Vor drei Jahren brauchte man Stunden an Aufnahmen und ein Tonstudio, um eine Stimme zu klonen. Heute reichen 30 Sekunden aus einem LinkedIn-Live oder einem Branchen-Podcast. Kosten — ein paar Euro für ein Monatsabo bei einem der Offshore-Anbieter. Angreifer wissen das und setzen es gegen polnische KMU in einem Ausmaß ein, das es vor einem Jahr noch nicht gab.
Den textbasierten „Chef-Betrug" — eine E-Mail mit dem Wunsch nach einer eiligen Überweisung, unterschrieben mit dem Namen des Chefs — gibt es seit Jahren, und die meisten Teams haben gelernt, ihn zu erkennen. Die Sprachvariante ist anders. Die Stimme des Chefs im Hörer, der bekannte Akzent, die gleiche nervöse Intonation wie immer, wenn etwas brennt. Die Person in der Buchhaltung hört das, was sie hunderte Male gehört hat. Nur ist es heute nicht der Chef.
Wir haben in den letzten Monaten mit über einem Dutzend Kunden darüber gesprochen. In einem Fall — ein 15-köpfiger Verpackungshersteller bei Poznań — bekam die Assistentin einen WhatsApp-Anruf „vom Chef": eilige Überweisung an einen neuen tschechischen Lieferanten, 47.000 PLN, „sonst verlieren wir den Lidl-Auftrag". Die Stimme war perfekt. Ein Detail passte nicht: In diesem Moment saß der Chef in einem Flugzeug nach Wien. Die Überweisung ging raus. Sie haben etwa ein Drittel zurückbekommen.
Wie der Angriff heute aussieht
Das Muster ist fast immer dasselbe, und es lohnt sich, es in dieser Reihenfolge zu kennen, denn in dieser Reihenfolge wird es auch bei dir ablaufen.
Zuerst die Aufklärung. Sie prüfen, wer Geschäftsführer ist, wer CFO, wer Überweisungen unterschreibt. Alles steht im Handelsregister, auf der Firmenwebsite, auf LinkedIn. Dann suchen sie eine Sprachaufnahme — eine Branchenkonferenz auf YouTube, ein Interview beim Lokalfernsehen, ein Video von einer Messe. 30–60 Sekunden sauberes Audio reichen.
Dann das Timing. Sie wählen fast immer einen Moment, in dem der Chef nicht erreichbar ist: Freitagnachmittag, der letzte Tag vor dem Urlaub, der Anreisetag zur Messe. Sie prüfen das auf Facebook, auf dem Firmen-Instagram oder in dem Meeting-Kalender, den die „Kontakt"-Seite stolz präsentiert.
Dann der Anruf selbst. Meist auf das Handy der Buchhalterin, über WhatsApp oder Signal — nicht auf den Festnetzanschluss. Zeitdruck, ein ungewöhnlicher, aber nicht astronomischer Betrag (damit er unter der Zweit-Signatur-Schwelle durchrutscht), eine neue Kontonummer „weil die Bank gewechselt wurde", und die Drohung mit Konsequenzen „wenn du es nicht bis 15 Uhr schaffst". Das ganze Szenario dauert 45 Sekunden bis 2 Minuten. Das Opfer hat keine Zeit zum Nachdenken.
In der fortgeschritteneren Variante kommen noch Rufnummer-Spoofing und eine Follow-up-Mail von einer Lookalike-Domain dazu — firma-sp-zoo.pl statt firma.pl. Das erzeugt eine Scheinbestätigung.
Warum KMU das Ziel sind
Große Konzerne haben Dual-Signoff-Verfahren, ein Sicherheitsteam und Schulungen zu „wie BEC aussieht". Das alles ist teuer, und die meisten 30-Mann-Firmen haben es nicht einmal auf dem Plan. Dafür haben sie das, was der Angreifer will: flexible Prozesse, eine „Chef fragt, wir tun"-Kultur und eine Buchhalterin, die nicht zweimal fragen will, weil sie Angst hat, inkompetent zu wirken.
Dazu kommt noch etwas. Im KMU kennt jeder jeden. Die Stimme des Chefs ist so vertraut, dass es unhöflich wirkt, sie in Frage zu stellen. „Wie, soll ich überprüfen, ob es wirklich Herr Krzysztof ist? Ich arbeite hier seit acht Jahren." Diese Unhöflichkeit ist genau das, was der Betrüger kauft.
Die Beträge in Angriffen auf polnische KMU, die wir dieses Jahr gesehen haben, liegen zwischen 15.000 und 120.000 PLN. Groß genug, um wehzutun. Klein genug, um am Zwei-Personen-Autorisierungsprozess vorbeizuschlüpfen, den die meisten Firmen ohnehin nicht haben.
5 Verteidigungen, die wirklich funktionieren
Keine dieser Verteidigungen verlangt ein Vermögen oder eine Firmenrevolution. Aber sie verlangen, dass jemand sie einmal aufschreibt, kommuniziert und konsequent anwendet.
- Out-of-Band-Verifizierung. Jede Bitte um eine Überweisung über einer vereinbarten Schwelle — etwa 5.000 PLN — an einen bisher unbekannten Empfänger wird telefonisch auf der bekannten, zuvor gespeicherten Nummer des Chefs verifiziert. Nicht auf der Nummer, von der die Bitte kam. Nicht per WhatsApp. Auf dem Handy, das die Buchhalterin seit einem halben Jahr gespeichert hat. Wenn der Chef nicht rangeht — wir warten.
- Familienpasswort für Überweisungen. Vereinbart mit Schlüsselpersonen ein Codewort (kein „Passwort" — etwas Uneindeutiges, z. B. der Name eines Lieblingsrestaurants aus dem Urlaub 2019), das der Chef immer nennt, wenn er wirklich wegen einer eiligen Überweisung anruft. Ein Deepfake kennt das nicht. Eine Frage reicht: „wie immer — was essen wir in Sopot?".
- Zwei-Personen-Autorisierung über einer Schwelle. Jede Überweisung über einem vereinbarten Betrag (für eine 20-Mann-Firma sind 10.000–20.000 PLN eine sinnvolle Schwelle) verlangt die Freigabe einer zweiten Person im Online-Banking. Das ist eine eingebaute Funktion bei mBank, ING und Santander — man muss sie nur aktivieren.
- Neuer Lieferant = 24 Stunden. Eine neue Bankverbindung eines Lieferanten wird nie am selben Tag ausgeführt. Immer 24 Stunden Pause und ein Bestätigungsanruf an die Nummer von der offiziellen Website des Lieferanten (nicht aus der E-Mail-Fußzeile — die kann gefälscht sein). Diese eine Regel fängt die meisten „Kontowechsel"-Angriffe ab.
- Hygiene öffentlicher Aufnahmen. Verwaltet bewusst, wie viel Stimme des Geschäftsführers und des CFO öffentlich zugänglich ist. Es geht nicht um Schweigen in den Medien — es geht um das Bewusstsein, dass jeder Podcast und jede Konferenzaufnahme Trainingsmaterial ist. Zu wissen, dass es so ist, reicht, damit die Leute vorsichtiger werden.
Was in der ersten Stunde nach der Überweisung zu tun ist
Wenn es schon passiert ist — Geschwindigkeit zählt. Die Bank hat ein sehr kurzes Fenster, in dem sie eine Elixir-Überweisung (polnisches Clearing) rückgängig machen kann (wenige Minuten in Standardsitzungen), und ein längeres Fenster, um Gelder bei der Empfängerbank einzufrieren.
- Innerhalb von 15 Minuten: Rufe die Hotline der Firmenbank an und verlange den Stopp der Überweisung unter Angabe der Referenznummer. Keine Mail, kein Chat — Telefon.
- Innerhalb einer Stunde: Meldung bei CERT Polska (
incydent.cert.pl), das bei der Kommunikation mit der Empfängerbank helfen kann. - Am selben Tag: Anzeige bei der Polizei. Ohne sie friert die Empfängerbank die Gelder nicht länger als ein paar Tage ein.
- Warne das Team. Der Angreifer kommt meist für einen zweiten Versuch bei derselben Firma zurück und rechnet mit dem Chaos. Dieselbe 15-Mann-Verpackungsfirma hat in den sechs Monaten nach dem ersten Angriff zwei weitere Versuche abgefangen — beide durch das Codewort blockiert, das sie eine Woche nach dem ersten Vorfall eingeführt haben.
Wie es weitergeht
Stimm-Deepfakes sind kein Filmszenario mehr. Sie sind ein Werkzeug, das weniger als ein Mittagessen kostet, in fünf Minuten einsatzbereit ist und direkt dort zielt, wo KMU keine Deckung haben — im Vertrauen zwischen Menschen, die sich kennen.
Technik allein löst das nicht. Drei einfache Regeln schließen in der Praxis 95% der Angriffsfläche: Out-of-Band, Codewort, Zwei-Personen-Autorisierung über einer Schwelle. Der Rest ist Training des Teams, damit niemand Angst hat, eine unangenehme Frage zu stellen.
Wenn du das in deiner Firma in einer Stunde durchgehen willst — ohne Folien, an euren echten Prozessen — vereinbare einen Termin. Das erste Gespräch ist kostenlos.
Ein Deepfake kauft keine Technologie. Er kauft die Unhöflichkeit einer Buchhalterin, die Angst hat, zweimal zu fragen.