Fake News und Deepfakes: Welche Kontrollen wirken wirklich?

Besonders kritisch wird das Thema dort, wo Kommunikation unmittelbar Prozesse steuert. Das betrifft Zahlungsfreigaben, Änderungen von Bankverbindungen, Zugriffserteilungen, extern wirksame Aussagen sowie Krisenreaktion und Stakeholder-Kommunikation. Für die Prüfungspraxis rückt damit eine zentrale Schnittstelle in den Fokus: Deepfakes und Desinformation sind nicht nur ein Thema der IT-Sicherheit, sondern betreffen das Kontrollumfeld insgesamt, einschließlich Governance, Organisationsregeln, Kommunikationsrechten, Freigabeprozessen und Monitoring.

Vier Angriffsszenarien, die Unternehmen heute betreffen

Im Unternehmensalltag lassen sich vier wiederkehrende Muster beobachten: Voice-Cloning in der Zahlungsfreigabe, synthetische Teilnehmer in Video-Calls, Desinformation gegen Reputation und Marktwert sowie synthetische Identitäten in Recruiting und Vendor-Management.

1. Zahlungsumleitung über Stimmimitation
   Häufig wird das Szenario der Zahlungsumleitung über Stimmimitation, oft als „CEO-Voice-Clone“ beschrieben. Angreifer nutzen Autorität und Dringlichkeit, um etablierte Freigabewege zu verkürzen, zu umgehen oder in Ausnahmesituationen außer Kraft zu setzen. Der entscheidende Hebel ist dabei weniger technische Perfektion als situative Plausibilität: vermeintliche Vertraulichkeit, Zeitdruck, das Narrativ einer kurzfristigen Gelegenheit oder die Behauptung, Rückfragen seien wegen Termindichte oder Sensibilität nicht möglich.
2. Synthetische Teilnehmer in virtuellen Meetings
   Zunehmend plausibel ist auch der Einsatz synthetischer Video- oder Identitätsartefakte in virtuellen Meetings. In Video-Konferenzen ist die Schwelle niedrig, „mit dem CFO gesprochen zu haben“, besonders wenn die technische Qualität schwankt, Kameras häufig deaktiviert sind oder die Beteiligten sich nicht persönlich kennen. In solchen Umgebungen kann ein überzeugender synthetischer Teilnehmer ausreichen, um eine ungewöhnliche Handlung zu legitimieren, etwa eine Zahlungsfreigabe, die Weitergabe sensibler Informationen oder die Bestätigung einer „dringenden“ operativen Maßnahme.
3. Desinformation als Reputations- und Marktbeeinflussungsinstrument
   Daneben ist Desinformation als Reputations- und Marktbeeinflussungsinstrument relevant. Gefälschte Pressemitteilungen, vermeintliche Interviews, Leak-Erzählungen oder manipulierte Kundenbeschwerdevideos können erheblichen externen Druck erzeugen. Unternehmen geraten dann in ein Zeitdilemma: Eine sofortige Reaktion kann das Narrativ verstärken, eine verzögerte Reaktion kann die unkontrollierte Verbreitung begünstigen. Dieses Spannungsfeld ist im Kern ein Governance-Thema, weil es klare Rollen, Freigaberegeln und eine belastbare „Source of Truth“ für die externe Kommunikation verlangt.
4. Synthetische Identitäten im Recruiting- und Vendor-Kontext
   Schließlich sind synthetische Identitäten im Recruiting- und Vendor-Kontext zu berücksichtigen. Über überzeugende Profile, Video-Interviews und konsistente Kommunikationsmuster kann versucht werden, Zugangspfade zu eröffnen, etwa über Onboarding-Prozesse oder die Anbahnung von Lieferantenbeziehungen. Selbst wenn der Erstschaden nicht unmittelbar finanziell ist, kann die Etablierung eines Zugangs oder Vertrauensverhältnisses der Auftakt für spätere Fraud-Handlungen, Datenabflüsse oder Manipulationen sein.

Aus Kontrollsicht ist zentral, dass nicht jede Fälschung zweifelsfrei „entlarvt“ werden muss, wenn die Eskalationshandlung zuverlässig verhindert wird. Wirksame Maßnahmen konzentrieren sich daher auf Prozesse mit hohem Schadenspotenzial und definieren dort zwingende Verifikations- und Freigaberegeln, die auch unter Zeitdruck nicht ausgehebelt werden können.

Deepfakes erkennen: Praktikable Indikatoren statt überzogener Erwartungen

Erkennung bleibt wichtig, sollte aber realistisch eingeordnet werden. Unternehmen sollten nicht davon ausgehen, dass Mitarbeiter Deepfakes zuverlässig „am Klang“ oder „am Blick“ erkennen. Bewährt hat sich stattdessen eine Kombination aus pragmatischen Prüfungen, Kontextlogik und klaren Eskalationsregeln.

Bei Audio- und Video-Inhalten können einfache Liveness-Checks helfen, etwa spontane Rückfragen, die nicht antizipiert wurden, oder kurze Abgleiche mit internen Fakten und Prozessen. Hinzu kommen Hinweise wie unplausible Pausen, eine monotone Prosodie (also die Sprechmelodie), Inkonsistenzen zwischen Sprachinhalt und Situation sowie bei Videos Auffälligkeiten in Lippen-Synchronität, Mimik oder Artefakten. Solche Indikatoren sind nicht beweissicher, können aber einen standardisierten Verdachtsmodus auslösen, der den Vorgang in eine Verifikationsstrecke überführt.

Bei Text- und Bildinhalten ist die Herkunft besonders relevant. Ungewöhnliche Tonalität, übertriebene Dringlichkeit, widersprüchliche Detailangaben oder ein Bruch mit etablierten Kommunikationsmustern sind Warnzeichen. Entscheidender als Stilmerkmale ist jedoch, ob der Inhalt aus einem verifizierten, kontrollierten Kanal stammt und ob sich die Information unabhängig bestätigen lässt. Technische Verfahren wie Metadaten-Prüfungen, Hash-Abgleiche oder Provenance-Ansätze, etwa kryptografische Herkunftsnachweise, können unterstützen, sind in vielen Organisationen aber noch nicht breit implementiert und sollten als Teil einer mehrschichtigen Strategie verstanden werden.

Systemisch ist das Erkennen von Anomalien häufig besonders wirksam. Neue Empfängerkonten, atypische Beträge, ungewöhnliche Zeitpunkte, ungewohnte Geräte oder Kommunikationsmuster liefern oft frühere und belastbarere Signale als eine rein medienforensische Betrachtung. Entscheidend ist, dass solche Signale konsequent einen definierten Prozess auslösen, der Dokumentation, Verifikation und Entscheidung transparent macht.

Prävention: „Verifizieren statt Vertrauen“ als Designprinzip

Die wirksamsten Maßnahmen liegen häufig in Organisation und Prozessdesign. Ausgangspunkt ist die eindeutige Definition kritischer Entscheidungen, etwa Zahlungen oberhalb von Schwellenwerten, Änderungen von Bankverbindungen, Zugriffserteilungen, Freigaben mit Außenwirkung sowie öffentliche Statements. Für diese Fälle sollten verbindliche Entscheidungs-Tore etabliert werden, die eine menschliche Prüfung erzwingen, etwa durch Vier-Augen-Prinzip, klar definierte Freigabepfade und bei atypischen Vorgängen eine konsequente Out-of-Band-Verifikation über einen zweiten, unabhängigen Kanal.

Dabei ist wesentlich, dass Bestätigungen nicht über Kontaktdaten erfolgen, die aus der verdächtigen Nachricht stammen, sondern über bekannte, intern gepflegte Verzeichnisse oder zuvor verifizierte Stammdaten. Zusätzlich hilft eine klare Kommunikations-Policy, die die „Source of Truth“ im Unternehmen festlegt: Wer darf öffentlich sprechen, welche Kanäle sind offiziell, welche Inhalte sind freigabepflichtig und wie werden Social-Media-Accounts, Domains und Pressebereiche abgesichert. Je klarer diese Regeln sind, desto schneller und belastbarer ist die Verifikation intern wie extern.

Zugleich sollte ein „Stop-the-line“-Recht ausdrücklich verankert sein. Mitarbeiter müssen bei Verdacht Vorgänge anhalten dürfen, ohne Sanktionen befürchten zu müssen. Deepfake-Fraud nutzt Zeitdruck als Hebel; jedes legitimierte Innehalten reduziert die Erfolgswahrscheinlichkeit.

Technisch sollte eine Mindesthygiene konsequent umgesetzt werden. Dazu gehören Authentizitäts- und Integritätskontrollen für Kommunikationskanäle, eine starke Absicherung offizieller Accounts durch Mehrfaktor-Authentifizierung, belastbare Rollen- und Berechtigungskonzepte, Recovery-Prozesse sowie Protokollierung. Ergänzend ist ein Monitoring erforderlich, um externe Signale früh sichtbar zu machen. Social Listening und Open Source Intelligence (OSINT) sind dabei nicht nur Kommunikationsinstrumente, sondern ein Risikofrühwarnsystem, das auffällige Inhalte zeitgerecht in eine Triage- und Fact-Check-Strecke überführt.

Governance und Krisenmanagement: Das Playbook muss geübt sein

Deepfakes und Fake News entfalten ihre Wirkung vor allem über Geschwindigkeit. Governance entscheidet daher nicht nur über präventive Kontrollen, sondern über Reaktionsfähigkeit. Ein belastbares Krisen-Playbook strukturiert den Ablauf von Hinweisaufnahme und Triage über Fact-Check und interne Belegprüfung bis zur Freigabe von Kommunikation, Plattformmaßnahmen und Nachsorge. In der Praxis ist der Fact-Check häufig der Engpass. Es muss kurzfristig geklärt werden, ob eine Information durch Primärsysteme, verifizierte Kanäle oder belastbare interne Evidenz bestätigt werden kann und ob externe Schritte wie Kennzeichnung, Meldung oder Takedown einzuleiten sind.

Reife entsteht in diesem Kontext weniger durch Dokumente als durch Übungen. Tabletop-Szenarien, die realistische Deepfake- oder Desinformationslagen simulieren, testen nicht nur Technik, sondern Rollen, Entscheidungswege und Kommunikationsfähigkeit. Sie machen sichtbar, ob Freigaben zu langsam sind, Zuständigkeiten unklar bleiben oder Schnittstellen zwischen Legal, Public Relations/Investor Relations, IT-Security und Management nicht funktionieren. Auf Seiten der Governance sind solche Übungen zugleich ein Nachweis organisatorischer Resilienz, weil sie die Fähigkeit stärken, unter Zeitdruck nachvollziehbar, kontrolliert und konsistent zu handeln.

Was Deepfake-Risiken für die Prüfungspraxis bedeuten

Für die Wirtschaftsprüfung ist zunächst die Risikoanalyse entsprechend zu erweitern. Exponiert sind vor allem Unternehmen mit hoher Sichtbarkeit, kapitalmarktnaher Kommunikation, komplexen Zahlungs- und Lieferantenprozessen oder stark digitalisierten, dezentralen Entscheidungswegen. In der Beurteilung des Internen Kontrollsystems (IKS) rücken Kontrollen in den Vordergrund, die kritische Transaktionen und extern wirksame Kommunikation unabhängig verifizieren, Ausnahmen begrenzen und Eskalationsregeln eindeutig definieren. Relevante Prüfungsaspekte sind außerdem Kommunikationsrechte, Account-Sicherung, Incident-Response-Strukturen und Fähigkeiten des Monitorings.

Prüferisch gewinnt der Grundsatz „Verifizieren statt Vertrauen“ auch für Prüfungsnachweise an Bedeutung. Wo externe Informationen, Medieninhalte oder angebliche Management-Statements einen Einfluss auf wesentliche Prozesse haben können, ist die Herkunft und Integrität zu würdigen und bei Relevanz unabhängig zu bestätigen, idealerweise durch Abgleich mit Primärsystemen, kanalverifizierten Kontakten und kontrollierten Kommunikationswegen. Zudem sollten Vorfälle und „Near Misses“ als Evidenzquelle genutzt werden: Nicht nur realisierte Schäden, auch verhinderte Angriffe zeigen, ob Kontrollen operativ greifen, wie schnell Triage funktioniert und ob Dokumentation und Freigabeprozesse belastbar sind. Schließlich ist die Kommunikation mit den für die Überwachung Verantwortlichen sachgerecht zu erweitern, wenn Deepfake- und Desinformationsrisiken das Kontrollumfeld, Disclosure-Prozesse oder wesentliche Geschäftsprozesse beeinträchtigen können.

Fazit

Fake News und Deepfakes sind kein Randthema, sondern ein modernes Risikofeld mit unmittelbarer Prozess-, Kommunikations- und Governance-Relevanz. Wirksame Abwehr entsteht nicht durch ein einzelnes Tool, sondern durch ein abgestimmtes Maßnahmenbündel: verbindliche Entscheidungs-Tore mit menschlicher Prüfung, konsequente Out-of-Band-Verifikation, abgesicherte Kommunikationskanäle, Monitoring sowie ein geübtes Krisen-Playbook. Wer diese Elemente etabliert und regelmäßig testet, reduziert nicht nur die Wahrscheinlichkeit erfolgreicher Angriffe, sondern stärkt die organisatorische Resilienz in einer Informationsumgebung, in der „sehen“ und „hören“ allein kein Beweis mehr ist.