KI-Betrug

Was ist KI-Betrug?

KI-Betrug ist ein Sammelbegriff für Betrug, bei dem generative KI ein Werkzeug der Täter ist. Das FBI beschreibt das Prinzip so: KI erzeugt überzeugende synthetische Inhalte wie Profile, Gespräche, Stimmen und Videos, oft in großer Menge, und diese werden immer schwerer zu erkennen.

Das BKA hält im Bundeslagebild Cybercrime 2025 fest, dass es bislang keine polizeilichen Kennzahlen zum konkreten KI-Einsatz bei Cybercrime gibt. Es beobachtet aber, dass KI die technische Einstiegshürde senkt und erfahrenen Tätern hilft, schneller und effektiver anzugreifen. Europol stellt im IOCTA 2026 fest, dass generative KI Online-Betrug weiter beschleunigt.

Belastbare Zahlen gibt es vor allem aus zwei Quellen. Das FBI erhielt 2025 über 22.000 Beschwerden mit KI-Bezug und gemeldeten Verlusten von über 893 Millionen US-Dollar. In der KI-Sicherheitsstudie 2026 von TÜV-Verband und BSI berichteten 17 Prozent der über 500 befragten Unternehmen von KI-bezogenen Angriffen oder Betrugsversuchen in den letzten zwölf Monaten.

Welche KI-Betrugsmaschen treffen Unternehmen?

Die meisten Maschen sind aus dem Social Engineering bekannt. KI ersetzt dabei die Fähigkeit, die den Tätern früher fehlte: eine glaubwürdige Stimme, ein bekanntes Gesicht, fehlerfreies Deutsch. Die Tabelle ordnet die Varianten nach dem, was gefälscht wird.

Anrufe und Videokonferenzen mit gefälschten Chefs

Das BSI beschreibt das Szenario ausdrücklich: Ein Angreifer ruft mit der Stimme einer Führungskraft an, um eine Geldtransaktion auszulösen. Gesichter lassen sich laut BSI teils in Echtzeit und in vergleichsweise hoher Qualität tauschen. Wie aus wenigen Aufnahmen eine Stimme entsteht, erklärt die Seite Voice Cloning.

Der bekannteste Fall betrifft den Ingenieurkonzern Arup. Ein Mitarbeiter in Hongkong überwies 2024 nach einer Videokonferenz, in der laut Polizei alle anderen Teilnehmer Deepfakes waren, rund 25,6 Millionen US-Dollar. Arup bestätigte gegenüber CNN den Einsatz gefälschter Stimmen und Bilder. Die Masche dahinter ist der klassische CEO-Fraud.

Die Polizei nennt als Warnzeichen eine metallisch oder unnatürlich klingende Stimme, Lippen, die nicht genau zum Ton passen, und eine vorgetäuschte Notlage mit Zeitdruck. Verlassen sollten Sie sich auf solche Fehler nicht, denn die Technik wird besser. Woran Sie Fälschungen trotzdem erkennen, beschreibt die Seite Deepfakes erkennen.

Phishing-Mails, die KI geschrieben hat

Laut BKA erzeugt KI fehlerfreie Phishing-Mails, die Stil und Auftreten bekannter Unternehmen imitieren und durch automatisierte Recherche auf den Empfänger zugeschnitten sind. Das BSI warnt im Juni 2026, dass Täter dafür öffentliche Informationen von Unternehmenswebsites und sozialen Medien nutzen. In der Studie von TÜV-Verband und BSI nannten 90 Prozent der betroffenen Unternehmen Phishing-Mails als Angriffsform.

Die alten Merkmale wie schlechtes Deutsch fallen damit weg. Welche Merkmale noch tragen und wie Sie Absender und Links prüfen, steht auf der Seite Phishing-Mails erkennen.

Falsche Bewerber und gefälschte Identitäten

Eine Masche, die vor allem Personalabteilungen trifft: Bewerber, die im Online-Interview Stimme oder Gesicht fälschen. Das FBI beschreibt als Anzeichen, dass Mund und Bewegungen nicht genau zum Ton passen, und dass etwa Husten oder Niesen nicht zum Bild passen. Hohe Geldschäden sieht das FBI dabei kaum, das Ziel scheint meist der Zugang zu internen Netzwerken zu sein.

Auch Identitätsprüfungen per Video sind ein Ziel. Das BSI hält Angriffe auf Fernidentifikation, also Sprechererkennung am Telefon oder Videoidentifikation, für erfolgversprechend, weil der Prüfer keine Kontrolle über Kamera und Mikrofon hat. Die Hongkonger Polizei berichtete 2024 von mindestens 20 Fällen, in denen Deepfakes Gesichtserkennung bei Kredit- und Kontoanträgen mit gestohlenen Ausweisen täuschten.

Laden Sie Bewerber für Stellen mit Zugriff auf sensible Systeme vor der Vertragsunterschrift mindestens einmal persönlich ein oder prüfen Sie Identität und Zeugnisse über einen unabhängigen Weg.

Fake-Werbung, Anlagebetrug und Fake-Shops

Die Verbraucherzentrale warnt vor Deepfake-Werbung mit bekannten Gesichtern wie Günther Jauch, Frank Thelen oder Barbara Schöneberger. Beworben werden Krypto-Investments, Trading-Plattformen oder Gesundheitsprodukte, die abgebildeten Personen wissen davon meist nichts. Die Anzeigen führen auf täuschend echte Webseiten oder Fake-Shops.

Unter den KI-bezogenen Beschwerden beim FBI wiegt der Anlagebetrug am schwersten. Das FBI zählte 2025 Verluste von über 632 Millionen US-Dollar in Anlagebeschwerden mit KI-Bezug und weist darauf hin, dass viele Opfer gar nicht erkennen, wie stark KI beteiligt war. Europol beschreibt, dass Kriminelle über Werbung auf großen Plattformen Opfer in industriellem Maßstab ansprechen.

Für Unternehmen hat das zwei Seiten. Mitarbeitende können auf solche Angebote hereinfallen, auch bei Bestellungen für die Firma in einem Fake-Shop. Und das Gesicht Ihrer eigenen Geschäftsführung kann in solcher Werbung auftauchen. Die Verbraucherzentrale rät, gefälschte Anzeigen mit Screenshot bei der Plattform zu melden und unbekannte Shops vorab mit dem Fakeshop-Finder zu prüfen.

Was Ihr Team konkret tut

Das BSI nennt die Schulung potenziell betroffener Personen eine zentrale Maßnahme gegen Deepfake-Angriffe und fordert konkrete Sensibilisierung für KI-gestütztes Social Engineering. Am meisten helfen Regeln, die nicht davon abhängen, eine Fälschung zu erkennen.

1. Daten schützen

   Prüfen Sie, welche Stimmaufnahmen, Videos und Angaben zu Zuständigkeiten öffentlich sind. Sie sind das Rohmaterial für personalisierte Angriffe.

2. Zweiten Kanal nutzen

   Jede ungewöhnliche Anweisung zu Geld, Zugangsdaten oder Kontodaten wird über eine selbst gewählte, bekannte Nummer bestätigt. Ein Videocall zählt nicht als Bestätigung.

3. Ergebnisse prüfen

   Zahlungen ab einer festen Summe und jede Kontoänderung prüft eine zweite Person. Bei Bewerbungen für sensible Rollen gilt das für die Identität.

4. Vorfälle melden

   Auch abgewehrte Versuche gehen sofort an IT-Sicherheit oder Geschäftsführung. Bei Schaden: Bank anrufen und Anzeige bei der Zentralen Ansprechstelle Cybercrime erstatten.

Für Telefonate mit Führungskräften empfiehlt die Polizei eine persönliche Frage, deren Antwort nicht öffentlich recherchierbar ist, oder vereinbarte Rückrufregeln. Wie Sie solche Regeln im ganzen Team verankern, zeigt die Seite zur Security-Awareness-Schulung. Direkt für Ihr Team: Training für Ihr Team anfragen.

Häufige Fragen