KI-Stimmklonung hat Business Email Compromise zu einem Telefonproblem gemacht
Business Email Compromise (BEC) kostete US-Unternehmen laut dem Internet Crime Complaint Center des FBI im Jahr 2025 3,05 Milliarden US-Dollar — die größte Kategorie gemeldeter Cyberkriminalitätsverluste. Ein Jahrzehnt lang bauten Unternehmen ihre Abwehr auf einer Annahme auf: Eine E-Mail lässt sich fälschen, ein Telefonanruf nicht. Diese Annahme gilt nicht mehr. Stimmklonen, das nur wenige Sekunden öffentliches Audiomaterial benötigt, hat BEC von einem Text- zu einem Telefonproblem gemacht.
Wie die alte Verteidigung funktionierte
Klassisches BEC beruht auf einem gefälschten E-Mail-Konto: Ein Angreifer gibt sich als Geschäftsführer aus und fordert eine dringende Überweisung. Sicherheitsteams schulten Mitarbeiter, ungewöhnliche Zahlungsanfragen über einen zweiten Kanal zu verifizieren — meist einen Anruf an eine bekannte Nummer. Diese Kontrolle funktionierte, weil eine überzeugende Stimme früher teure Studiotechnik erforderte.
Was sich geändert hat
Consumer-Tools für Stimmklonung erzeugen heute eine brauchbare Imitation aus einem kurzen öffentlichen Clip. Angreifer kombinieren dies mit Recherchen aus LinkedIn und öffentlichen Dokumenten, um herauszufinden, wer Überweisungen genau freigibt.
Der Mechanismus ist nicht neu — der Fall von 2019, bei dem Betrüger die Stimme des Geschäftsführers der deutschen Muttergesellschaft eines britischen Energieunternehmens klonten und 220.000 Euro stahlen, zeigte dies bereits. Was sich bis 2025 änderte, sind Kosten und Geschwindigkeit, einen überzeugenden Klon zu erstellen.
Was die Zahlen zeigen
Der FBI-Bericht 2025 beziffert die gesamten gemeldeten Zahlungsbetrugsverluste in den USA auf 20,877 Milliarden US-Dollar, ein Anstieg um 26 %. BEC blieb mit 3,05 Milliarden die größte Kategorie geschäftlicher Verluste. Die Behörde verzeichnete zudem über 22.000 Beschwerden, die explizit mit KI-gestütztem Betrug verbunden waren, mit gemeldeten Verlusten von rund 893 Millionen US-Dollar.
Warum schriftliche Verifizierung allein jetzt versagt
Das Kernproblem: Angreifer können heute beide Hälften eines Standard-Verifizierungsverfahrens erfüllen — eine gefälschte E-Mail macht die ursprüngliche Anfrage plausibel, eine geklonte Stimme im Bestätigungsanruf macht die anschließende Verifizierung ebenfalls plausibel.
Was jetzt tatsächlich funktioniert
Out-of-Band-Verifizierung, die nicht allein auf Stimmerkennung beruht: Ein Rückruf an eine vorab verifizierte Nummer bleibt nützlich, sollte aber mit einem vorab vereinbarten Codewort kombiniert werden.
Doppelte Autorisierung mit strikter Geldschwelle: Jede Überweisung über einem festgelegten Betrag erfordert die Freigabe zweier Personen über zwei getrennte Systeme.
Dringlichkeit selbst als Hauptwarnsignal behandeln: Richtlinien, die es Mitarbeitern ausdrücklich erlauben, als dringend markierte Zahlungsanfragen ohne Nachteile zu verzögern, entziehen dem Betrug seinen Haupthebel.
Fazit
Die Kontrolle, die im letzten Jahrzehnt des BEC zählte — “Zur Verifizierung anrufen” — ging davon aus, dass das Telefon schwerer zu fälschen war als E-Mail. Diese Annahme ist Geschichte.