Das Bundesamt für Cybersicherheit hat für 2025 insgesamt 971 gemeldete Fälle von CEO-Betrug gezählt, nach 719 im Jahr davor. Damit gehört diese Masche zu den am häufigsten gemeldeten Betrugsarten der Schweiz. Das Muster dahinter ist alt: jemand gibt sich als Chef aus, es eilt, es ist vertraulich, und am Ende steht eine Zahlung.
Neu ist die Tonspur.
Das BACS hat im August 2026 aufgeschrieben, wie wenig für einen Deepfake-Betrug nötig ist. Zum Klonen einer Stimme genügt aktuell eine Audiodatei von rund zehn Sekunden. Die Begründung, warum Täter diesen Aufwand überhaupt betreiben, ist unangenehm einleuchtend: einer Stimme wird mehr vertraut als einer E-Mail.
Die meisten Firmen reagieren darauf mit der Frage, wie man eine geklonte Stimme erkennt. Das ist die Frage, deren Antwort jedes Jahr schlechter wird. Eine andere hält länger: Woran hängt bei euch eine Zahlungsfreigabe?
Was die KI am CEO-Betrug verändert hat
Der Ablauf, den das BACS beschreibt, kommt ohne Technikmagie aus. Die Täter recherchieren über LinkedIn und die Firmenwebsite, wer bei euch wem berichtet und wer Zahlungen auslöst. Dann kommt eine E-Mail vom angeblichen Vorgesetzten, oft von einer Domain mit einem vertauschten Buchstaben. Dringend und diskret, mit Druck.
Was die KI hinzufügt, sind Schichten von Glaubwürdigkeit. Zuerst der Schreibstil: Kriminelle nutzen KI-Werkzeuge, um die Ausdrucksweise des echten Vorgesetzten zu imitieren. Dann die Stimme, in Form von Deepfake-Audioanrufen und Sprachnachrichten. Und inzwischen auch das Bild. Das BACS hält fest, dass sich mit KI aus statischen Bildern rasch Videos erzeugen lassen. Ein Porträtfoto von der Teamseite reicht als Ausgangsmaterial.
Wirtschaftlich betrachtet ist das keine neue Angriffsart. Es ist eine Preissenkung. Was früher Talent, Zeit und Sprachkenntnisse brauchte, kostet heute ein Abo. Die Art der Angriffe bleibt. Ihre Trefferquote steigt.
Damit verschiebt sich auch die Rechnung, ab wann sich ein Versuch lohnt. Wer eine halbe Woche Vorbereitung investieren musste, hat sich auf Ziele mit grossen Beträgen konzentriert. Wer zehn Sekunden Audio und ein Foto braucht, kann dieselbe Masche auf einen Betrieb mit achtzig Leuten anwenden und dabei profitabel bleiben. Deshalb landet Deepfake-Betrug gerade in Schweizer KMU.
Warum Erkennen gegen Deepfake-Betrug nicht schützt
Der Reflex nach solchen Meldungen ist die Sensibilisierungsschulung. Wir haben uns die Möglichkeiten und Grenzen von Security-Awareness-Training an anderer Stelle angesehen, und bei Deepfakes zeigt sich diese Grenze besonders deutlich.
Schulung arbeitet mit Signalen. Der holprige Satzbau, die falsche Anrede, der Absender, der beim zweiten Hinsehen nicht stimmt. Diese Signale räumt generative KI weg. Du trainierst damit ein Erkennungsmerkmal, das der Angreifer als erstes repariert.
Dazu kommt ein Zeitproblem. Die Entscheidung, ob eine Stimme am Telefon echt ist, fällt in wenigen Sekunden, unter Druck, gegenüber einer Person mit Weisungsbefugnis. Das ist keine Situation, in der Wissen zuverlässig gewinnt.
Wir sagen das nicht gegen Schulung. Sie ist nützlich für das, was sie kann: Leuten die Erlaubnis geben, unsicher zu sein und trotzdem den Hörer wegzulegen. Als letzte Verteidigungslinie taugt sie nicht. Dasselbe Argument haben wir bei der Phishing-Prävention gemacht, wo der Klick von Anfang an eingeplant gehört.
In unserer Erfahrung haben die Mitarbeitenden, die so einen Fall gestoppt haben, die Fälschung fast nie erkannt. Sie hatten eine Regel.
Wo das Geld das Haus verlässt
Ein Deepfake-Anruf zielt am Ende auf eine von wenigen Türen, hinter denen Geld oder Zugang liegt. Diese Türen lassen sich zählen, und das macht das Problem bearbeitbar.
Die erste ist die Zahlungsfreigabe ausserhalb des üblichen Wegs. Freitagnachmittag, die Buchhalterin ist allein im Büro, eine Sprachnachricht vom Geschäftsführer: Eine Akquisition, streng vertraulich, der Anwalt meldet sich gleich, die Anzahlung muss heute raus. Die Stimme stimmt. Die Dringlichkeit erklärt, warum der übliche Weg diesmal nicht geht. Die Vertraulichkeit erklärt, warum sie niemanden fragen soll. Die Technik liefert hier nur die Stimme. Den Weg zum Geld öffnet eine Ausnahmeregel, die es schon vorher gab.
Die zweite Tür fällt öfter unter den Tisch: die Stammdatenänderung. Ein bestehender Lieferant meldet eine neue Bankverbindung. Kein Zeitdruck, keine Dramatik, nur ein Feld in der Buchhaltung. Die nächsten drei Rechnungen laufen ganz normal, an ein fremdes Konto. Auffallen kann das erst, wenn der echte Lieferant mahnt. Das BACS empfiehlt für Zahlungen und für Stammdatenänderungen dasselbe Vier-Augen-Prinzip.
Die dritte Tür ist der interne Helpdesk. Ein Anruf mit vertrauter Stimme, ein zurückgesetztes Passwort, ein neu registrierter zweiter Faktor. Danach braucht niemand mehr eine gefälschte Stimme, weil das Konto echt ist. Wer diese Tür schliessen will, kommt ohne Produkt aus: Ein Zurücksetzen wird über einen Kanal bestätigt, der nicht im Anruf selbst steckt, etwa über die vorgesetzte Person oder über das bereits registrierte Gerät. Wenn der Helpdesk bei euch extern ist, gehört diese Regel in den Vertrag und nicht in die Kultur.
Alle drei Wege laufen über Abläufe, die es bei euch längst gibt. Die Frage ist nur, ob sie aufgeschrieben sind oder ob sie im Kopf von zwei Personen leben.
Der Mythos vom stillen Anruf
Zu diesem Thema kursiert ein Ratschlag, der mehr Aufmerksamkeit kostet, als er bringt: Nimm keine unbekannten Anrufe entgegen, sag nichts, sonst wird deine Stimme geklont.
Das BACS hat das im August 2026 ausdrücklich eingeordnet. Dass ein simples "Hallo" oder das Nennen des eigenen Namens für einen vollständigen Stimmklon reicht, sei unwahrscheinlich. Für einen gezielten Versuch braucht es ein längeres Gespräch.
Dass eine Behörde die Aufregung um ihr eigenes Thema selbst dämpft, kommt selten vor. Nimm es mit. Praktisch ist es eine Erleichterung, denn die Stimme eurer Geschäftsführerin ist kein Geheimnis. Sie steckt im Podcast-Interview, im Webinar-Mitschnitt, in der Videobotschaft auf der Startseite, in der Telefonansage. Zehn Sekunden davon sind öffentlich verfügbar, und daran ändert kein Verhaltenstipp etwas.
Eine Abwehr, die darauf baut, dass die Stimme der Chefin geheim bleibt, ist damit erledigt, bevor sie anfängt. Bleibt also die Abwehr, die ohne die Stimme auskommt.
Was du gegen Deepfake-Betrug nicht kaufen musst
Es gibt Software, die Deepfakes erkennen soll, und sie wird gerade verkauft. Wir haben keine belastbare Grundlage, um dir zu sagen, wie gut solche Erkennung im Alltag eines KMU funktioniert. Das ist der Einwand. Du müsstest ihr eine Entscheidung anvertrauen, deren Qualität du nicht messen kannst, in einem Feld, in dem sich die Gegenseite alle paar Monate verbessert.
Die Rückrufregel kannst du messen. Sie wurde eingehalten oder nicht, und das steht im Beleg. Sicherheit, die du überprüfen kannst, ist mehr wert als Sicherheit, die du glauben musst. Das ist bei diesem Thema auch die billigere Variante.
Die Regel, die nicht wissen muss, ob die Stimme echt war
Das BACS nennt als Massnahme die Verifizierung über einen zweiten Kanal: den Anrufer unter der bekannten Nummer zurückrufen. Das klingt nach wenig. Es ist der ganze Punkt.
Ein Rückruf auf die im System hinterlegte Nummer funktioniert unabhängig davon, wie gut die Fälschung war. Die Regel prüft nicht die Stimme, sie prüft den Kanal. Deshalb altert sie nicht mit der Technik.
Die Nummer stammt aus eurem System, nie aus der Nachricht. Eine Rückrufnummer, die im selben Mail steht wie die Zahlungsaufforderung, prüft nichts.
Die Schwelle ist vorher festgelegt und aufgeschrieben. Ab welchem Betrag braucht es zwingend eine zweite Person, und wer ist diese zweite Person, wenn sie in den Ferien ist? Ohne beantwortete Vertretungsfrage wird die Regel beim ersten Engpass umgangen, und dann steht sie bloss noch auf dem Papier.
Und die Regel gilt für alle. Daran scheitert es in der Praxis am häufigsten. Eine Freigaberegel, von der die Geschäftsleitung sich selbst ausnimmt, ist eine Empfehlung für Untergebene. Wer Zahlungen freigibt, muss einem Anruf der eigenen Chefin widersprechen dürfen, ohne das später rechtfertigen zu müssen. Diese Erlaubnis kann nur von oben kommen, und sie muss ausgesprochen sein. Damit liegt das Thema dort, wo Cybersicherheit als Aufsichts- und Haftungsfrage hingehört.
Aus demselben Grund behandeln wir KI-Risiken und die sichere Einführung von KI nicht getrennt vom Rest der Sicherheitsarbeit. Die Werkzeuge, die deine Leute nutzen, und die, die gegen sie eingesetzt werden, gehören ins selbe Risikobild. Wer gerade klärt, welche KI im Unternehmen im Umlauf ist, nimmt die Freigabefrage am besten gleich mit.
Die nächsten drei Zahlungen
Die Prüfung dauert keine Stunde. Nimm die letzten drei Zahlungen über eurer Schwelle und geh ihnen nach. Wer hat sie ausgelöst, wer hat sie freigegeben, und über welchen Kanal wurde das bestätigt. Dann dasselbe für die zuletzt geänderte Lieferanten-Bankverbindung.
Wenn die Antwort irgendwo "per Mail" oder "hat mir der Chef gesagt" lautet, hast du deine Lücke gefunden. Sie ist organisatorisch, sie kostet nichts ausser einer Entscheidung, und sie schliesst sich schneller, als jedes Werkzeug beschafft ist.
Wenn du wissen willst, wie eure Freigabewege einem gezielten Versuch standhalten, schauen wir das mit dir strukturiert an. Ein erstes Gespräch ist unverbindlich.
Eine Frage bleibt für uns offen, und wir haben dazu keine belastbaren Zahlen: Wie viele dieser Fälle werden in Schweizer KMU überhaupt gemeldet, wenn am Ende die Person geradestehen müsste, die freigegeben hat?
Häufige Fragen
Wie schützt man sich vor Deepfake-Betrug im Unternehmen?
Über den Freigabeweg, nicht über die Erkennung. Das BACS empfiehlt die Verifizierung über einen zweiten Kanal: den Anrufer unter der im System hinterlegten Nummer zurückrufen, nie unter der Nummer aus der Nachricht. Dazu eine zweite Person ab einer festgelegten Betragsschwelle und dasselbe Vier-Augen-Prinzip für Änderungen an Lieferanten-Bankverbindungen.
Wie viel Audio braucht es, um eine Stimme zu klonen?
Das BACS hielt im August 2026 fest, dass zum Klonen einer Stimme aktuell eine Audiodatei von rund zehn Sekunden genügt. Diese zehn Sekunden sind bei den meisten Führungspersonen öffentlich verfügbar, etwa in einem Podcast, einem Webinar-Mitschnitt oder einer Videobotschaft auf der Firmenwebsite.
Kann meine Stimme geklont werden, wenn ich einen unbekannten Anruf annehme?
Das BACS hält es für unwahrscheinlich, dass ein einfaches Hallo oder das Nennen des eigenen Namens für einen vollständigen Stimmklon reicht. Für einen gezielten Versuch braucht es ein längeres Gespräch. Anrufe nicht anzunehmen ist deshalb keine wirksame Schutzmassnahme, eine Rückrufregel für Zahlungen schon.
