Cybersicherheit

KI klaut Millionen!

(06.10.26) Eine vertraute Stimme am Telefon, eine glaubwürdig wirkende WhatsApp-Nachricht und ein angeblich dringender Auftrag: Mehr braucht es unter Umständen nicht, um selbst erfahrene Finanzprofis zu täuschen. Wie weitreichend die Folgen sein können, zeigt ein öffentlich gewordener Betrugsfall bei Fideuram, der italienischen Privatbank des Intesa-Sanpaolo-Konzerns. Nach einem Reuters-Bericht veranlasste der damalige Verwaltungsratschef Paolo Molesini nach gefälschten Nachrichten und einem Anruf mit nachgebildeter Stimme Überweisungen von insgesamt rund 95 Millionen Euro, überwiegend nach China und Hongkong.

Ein erheblicher Teil der Gelder konnte gesichert werden. Beim verbliebenen Schaden unterscheiden sich allerdings die veröffentlichten Angaben: Reuters berichtete am 25. September 2026 von rund 36 Millionen Euro, die weiterhin fehlten. Die italienische Nachrichtenagentur ANSA nannte in einer ausführlicheren Darstellung unter Berufung auf Ermittlungsunterlagen 39,5 Millionen Euro. Die viel zitierte Zahl von 36 Millionen Euro sollte deshalb als berichteter Betrag verstanden werden, nicht als abschließend festgestellter Schaden.

Für Sie ist die wichtigste Erkenntnis unabhängig von dieser Differenz: Eine vertraut klingende Stimme ist kein ausreichender Identitätsnachweis mehr. Betrüger können künstliche Intelligenz einsetzen, um Vertrauen aufzubauen und Zahlungsentscheidungen zu beeinflussen. Damit bekommt eine alte Betrugsmasche eine neue Überzeugungskraft: Der vermeintliche Chef, Bankberater oder Angehörige klingt möglicherweise tatsächlich wie die Person, für die er sich ausgibt.

So funktionierte die Millionenfalle

Nach der von ANSA beschriebenen Rekonstruktion begann der Angriff am 23. Februar 2026 mit einer WhatsApp-Nachricht. Der Absender gab sich als Carlo Messina, Konzernchef von Intesa Sanpaolo, aus. Bemerkenswert: Die Nachricht kam dem Bericht zufolge von einer anderen als der Molesini bekannten Nummer. Die Täter lieferten dazu eine Geschichte über eine vertrauliche internationale Bankübernahme, die angeblich über Fideuram abgewickelt werden müsse.

Anschließend meldete sich ein vermeintlicher Anwalt. Seine Stimme soll mithilfe künstlicher Intelligenz nachgebildet worden sein. Hinzu kamen Unterlagen, eine angebliche Vollmacht und eine Verschwiegenheitsvereinbarung. Nach dem ANSA-Bericht wurde außerdem ein Verantwortlicher im Zahlungsbereich mit einer vorgetäuschten Nachricht der Geschäftsleitung auf dringende, vertrauliche Überweisungen vorbereitet. Die Täuschung bestand damit aus mehreren aufeinander abgestimmten Elementen.

Daraus lässt sich ein entscheidender Schwachpunkt ableiten: Mehrere scheinbare Bestätigungen können aus derselben betrügerischen Quelle stammen. Wenn Nachricht, Telefonat und Dokumente von den Tätern kontrolliert werden, entsteht nur der Eindruck einer unabhängigen Prüfung. Ein zweiter Kontakt ist erst dann eine zusätzliche Absicherung, wenn Sie ihn selbst über einen bereits bekannten, unabhängigen Weg herstellen.

Was KI an der Betrugsmasche verändert

Das technische Verfahren hinter einer nachgebildeten Stimme wird häufig als „Voice Cloning“ bezeichnet. Vereinfacht gesagt erzeugt ein System anhand vorhandener Sprachaufnahmen neue Aussagen, die wie die Stimme einer bestimmten Person klingen. Als Ausgangsmaterial können beispielsweise öffentlich zugängliche Interviews, Videos oder andere Audioaufnahmen dienen. Das Schweizer Bundesamt für Cybersicherheit, kurz BACS, beschreibt ausdrücklich solche Angriffe mit geklonten Stimmen von Führungspersonen.

Die eigentliche Manipulation bleibt jedoch menschlich: Autorität, Angst, Hilfsbereitschaft und Zeitdruck sollen eine sorgfältige Prüfung verdrängen. „Der Chef braucht das sofort“, „Ihr Geld ist in Gefahr“ oder „Ihr Kind benötigt dringend Hilfe“ sind unterschiedliche Geschichten mit demselben Ziel. Sie sollen handeln, bevor Sie den Auftrag unabhängig überprüft haben.

Wichtig ist eine nüchterne Einordnung: Nicht jeder verdächtige Anruf verwendet KI. Das BACS weist darauf hin, dass sich bei Schockanrufen nicht immer feststellen lässt, ob tatsächlich eine geklonte Stimme eingesetzt wurde oder Betroffene unter Stress glaubten, einen Angehörigen zu erkennen. Für Ihre Schutzmaßnahmen macht das wenig Unterschied: Prüfen Sie die Identität und die Zahlungsforderung – unabhängig davon, wie überzeugend die Stimme klingt.

Warum Erfahrung allein nicht schützt

Wer beruflich mit Geld arbeitet, ist nicht automatisch gegen Täuschung geschützt. Gerade eine glaubwürdige Geschichte aus dem eigenen Arbeitsumfeld kann Skepsis reduzieren. Eine internationale Transaktion wirkt für einen Bankmanager plausibler als für einen Außenstehenden. Ein Unternehmer kennt dringende Lieferantenzahlungen. Eltern reagieren besonders sensibel auf eine angebliche Notlage ihrer Kinder.

Betrüger können öffentlich zugängliche Informationen nutzen, um solche Geschichten anzupassen. Namen, Funktionen, Geschäftsbeziehungen und Zuständigkeiten lassen sich teilweise auf Unternehmensseiten oder in sozialen Medien finden. Das BACS warnt, dass dadurch die Schlüsselpersonen eines Zahlungsprozesses identifizierbar werden und Täter passende Angriffsszenarien entwickeln können.

Ihre wirksamste Gegenmaßnahme ist deshalb ein festes Verfahren, das auch bei vertrauten Personen gilt. Fragen Sie bei ungewöhnlichen Zahlungswünschen nicht nur: „Klingt das glaubwürdig?“ Fragen Sie: „Wie bestätige ich unabhängig, wer diesen Auftrag erteilt hat?“ Ein solcher Ablauf schützt besser als das Vertrauen darauf, im entscheidenden Moment jede Fälschung erkennen zu können.

Die wichtigste Schutzregel: selbst zurückrufen

Beenden Sie bei einer ungewöhnlichen Geldforderung das Gespräch und rufen Sie die betreffende Person über eine bereits bekannte Nummer an. Verwenden Sie Ihren gespeicherten Kontakt oder eine unabhängig recherchierte offizielle Telefonnummer. Nutzen Sie keine neue Nummer, die Ihnen erst in der verdächtigen Nachricht mitgeteilt wurde. Auch die direkte Antwort im selben Chat schafft keine unabhängige Bestätigung.

Bei einem angeblichen Bankmitarbeiter können Sie beispielsweise sagen: „Ich prüfe das über die offizielle Banknummer und melde mich dort.“ Anschließend kontaktieren Sie Ihre Bank über die Telefonnummer auf Ihrer Bankkarte, über deren selbst aufgerufene Internetseite oder über das Ihnen bekannte sichere Postfach. Das BSI warnt ausdrücklich davor, zweifelhaften Geld- oder Datenforderungen aufgrund einer angezeigten Telefonnummer oder Absenderadresse zu vertrauen.

Das BACS empfiehlt bei ungewöhnlichen Aufträgen eine telefonische oder persönliche Rücksprache und ausdrücklich keine bloße Antwort auf die erhaltene E-Mail. Für Familien und Unternehmen lässt sich daraus dieselbe Regel ableiten: Eine dringende Geldforderung wird erst nach einer unabhängigen Bestätigung ausgeführt. Ist die Person nicht erreichbar, bleibt die Zahlung ausgesetzt.

So schützen Sie Ihre Familie

Besprechen Sie die Betrugsmaschen mit Angehörigen, bevor eine vermeintliche Notlage eintritt. Vereinbaren Sie einen einfachen Ablauf: auflegen, über die bekannte Nummer zurückrufen und bei Nichterreichbarkeit eine weitere vertraute Person kontaktieren. Das gilt auch dann, wenn eine Nachricht persönliche Angaben enthält oder der Anrufer wie ein Familienmitglied klingt.

Als zusätzliche Hürde können Sie ein Familienkennwort vereinbaren. Wählen Sie dafür keine öffentlich bekannten Informationen wie Geburtstag, Wohnort oder Haustiername. Das Kennwort sollte nicht in einer frei zugänglichen Nachricht stehen. Es ergänzt den Rückruf, ersetzt ihn aber nicht: Auch ein Kennwort kann bekannt werden oder weitergegeben werden.

Formulieren Sie außerdem eine klare Familienregel: Niemand muss wegen eines überraschenden Anrufs sofort Geld überweisen, Bargeld übergeben oder Wertsachen herausgeben. Besonders Kinder und ältere Angehörige sollten wissen, dass sie ein Gespräch jederzeit beenden dürfen. Die wichtigste Vorbereitung ist ein Satz, den jeder im Ernstfall abrufen kann: „Ich helfe Ihnen – aber zuerst prüfe ich, mit wem ich spreche.“

Schutz für Unternehmer und Verantwortliche

In Unternehmen sollte eine Nachricht der Geschäftsleitung allein keine außergewöhnliche Zahlung auslösen können. Legen Sie verbindlich fest, wie neue Empfänger, geänderte Bankverbindungen und ungewöhnlich hohe Beträge geprüft werden. Eine vermeintlich vertrauliche Anweisung sollte diese Regeln nicht außer Kraft setzen. Gerade Geheimhaltung kann dazu dienen, Rückfragen zu verhindern.

Ein wirksames Vier-Augen-Prinzip verlangt mehr als zwei Unterschriften. Die zweite Person muss Empfänger, Betrag, Zweck und Freigabe eigenständig prüfen. Wenn beide Verantwortlichen lediglich dieselbe gefälschte Nachricht lesen, bleibt die zentrale Täuschung bestehen. Bankverbindungsänderungen sollten beispielsweise über einen bereits vorhandenen Kontakt beim Geschäftspartner bestätigt werden.

Ergänzend können Sie angemessene Überweisungslimits, Benachrichtigungen über größere Zahlungen und getrennte Zuständigkeiten für Empfängeranlage und Zahlungsfreigabe einrichten. Welche Möglichkeiten bestehen, hängt von Ihrer Bank und Ihrem Zahlungsverkehrssystem ab. Entscheidend ist die Verbindung aus technischen Hürden und klaren Abläufen. Das BACS empfiehlt ausdrücklich, Zahlungsprozesse verbindlich zu regeln und insbesondere neue Mitarbeiter für CEO-Betrug zu sensibilisieren.

Diese Warnsignale sollten Sie ernst nehmen

Besondere Aufmerksamkeit verdient die Kombination aus Dringlichkeit und Geheimhaltung. „Niemand darf davon wissen“, „der übliche Freigabeweg dauert zu lange“ oder „Sie müssen sofort handeln“ sind Gründe für eine zusätzliche Prüfung. Ein seriöser Auftrag muss auch dann überprüfbar sein, wenn die Angelegenheit zeitkritisch ist.

Weitere Warnsignale sind eine neue Telefonnummer, eine plötzlich geänderte Kontoverbindung oder ein Empfänger, der nicht zum bekannten Geschäft passt. Eine Auslandszahlung ist für sich genommen kein Betrugsbeweis. Verdächtig wird sie durch Widersprüche: Warum soll eine vertraute Person auf ein unbekanntes Konto zahlen lassen? Weshalb fehlen übliche Unterlagen? Warum soll die Rücksprache mit dem bekannten Ansprechpartner unterbleiben?

Geben Sie außerdem keine Passwörter, PINs oder Freigabecodes aufgrund eines überraschenden Anrufs weiter. Installieren Sie keine Fernwartungssoftware, um angebliche Bankprobleme beheben zu lassen. Das BACS warnt vor Anrufern, die sich als Bankmitarbeiter ausgeben und über Fernzugriff die Kontrolle über den Computer erlangen wollen.

Wenn Sie bereits überwiesen haben

Kontaktieren Sie sofort Ihre Bank oder den verwendeten Zahlungsdienstleister. Benennen Sie ausdrücklich den Betrugsverdacht und halten Sie Betrag, Zeitpunkt, Empfängerkonto und Zahlungsbeleg bereit. Fragen Sie, ob die Zahlung noch gestoppt oder ein Rückruf veranlasst werden kann. Eine Rückholung ist nicht garantiert; schnelles Handeln kann jedoch die Chancen verbessern. Das BACS empfiehlt deshalb die unverzügliche Kontaktaufnahme mit der Bank.

Sichern Sie anschließend Chats, Telefonnummern, E-Mails, Dokumente und Zahlungsdaten. Halten Sie den Ablauf schriftlich fest und erstatten Sie Strafanzeige. Wenn Sie Zugangsdaten weitergegeben oder Fernzugriff erlaubt haben, informieren Sie die Bank zusätzlich über diesen Umstand. Lassen Sie betroffene Zugänge sperren und prüfen Sie das Gerät, bevor Sie darüber erneut sensible Geschäfte erledigen.

Leisten Sie keine weiteren Zahlungen, nur weil jemand eine angebliche Freischaltung oder Rückholung des Geldes verspricht. Nach einem Betrug können weitere Täter ansetzen und sich als Helfer ausgeben. Prüfen Sie solche Angebote unabhängig. Die Aufarbeitung sollte über Ihre Bank, die Polizei und bei Bedarf qualifizierte rechtliche oder technische Unterstützung erfolgen.

Mein Fazit: Vertrauen braucht einen Prüfweg

Der Fall Fideuram zeigt, welche Folgen eine überzeugend inszenierte Identitätstäuschung haben kann. Die öffentlich berichteten Abläufe verbinden bekannte Autoritäten, eine plausible Geschichte, gefälschte Unterlagen und eine nachgebildete Stimme. Daraus folgt keine abschließende Bewertung aller internen Kontrollen der Bank. Es folgt aber eine klare praktische Lehre: Eine glaubwürdig wirkende Kommunikation darf eine unabhängige Zahlungsprüfung nicht ersetzen.

Für Ihren Alltag genügt zunächst eine feste Regel: Keine ungewöhnliche Zahlung ohne Rückruf über einen bekannten Kontakt. Ergänzen Sie diese Regel um klare Familienabsprachen, passende Kontolimits und bei geschäftlichen Zahlungen um eine tatsächlich unabhängige zweite Prüfung. Damit müssen Sie nicht erst feststellen, ob KI eingesetzt wurde.

Ihr Vermögensschutz beginnt in diesem Fall vor der Überweisung. Lassen Sie sich Zeit nehmen, statt unter Druck Geld freizugeben. Prüfen Sie die Identität, den Empfänger und den Zweck. Auch eine Stimme, die Sie seit Jahren kennen, sollte bei einer überraschenden Geldforderung diesen Prüfweg bestehen.

Mehr Hintergründe unter: www.markus-miller.com

by GEOPOLITICALBIZ