Das Gesicht Ihres CFO zu fälschen kostet 50 Dollar. Ihre Überweisungskontrollen waren nicht dafür gebaut.
Als ich zum ersten Mal eines dieser Erkennungstools austricksen wollte, brauchte ich einen Nachmittag und etwa fünfzig Dollar.
Ich lud öffentliche Konferenzvorträge eines Kollegen von YouTube herunter, speiste sie in ein Face-Swap-Modell auf einer Consumer-Grafikkarte ein und leitete die Ausgabe an eine virtuelle Kamera. Dann trat ich einem Test-Videocall als jemand bei, der ich nicht bin. Das "Deepfake-Erkennungs"-Plugin, das wir evaluierten, saß da, grünes Licht an, vollkommen zufrieden. Es war gebaut worden, um jemanden zu erwischen, der ein ausgedrucktes Foto vor eine Webcam hält. Ich hatte ihm einen sauberen synthetischen Feed direkt in den Datenstrom gereicht, und es schaute nie an die richtige Stelle.
Dieser Nachmittag ist das ganze Problem der unternehmensweiten Deepfake-Erkennung in einer Szene. Die Tools sind real, manche davon gut, und fast keines schützt Sie vor dem Angriff, der tatsächlich die Unternehmensbankkonten leert. Die Verteidigung, die funktioniert, ist überhaupt kein Tool. Es ist das, wovon ich das nächste Jahr CFOs zu überzeugen versuchte — dass sie es brauchen und nicht auf einem Marktplatz kaufen können — der Grund, warum wir schließlich eine geschichtete Deepfake-Abwehrpraxis bei Veriprajna aufgebaut haben, statt jemandes Plugin weiterzuverkaufen.
Lassen Sie mich erzählen, wie ich dahin gekommen bin, denn anfangs habe ich das Gegenteil geglaubt.
Ich dachte, das sei ein Erkennungsproblem. Das ist es nicht.
Als ich mir zum ersten Mal Deepfake-Betrug in Unternehmen anschaute, tat ich, was jeder Technologe tut: Ich nahm an, es sei ein Genauigkeitsproblem, das auf ein besseres Modell wartete. Den besten Detektor kaufen, in Zoom einbinden, fertig. Das gefälschte Gesicht erwischen, den Betrug stoppen.
Also machte ich mich auf die Suche nach dem besten Detektor. Und je tiefer ich las, desto mehr brach der Boden unter diesem Plan weg.
Die Zahl, die meine Annahme zerstörte, stammte aus Purdues Benchmark-Arbeit von 2025: Erkennungstools, die im Labor 96 bis 99 Prozent Genauigkeit bewerben, fallen auf 50 bis 65 Prozent in der realen Produktion. Lesen Sie das noch einmal mit dem Kopf eines CFO. Fünfzig Prozent ist ein Münzwurf. Fünfundsechzig Prozent bedeutet, dass jede dritte Fälschung durchkommt. Man verlangt von Ihnen, eine Überweisung — manchmal eine achtstellige Überweisung — auf einen probabilistischen Alarm zu setzen, der ein Drittel der Zeit falsch liegt.
Ein Detektor, der zwei von drei Mal richtig liegt, ist ein großartiges Forschungsergebnis und eine katastrophale Kontrolle. Sie können keinen Münzwurf in den Autorisierungspfad für Geld legen, das nicht zurückkommt.
Damit saß ich eine Weile. Der Instinkt in der Sicherheit ist immer, dem besseren Modell hinterherzujagen. Aber es gibt keine Genauigkeitszahl, die "die Maschine hält dieses Gesicht für wahrscheinlich echt" zu einer akzeptablen Grundlage für Geldtransfers macht. Selbst 99 Prozent würden nicht reichen — weil der Angreifer nur einmal gewinnen muss und sich den Tag aussuchen kann.
Das war das Erste, worin ich mich irrte, und das zuzugeben veränderte alles, was wir danach gebaut haben.
Wie funktioniert ein Deepfake-Anruf über 25,6 Millionen US-Dollar tatsächlich?
Der Fall, den jeder in diesem Feld studiert, ist Arup, das globale Ingenieurbüro, im Februar 2024. Ein Finanzmitarbeiter in Hongkong trat einem Videocall mit dem CFO des Unternehmens und mehreren anderen Führungskräften bei, besprach eine vertrauliche Transaktion und führte in den folgenden Tagen fünfzehn Überweisungen im Gesamtwert von 25,6 Millionen US-Dollar auf fünf Bankkonten in Hongkong.
Jede Person in diesem Call außer dem Opfer war synthetisch.
Was mich an Arup trifft, ist nicht die Technologie. Es ist, wie alltäglich der Weg war. Die Angreifer ernteten öffentliche Videos und Audios der Führungskräfte — YouTube, Konferenzaufzeichnungen, LinkedIn — und trainierten generative Modelle, um nicht nur Gesichter, sondern auch Intonation und Mikroexpressionen zu reproduzieren. Die Kosten der Trainingsdaten waren null, weil wir alle die Gesichter unserer Führungskräfte selbst veröffentlichen. Das Modelltraining lief auf Consumer-Hardware für unter fünfzig Dollar.
Dann kam der Teil, den die meisten Verteidigungen verpassen. Der Mitarbeiter war zunächst skeptisch — guter Instinkt — also eskalierten die Angreifer von E-Mail zu einem Videocall, denn vertraute Gesichter zu sehen ist genau das, was Skepsis außer Kraft setzt. Und sie injizierten das synthetische Video mit virtueller Kamerasoftware, Tools wie OBS VirtualCam oder dem Open-Source Deepfake Offensive Toolkit, und speisten gefälschte Frames direkt in den Konferenzstrom ein.
Das ist die Unterscheidung, mit der ich jetzt jedes CISO-Gespräch eröffne, weil sie entscheidet, ob Ihr Geld sicher ist:
Ein Präsentationsangriff hält etwas vor eine Kamera. Ein Injection-Angriff umgeht die Kamera vollständig. Liveness-Checks fangen den ersten und sehen den zweiten nie.
Die meisten "Deepfake-Erkennungen" am Markt — die biometrischen Liveness-Checks im Stil von iProov für das Identitäts-Onboarding, die Tools, die Sie bitten, den Kopf zu drehen oder einem Licht zu folgen — sind für Präsentationsangriffe ausgelegt. Darin sind sie wirklich gut; iProovs Flashmark-Technologie ist genau für diese Aufgabe NIST-zertifiziert. Aber ein Injection-Angriff reicht der Konferenz-App einen synthetischen Feed, der wie legitimer Hardware-Input aussieht, und die vorgeschaltete Liveness-Logik ist zufrieden. Injection-Angriffe stiegen 2023 um 255 Prozent — aus gutem Grund. So schlägt man die Verteidigungen, die Unternehmen gerade erst gekauft haben.
Keine Malware. Keine gestohlenen Zugangsdaten. Kein kompromittiertes Netzwerk. Das Einzige, was bei Arup kompromittiert wurde, war das Vertrauen in das, was eine Person auf einem Bildschirm sah und hörte.
Warum stoppt das kein einzelner Anbieter?
Sobald ich den Angriff verstand, begann ich, die Anbieterlandschaft zu kartieren, um zu sehen, wer ihn stoppen könnte. Ich baute eine Tabelle — Modalität, Plattformintegration, wofür jedes Tool wirklich gut ist, und entscheidend, wo jedes scheitert. Sie wurde schnell lang, und die Schlussfolgerung war unbequem für alle, die hofften, eine einzige Bestellung zu schreiben.
Reality Defender macht Echtzeit-Multimodal-Monitoring in Zoom, aber seine serverseitige Analyse fügt jedem Frame Round-Trip-Latenz hinzu, und weil es Inhalte statt den Kamerapfad prüft, ist die Abdeckung gegen Injection-Angriffe dünn — ein sauberer synthetischer Feed liest sich weiterhin als legitimer Input. Pindrop ist exzellent bei Stimme — es dokumentierte den Anstieg um 1.300 Prozent beim Deepfake-Betrug und ist der Grund, warum ich Audio ernst nehme — aber es analysiert den Videostream überhaupt nicht. GetReal Security korreliert biometrische, verhaltensbasierte und Kontextsignale während eines Live-Calls, was der richtigen Form näherkommt, aber es ist ein neuerer Marktteilnehmer mit einer Series A von 17,5 Millionen US-Dollar und begrenzter Erfolgsbilanz im Unternehmensmaßstab. Beyond Identitys RealityCheck verifiziert, dass der Webcam-Feed von physischer Hardware kommt — direkt relevant für Injection —, ist aber gerätebezogen und schaut nicht auf Inhalte. Adaptive Security führt Deepfake-Simulationstrainings für Mitarbeitende durch, was zählt, aber Training ist keine Kontrolle; es blockiert nichts.
Ich könnte weitermachen. Der Punkt ist die Form, nicht der Katalog: Videoabdeckung hier, Audio dort, Liveness an dritter Stelle, Geräteattestierung an vierter, und die Lücken dazwischen sind genau dort, wo ein kompetenter Angreifer lebt.
Und dann gibt es die Beratungsantwort. Die Big Four und großen Integratoren führen gerne ein Deepfake-Engagement durch — für 500.000 bis 5 Millionen US-Dollar — und überreichen Ihnen ein Governance-Framework und ein Board-Deck. Keine Erkennungstools. Sie empfehlen die oben genannten Anbieter; selten bauen oder integrieren sie etwas. Ich habe diese Deliverables gelesen. Sie sind nicht falsch. Sie sind einfach keine Verteidigung.
Kein einzelner Anbieter deckt Video, Audio, Verhalten und den menschlichen Prozess ab. Jemand muss die Nähte dazwischen architektonisch schließen. Dieser Jemand ist meist niemand — deshalb verlassen an den Nähten die Gelder das Unternehmen.
Die Kontrolle, die nichts kostet und alles stoppt
Hier hat sich mein Denken vollständig umgedreht.
Ich hatte Wochen tief in Erkennungsgenauigkeit, Anbieter-Modalitäten und der Taxonomie Injection versus Präsentation verbracht. Und die Antwort auf "was hätte Arup gestoppt" hatte mit nichts davon zu tun.
Eine verpflichtende Out-of-Band-Verifizierungsrichtlinie: Jede Finanzanweisung oberhalb einer definierten Schwelle muss vor der Ausführung über eine vorregistrierte Rückrufnummer oder einen separaten verschlüsselten Kanal bestätigt werden. Nicht eine Nummer, die der Anrufer Ihnen gibt — eine Nummer, die Sie bereits hatten, gespeichert bevor all das begann. Der Deepfake-CFO kann fehlerfrei sein. Die Injection kann unerkennbar sein. Es spielt keine Rolle, denn das Geld bewegt sich nicht auf die Kraft des Calls hin. Es bewegt sich, nachdem ein Treasury-Analyst eine Nummer wählt, die innen in seiner eigenen Schreibtischschublade klebt, und die echte Person "ja" sagt.
Diese Kontrolle kostet nichts in der Umsetzung. Sie wirkt gegen jede Variante von Betrug mit synthetischen Medien — gegenwärtige, zukünftige, Video, Stimme, was immer Angreifer als Nächstes bauen —, weil sie nicht versucht, die Fälschung zu erkennen. Sie entfernt den Videocall vollständig aus dem Autorisierungspfad.
Ich werde ehrlich sagen, warum das für mich schwer zu akzeptieren war. Ich bin Technologe. Ich wollte, dass die Antwort ein Modell ist. Die Idee, dass die Intervention mit dem höchsten ROI bei einer hochmodernen KI-Bedrohung eine Telefonrichtlinie von 1995 ist, fühlte sich wie eine Enttäuschung an. Es brauchte das wiederholte Scheitern der Erkennungszahlen im Test — immer wieder das grüne Licht bei einer Fälschung —, bevor ich aufhörte, der unglamourösen Wahrheit zu widerstehen.
Erkennungsschichten geben Zuversicht. Prozesskontrollen geben Gewissheit. Der Fehler ist, das Erste zu kaufen und das Zweite auszulassen.
Das ist also das Rückgrat dessen, was wir jetzt bauen: Prozess zuerst, Erkennung als Defense-in-Depth darüber. Erkennungstools verdienen ihren Platz, indem sie Anomalien markieren und Ihnen einen Moment des Zweifels verschaffen. Sie verdienen nicht das Recht, das Einzige zwischen einem Angreifer und Ihrer Treasury zu sein.
Die Rechnung, die niemand kommen sah: Ihre Versicherung ist erloschen
Lange Zeit führte das Budgetgespräch mit CFOs nirgendwohin. Der Verlust ist hypothetisch, bis er eintritt, die Ausgabe ist heute real, und irgendwo im Hinterkopf saß die Annahme, Cyberversicherung würde es sowieso abdecken.
Dann, im Januar 2026, starb diese Annahme still.
Standard-Cyberpolicen schließen "KI-generierte Intermediäre" ausdrücklich aus. D&O-, E&O- und Employment-Practices-Policen fügen breite KI-Ausschlüsse hinzu. Der Deepfake-Betrug, der 2024 noch das Problem Ihres Versicherers war, ist 2026 Ihr Problem — es sei denn, Sie haben einen separaten Deepfake-Endorsement gekauft, der 500 bis 3.000 US-Dollar im Jahr kostet und den fast niemand hat. Wenn der Arup-Angriff Ihnen jetzt passiert, sind die 25,6 Millionen US-Dollar unversichert. Punkt.
Diese eine Änderung hat mehr für das Budget bewegt als jede Verluststatistik, die ich je zitiert habe. Sie hat das Ganze neu gerahmt. Das ist nicht "Geld ausgeben, um vielleicht ein Hypothetisches zu vermeiden." Es ist "die Deckung, auf die Sie gezählt haben, ist weg, und die Haftung liegt auf Ihrem Schreibtisch." Gerichte werten Arbeitgeber zunehmend als fahrlässig wegen fehlender spezifischer Deepfake-Kontrollen, und die alte "Impostor Rule" legt den Verlust auf denjenigen, der am besten positioniert war, den Betrug zu verhindern. Nach Januar 2026 sind das Sie.
Was die Regulierer demnächst verlangen werden
Es gibt zwei Daten, die ich jedem Board an die Wand malen lasse, weil sie das aus einer Ermessensfrage in eine Frist verwandeln.
2. August 2026: Die Transparenzpflichten nach Artikel 50 des EU AI Act für Deepfake-Inhalte treten in Kraft, mit Strafen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes. Wenn Sie irgendwo in der Nähe der EU operieren, endet die Ära, Governance für synthetische Medien als optional zu behandeln, an diesem Datum.
Und seit Dezember 2023 verlangt die SEC, dass wesentliche Cybersicherheitsvorfälle per Form 8-K innerhalb von vier Geschäftstagen offengelegt werden. Ein Deepfake-Betrug von über 25 Millionen US-Dollar überschreitet die Wesentlichkeitsschwelle fast sicher. Stellen Sie sich also die tatsächliche Sequenz vor: Sie entdecken den Betrug, und nun läuft eine Vier-Tage-Uhr für eine öffentliche Einreichung, die genau beschreibt, wie Ihre Überweisungskontrollen versagt haben — während das Geld bereits weg ist. Die Offenlegungsregel verwandelt einen privaten Verlust in einen öffentlichen, den Ihre Investoren mitlesen.
Unter der Compliance-Geschichte liegt eine härtere, stillere Spannung, und dort winken die Beratungs-Frameworks gerne ab. Die verhaltensbasierte Biometrie, die kontinuierliche Authentifizierung tatsächlich funktionieren lässt — Tastenanschlagdynamik, Mausmuster, die Signale, die GetReal-artige Tools korrelieren — liefert genau die Daten, die das biometrische Datenschutzgesetz von Illinois auslösen. BIPA produzierte über 107 Sammelklagen im Jahr 2025; Clearview AI schloss einen Vergleich über 51,75 Millionen US-Dollar ab. Artikel 9 der DSGVO behandelt biometrische Daten als besondere Kategorie, die ausdrückliche Einwilligung braucht. Also ist Ihr bestes Erkennungssignal auch Ihre größte Datenschutzhaftung, wenn Sie es ohne ordnungsgemäße Einwilligung Ihrer Mitarbeitenden einsetzen. Das Sicherheitsproblem auf die sorglose Art zu lösen, schafft ein Klageproblem. Jede Kontrolle auf BIPA, DSGVO, die SEC-Regel und die Teststandards ISO 30107 und CEN/TS 18099 abzubilden ist kein Papierkram — es ist, wie Sie vermeiden, eine achtstellige Exposition gegen eine andere zu tauschen.
Kann ich Mitarbeitende nicht einfach schulen, die Fälschungen zu erkennen?
Die Leute fragen mich immer, ob Awareness-Schulungen für Mitarbeitende das lösen. Bringt einfach allen bei, die Fälschungen zu erkennen.
Ich wünschte. Menschliche Deepfake-Erkennung liegt bei etwa 50 Prozent — ungefähr so gut wie Zufall, und die Technologie verbessert sich jeden Monat. Wir sind als Spezies schlecht darin. Der Arup-Mitarbeiter war nicht nachlässig; er war skeptisch genug, um zunächst Widerstand zu leisten. Der Videocall war es, der sein Urteil überwand, weil Gesichter und Stimmen, die wir erkennen, das analytische Gehirn umgehen. Schulung hilft Menschen innehalten und den Prozess anstoßen. Sie macht niemanden zu einem zuverlässigen menschlichen Detektor, und jedes Programm, das auf dieser Prämisse verkauft wird, verkauft Komfort.
Die andere Frage, die ich bekomme, ist, ob das übertrieben ist — ein paar gruselige Schlagzeilen. Das ist es nicht. US-Deepfake-Betrugsverluste verdreifachten sich von etwa 360 Millionen US-Dollar 2024 auf 1,1 Milliarden US-Dollar im Jahr 2025. Der durchschnittliche Unternehmensvorfall liegt inzwischen bei etwa 680.000 US-Dollar, und CEO-Fraud-Kampagnen treffen Hunderte von Unternehmen täglich. Kits für synthetische Identitäten verkaufen sich im Dark Web für etwa fünf Dollar; ein gefälschtes Video beginnt bei fünfzig. Die Ökonomie hat sich umgekehrt — ein Angriff kostet nun fast nichts, und unvorbereitet zu sein kostet ein Vermögen.
Und es wird auf eine spezifische Weise schlimmer. Fast die Hälfte der Sicherheitsfachleute erwartet, dass agentic AI — Systeme, die Aufklärung, Deepfake-Generierung und Social Engineering ohne Menschen in der Schleife verketten — bis Ende 2026 ein Top-Angriffsvektor sein wird. Der fünfzig-Dollar-Nachmittag, den ich damit verbrachte, einen Detektor auszutricksen, wird zu einer vollautomatisierten Pipeline, die gegen Hunderte von Zielen läuft, während der Operator schläft.
Was wir tatsächlich bauen
Wenn ein Unternehmen zu uns kommt, erscheinen wir also nicht mit einem Produkt zum Verkauf. Wir sind absichtlich anbieterneutral — wir verkaufen keines der Tools weiter, die ich genannt habe, und das ist der einzige ehrliche Weg, einem Kunden zu sagen, dass sowohl das Beratungs-Framework für 500.000 US-Dollar als auch das elegante Zoom-Plugin für sich allein unzureichend sind.
Wir beginnen mit der Prozessebene, weil sie die Intervention mit dem höchsten ROI ist und nichts gekauft werden muss: Out-of-Band-Verifizierungs-Workflows, Doppelautorisierung oberhalb von Schwellen, die Rückruf-Disziplin, die Erkennungsgenauigkeit für die Geldsicherheit nahezu irrelevant macht. Dann architektieren wir den Erkennungs-Stack um Ihre tatsächliche Konferenzumgebung — die richtige Kombination von Modalitäten aus diesen rund zwanzig Anbietern statt eines Single-Platform-Pitchs, und schließen die Injection-Angriffs-Naht, die Liveness-Tools offen lassen. Wir bilden jede Kontrolle auf die Regulierungen ab, die Sie jetzt betreffen. Und wir red-teamen sie: Wir führen den synthetischen Angriff gegen Ihre bestehenden Verteidigungen, um die Lücke zu finden, bevor ein Krimineller es tut — dieselbe Nachmittagsübung vom Anfang, als Service. Wenn Sie die vollständige Architektur wollen, ist sie dargestellt auf unserer Deepfake-Abwehrseite.
Ich lasse Sie mit dem zurück, was ich jedem Board sage, sobald die Demo landet und der Raum still wird.
Die Kontrolle, die jede Version davon übersteht — das Deepfake-Gesicht, der injizierte Feed, was immer sie als Nächstes bauen — ist die vorregistrierte Nummer, die ein Treasury-Analyst wählt, bevor das Geld sich bewegt. Sie ist das am wenigsten raffinierte Element in Ihrem Security-Stack, und nach Januar 2026 ist sie das Einzige zwischen einem synthetischen Gesicht und einem unversicherten Verlust.
