Wie Deepfake-Angriffe Ihr Identitätsmanagement bedrohen

Der Aufwand für Deepfakes schrumpft mit der schnellen Weiterentwicklung der generativen KI immer weiter. Damit stößt das klassische Identitätsmanagement an seine Grenzen, doch es gibt bereits geeignete Gegenmaßnahmen.

Seit es das Internet gibt, versuchen Cyberkriminelle auf Kosten anderer Menschen Geld zu erbeuten. Besonders häufig haben sie sich in der Vergangenheit falsche Identitäten ausgedacht, um neue Opfer zu finden. Meist nutzten sie dabei Spam-Mails, wobei die Erfolgsquote extrem niedrig. Wenn allerdings nur ein einziger Empfänger 2.000 Euro überweist, hat sich der Aufwand bereits gelohnt.

Zum Glück lassen sich solche Nachrichten relativ leicht erkennen, da sie meist schlecht gemacht sind und sich nicht gezielt an den jeweiligen Empfänger richten. So fällt wohl niemand auf eine Spam-Mail herein, in der Betrüger vor der angeblichen Sperrung eines Kontos bei Bank XY warnen, wenn man dort gar kein Konto hat. Allerdings steckt teilweise auch Absicht hinter den schlecht erstellten Spam-Mails. So reagieren wohl nur sehr leichtgläubige oder aus anderen Gründen empfängliche Opfer darauf – das reduziert den Aufwand für die Kriminellen.

KI-Betrug: Cyberkriminelle perfektionieren ihre Angriffsmethoden

Doch in den vergangenen Jahren haben die Cybergangster ihre betrügerischen E-Mails stetig verfeinert und sowohl die Texte als auch die Aufmachung fortlaufend optimiert. Gleichzeitig verbesserte sich die Aufklärung der Endnutzer, heute reagieren die meisten Menschen auf verdächtig aussehenden Mails vorsichtig. Sie kennen die Gefahren.

Dafür steigt die Bedrohung durch gezielte Angriffe. Ein bekanntes Beispiel ist der sogenannte CEO-Fraud, bei dem sich die Angreifer als Vorgesetzte ausgeben. Hier liegt die Erfolgsquote bei 10 bis 20 Prozent. Allerdings ist der Aufwand für diese Art von Attacken weit höher.

Der Erfolg der künstlichen Intelligenz hat die Karten neu gemischt. Mit dem Aufkommen von KI-Chatbots können Betrüger jetzt kinderleicht neue Spam-Texte verfassen, die überzeugend wirken und sprachlich keine oder nur noch minimale Fehler enthalten. Cyberkriminelle umgehen die von LLM-Anbietern eingebauten Sicherheitshürden mit immer wieder angepassten Tricks und Jailbreaks oder setzen einfach gleich eigene KI-Modelle auf. Mittlerweile gibt es eine Reihe von Open-Source-KIs, die vielleicht noch nicht so gut wie ChatGPT, Perplexity.ai, Claude oder auch DeepSeek funktionieren, aber ebenfalls laufend besser werden.

Die nächste Evolutionsstufe sind Deepfakes, bekannt durch künstlich erzeugte Videos von Prominenten oder Politikern, die alberne Dinge machen. Ein weitaus größeres Problem stellen täuschend echt nachgemachte Stimmen dar. Denn einer KI reichen heute bereits einige wenige gesprochene Worte, um eine Stimme zu imitieren.

Es entsteht eine völlig neue Situation, wenn etwa eine Buchhaltungskraft nicht mehr nur eine E-Mail mit einer dringlichen Zahlungsaufforderung des angeblichen Chefs erhält, sondern wenn dieser vermeintlich selbst anruft und die Zahlung direkt in Auftrag gibt. Deepfakes entwickeln sich so zu Social-Engineering-Attacken auf Steroiden.

Deepfake-Abwehr: Zero Trust erkennt Identitätstäuschungen

Wie reagieren Unternehmen darauf? Jedenfalls nicht mit klassischem Identitätsmanagement. Die enormen Fortschritte der generativen KI sorgen dafür, dass herkömmliches Identity and Access Management (IAM) immer mehr an seine Grenzen stößt. In naher Zukunft kann sich niemand mehr auf visuelle oder stimmliche Merkmale verlassen.

Eines der besten Mittel gegen Deepfakes sind Security-Awareness-Trainings, die Mitarbeiter mit konkreten Beispielen und Simulationen über die neuen Gefahren informieren. Dabei lernen die Beschäftigten auch, wie sie sich bei ungewöhnlichen Anfragen verhalten sollen – bereits ein simpler Rückruf über eine ihnen bekannte Nummer kann Schaden abwenden.

Auch die KI selbst taugt als Mittel gegen KI-gestützte Attacken. Durch eine Analyse der Mimik, der Stimme oder auch von Artefakten im Bild entlarvt sie Betrugsversuche. Diese Maßnahmen ergänzen moderne Authentifizierungsverfahren wie FIDO2, WebAuthn oder Passkeys. Gegenüber bisherigen Methoden wie etwa der einfachen MFA (Multi-Faktor-Authentifizierung) bieten sie deutliche Sicherheitsvorteile.

So erzeugen etwa Passkeys für jeden Dienst und jede Anwendung ein Schlüsselpaar, das auch noch von der jeweiligen Domain abhängt. Damit gehören die Zeiten der Vergangenheit an, in denen ein Angreifer auf einer gefälschten Seite Benutzerkennung und Passwort klauen und sich dann aus der Ferne anmelden konnte. Weitere empfehlenswerte Sicherheitsmaßnahmen sind Device-Bindung, Location-Checks sowie Zero Trust, bei dem das Vertrauen bei jedem Zugriff neu begründet werden muss.

Millionenbetrug: Deepfake-Konferenz überlistet Finanzexperten

Bisher galten Deepfake-Angriffe noch als Zukunftsszenario – doch die Realität hat die Theorie bereits eingeholt. Ein besonders dramatischer Betrugsfall erschütterte im Januar 2024 die Sicherheitsbranche:

• Die Hongkonger Niederlassung des Ingenieurbüros Arup verlor durch einen ausgeklügelten Deepfake-Betrug umgerechnet rund 23 Millionen Euro an Cyberkriminelle.
• Ein Mitarbeiter der Finanzabteilung nahm an einer Videokonferenz teil, in der alle anderen Teilnehmer täuschend echte KI-Deepfakes des CFO und weiterer Führungskräfte waren.
• Nach Anweisung der gefälschten Vorgesetzten tätigte der Mitarbeiter 15 Überweisungen auf fünf verschiedene Konten, bevor der Betrug durch Rücksprache mit der britischen Zentrale aufflog.

Moderne LLMs plus Text-zu-Sprache-Technik und immer bessere Avatare machen vielleicht sogar bald einen „One-Click-Fraud-CEO“ möglich. Die beste Verteidigung gegen derartige Deepfake-Angriffe besteht aus Technik und Köpfchen: Während Zero-Trust-Architekturen technisch jeden Zugriff hinterfragen, braucht es parallel geschulte Mitarbeiter, die bei seltsamen Anrufen des „Chefs“ skeptisch bleiben.

Dann wehren ausgereifte Lösungen zusammen mit solider Endpoint-Security auch die immer raffinierteren KI-Täuschungen ab. Um Ihr Unternehmen zu schützen, empfiehlt sich deshalb ein durchdachtes Zero-Trust-Konzept, das sowohl technische als auch organisatorische Maßnahmen umfasst:

Der perfekte Baustein für Ihr Zero-Trust-Konzept