Bereiche unterschiedliche Fähigkeiten. Beschäftigte im Finanzbereich müssen ungewöhnliche Zahlungsanweisungen zuverlässig überprüfen können. Kommunikationsverantwortliche brauchen Verfahren für den Umgang mit zweifelhaften Aufnahmen und öffentlicher Unsicherheit. Führungskräfte müssen wissen, welche Entscheidungen und Freigaben im Verdachtsfall erforderlich sind. IT- und Sicherheitsteams wiederum müssen technische Prüfverfahren mit belastbaren organisatorischen Abläufen verbinden.
Die entscheidende Sicherheitsleistung besteht damit nicht darin, jede Fälschung auf den ersten Blick zu erkennen. Sie besteht darin, Prozesse so zu gestalten, dass eine überzeugende Fälschung allein noch keine folgenschwere Entscheidung auslösen kann.
Der entscheidende Zeitpunkt liegt vor der Krise. Unternehmen sollten festlegen, welche Handlungen niemals allein aufgrund eines Videos, einer Stimme oder einer digitalen Nachricht ausgelöst werden dürfen. Für Zahlungsanweisungen, sensible Veröffentlichungen oder weitreichende Entscheidungen braucht es unabhängige Bestätigungswege, klare Eskalationsregeln und bekannte Zuständigkeiten.
Damit verändert sich auch das Ziel der Deepfake-Vorsorge. Organisationen müssen nicht jedes manipulierte Medium innerhalb von Sekunden zweifelsfrei entlarven können. Sie müssen verhindern, dass ein einzelner ungeprüfter Inhalt unmittelbar eine folgenschwere Handlung auslöst. Technische Verifikation gewinnt dadurch Zeit, während definierte Prozesse den möglichen Schaden begrenzen.
Eine zentrale Vorbereitung auf Deepfakes beginnt deshalb nicht erst beim Erkennen der Fälschung, sondern bei der Frage: Welche Entscheidung darf niemals von einem einzigen digitalen Beleg abhängen?
