Phishing, Deepfakes, CEO-Fraud: Wie KI Cyberangriffe auf Unternehmen verändert

Die Mail sieht aus wie immer, der Anrufer klingt wie der Chef, und die Bitte ist dringend: Eine Zahlung soll heute noch raus, ganz diskret. Solche Angriffe gibt es seit Jahren. Neu ist, dass künstliche Intelligenz sie billiger, glaubwürdiger und massenhaft möglich macht. Täuschend echte Texte ohne Rechtschreibfehler, nachgeahmte Stimmen und gefälschte Videos sind keine Spezialtechnik mehr.

Dieser Beitrag zeigt anhand aktueller Studien, wie stark deutsche Unternehmen betroffen sind, welche Rolle KI dabei spielt und welche rechtlichen Pflichten gelten. Vor allem aber geht es um einfache Maßnahmen, mit denen Betriebe und auch Privatleute die häufigsten Maschen ins Leere laufen lassen.

Inhalt

Die Lage: Fast jedes Unternehmen ist betroffen
Was KI an Cyberangriffen verändert
CEO-Fraud und Deepfakes: Die teure Masche
Das trügerische Gefühl der Sicherheit
NIS2: Neue Pflichten für viele Unternehmen
Zahlungsprozesse absichern: Das wirkt am meisten
Technische Grundschutzmaßnahmen
Was Privatleute tun können
Fazit

1. Die Lage: Fast jedes Unternehmen ist betroffen

Die Zahlen sind deutlich. Für die Studie Wirtschaftsschutz 2026 des Digitalverbands Bitkom wurden 1.003 Unternehmen ab 10 Beschäftigten und 1 Million Euro Umsatz befragt. 96 Prozent waren nach eigenen Angaben von Datendiebstahl, Spionage oder Sabotage betroffen oder vermuten das. 67 Prozent sind sich sicher, weitere 29 Prozent haben einen Verdacht.

Den Schaden für die deutsche Wirtschaft schätzt die Studie auf 211 bis 270,8 Milliarden Euro pro Jahr. Rund 76 Prozent davon gehen auf Cyberangriffe zurück. Ein Jahr zuvor lag dieser Anteil bei 70 Prozent, 2021 noch bei 59 Prozent. Der Schwerpunkt verschiebt sich also klar ins Digitale.

Auch die Täter haben sich verändert. Organisierte Kriminalität nennen 62 Prozent der Betroffenen. 37 Prozent konnten einen Vorfall ausländischen Nachrichtendiensten zuordnen, 2023 waren es erst 7 Prozent. Als Herkunftsländer von Angriffen nannten die Befragten am häufigsten China mit 52 Prozent und Russland mit 49 Prozent.

2. Was KI an Cyberangriffen verändert

82 Prozent der Unternehmen in der Bitkom-Studie gehen davon aus, dass Angreifer künftig mehr KI einsetzen. 63 Prozent haben bereits mehr Angriffe festgestellt, 69 Prozent erwarten einen weiteren Anstieg.

Konkreter wird die KI-Sicherheitsstudie von BSI und TÜV-Verband vom 7. Oktober 2026. Befragt wurden über 500 Unternehmen ab 20 Beschäftigten. 17 Prozent berichten von Sicherheitsvorfällen mit KI-Bezug, bestätigt oder vermutet. Unter diesen Betroffenen nannten 90 Prozent Phishing, 40 Prozent automatisierte Angriffsskripte und 11 Prozent Deepfakes, etwa nachgeahmte Stimmen beim sogenannten CEO-Fraud.

Der Grund liegt auf der Hand. Früher verrieten sich Phishing-Mails oft durch holpriges Deutsch. Heute formulieren Sprachmodelle in Sekunden fehlerfreie, persönlich zugeschnittene Nachrichten, wenn sie mit öffentlich verfügbaren Angaben über ein Unternehmen gefüttert werden. Das senkt die Kosten pro Angriff und erhöht die Trefferquote.

Die Verteidigung hält damit noch nicht Schritt. Laut BSI/TÜV-Studie nutzen nur 31 Prozent der Unternehmen, die KI einsetzen, diese auch für ihre eigene Sicherheit. Nur 11 Prozent haben eigene Abläufe für KI-bezogene Vorfälle. Wie schnell KI insgesamt in Unternehmen vordringt, zeigt auch der Beitrag Physical AI: Teslas Optimus-Wette hier auf udo-schwerd.de.

3. CEO-Fraud und Deepfakes: Die teure Masche

Beim CEO-Fraud geben sich Betrüger als Geschäftsführer, Vorstand oder wichtiger Geschäftspartner aus. Sie bitten eine Mitarbeiterin in der Buchhaltung um eine eilige, vertrauliche Überweisung, etwa für eine angebliche Übernahme. Eine verwandte Variante ist die geänderte Bankverbindung: Ein vermeintlicher Lieferant teilt mit, dass Rechnungen ab sofort auf ein neues Konto gehen sollen.

Mit KI wird die Masche glaubwürdiger. Das BSI beschreibt Deepfakes als Fälschungen von Gesichtern und Stimmen, die mit verhältnismäßig wenig Aufwand möglich sind. Ausdrücklich nennt das Amt Anrufe mit gefälschter Stimme beim CEO-Fraud. Nach Angaben des BSI lässt sich das nötige Audiomaterial der Zielperson mit Hilfsdaten auf wenige Minuten verkürzen. Solches Material liefern oft schon Interviews, Vorträge oder Videos in sozialen Netzwerken.

Typische Warnzeichen bleiben trotzdem gleich: großer Zeitdruck, die Bitte um Verschwiegenheit, ein ungewöhnlicher Kommunikationsweg und eine Abweichung vom üblichen Zahlungsablauf. Wer auf diese Muster achtet, erkennt auch eine perfekt gefälschte Stimme an der Situation statt am Klang.

4. Das trügerische Gefühl der Sicherheit

Bemerkenswert ist ein Ergebnis der Bitkom-Studie: Obwohl die Angriffe zunehmen, sehen weniger Unternehmen ihre Existenz bedroht. Der Anteil sank von 59 auf 45 Prozent. Gleichzeitig fühlen sich nur noch 43 Prozent sehr gut auf Angriffe vorbereitet, im Vorjahr waren es 50 Prozent. Bitkom spricht von einem Gewöhnungseffekt.

Im Schnitt fließen nach der Studie 18 Prozent des IT-Budgets in die Sicherheit. Das ist ein beachtlicher Wert. Doch Technik allein hilft gegen Täuschung nur begrenzt. Die meisten der hier beschriebenen Angriffe zielen nicht auf eine Lücke in der Software, sondern auf Menschen, die unter Druck eine Entscheidung treffen.

Wie Unternehmer Risiken in der IT systematisch erfassen und bewerten, beschreibt der Beitrag Daten- und IT-Sicherheit auf schwerd.info.

5. NIS2: Neue Pflichten für viele Unternehmen

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Nach Angaben des BSI fallen damit rund 29.500 Einrichtungen unter die Aufsicht des Amts, zuvor waren es etwa 4.500. Betroffen sind je nach Branche und Größe vor allem mittlere und große Unternehmen aus Sektoren wie Energie, Verkehr, Gesundheit, digitale Dienste, Produktion oder Lebensmittel. Eine allgemeine Übergangsfrist gibt es nicht.

Betroffene Unternehmen müssen sich nach § 33 BSI-Gesetz innerhalb von drei Monaten beim BSI registrieren, erhebliche Sicherheitsvorfälle melden und Maßnahmen zum Risikomanagement umsetzen und dokumentieren. Zu diesen Maßnahmen zählen nach dem Gesetz unter anderem Schulungen und sichere Authentisierung.

Für Geschäftsleitungen ist § 38 BSI-Gesetz entscheidend. Sie müssen die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Wer diese Pflichten schuldhaft verletzt, haftet der Gesellschaft nach den Regeln des Gesellschaftsrechts, bei einer GmbH also nach § 43 GmbHG. Einen Überblick über die persönliche Haftung der Geschäftsführer einer GmbH gibt es auf schwerd.info.

Auch Unternehmen, die nicht unter NIS2 fallen, sind nicht frei von Verantwortung. Ein Geschäftsführer muss die Sorgfalt eines ordentlichen Geschäftsmanns walten lassen. Dazu gehört heute, Zahlungsprozesse gegen naheliegende Betrugsmaschen abzusichern. Wie man solche Regeln im Betrieb verankert, erklärt der Lexikonbeitrag zum Compliance-Management-System.

6. Zahlungsprozesse absichern: Das wirkt am meisten

Gegen CEO-Fraud und gefälschte Bankverbindungen helfen vor allem klare Regeln im Zahlungsverkehr. Sie kosten kaum Geld und funktionieren unabhängig davon, wie gut eine Fälschung ist.

Vier-Augen-Prinzip: Zahlungen ab einer festgelegten Höhe gibt immer eine zweite Person frei.
Rückruf über bekannte Nummern: Bei Änderungen von Bankverbindungen oder ungewöhnlichen Zahlungsanweisungen wird über eine intern hinterlegte Nummer zurückgerufen, nie über die Nummer aus der Mail oder dem Anruf.
Feste Wege: Zahlungsanweisungen kommen nur über den vereinbarten Kanal, nie allein per Messenger, Anruf oder Videokonferenz.
Stopp-Recht: Jede Mitarbeiterin und jeder Mitarbeiter darf eine verdächtige Zahlung anhalten, auch wenn angeblich der Chef drängt, ohne Nachteile befürchten zu müssen.
Codewort: Für besonders dringende Fälle kann ein vorher vereinbartes Kennwort zwischen Geschäftsführung und Buchhaltung dienen.

Eine zusätzliche Hilfe bietet die Empfängerüberprüfung. Seit dem 9. Oktober 2025 gleichen Banken im Euroraum bei Überweisungen den eingegebenen Namen mit dem Kontoinhaber der IBAN ab und zeigen Abweichungen vor der Freigabe an. Die BaFin erklärt das Verfahren. Ein Ersatz für eigene Kontrolle ist es nicht: Lautet ein betrügerisches Konto tatsächlich auf den angegebenen Namen, schlägt die Prüfung nicht an. Und die Prüfung findet immer im Onlinebanking statt, nie per Mail oder Anruf.

7. Technische Grundschutzmaßnahmen

Neben klaren Abläufen braucht es eine solide technische Basis. Das BSI empfiehlt, überall dort, wo es möglich ist, eine Zwei-Faktor-Authentisierung zu nutzen. Nach dem BSI-Vergleich gängiger Verfahren schützen Codes per SMS oder E-Mail allerdings nicht gegen Phishing in Echtzeit. Passkeys gelten dagegen als resistent gegen übliche Phishing-Angriffe, weil der Schlüssel auf einer gefälschten Seite nicht funktioniert. Das erklärt das BSI auf seiner Seite zu Passkeys.

E-Mail-Konten, Banking und Administratorzugänge vorrangig mit Passkeys oder starker Zwei-Faktor-Authentisierung absichern.
Software und Betriebssysteme zeitnah aktualisieren und Backups regelmäßig prüfen.
Auf der Website und in sozialen Netzwerken nur so viele Angaben zu Zuständigkeiten und Abläufen veröffentlichen wie nötig.
Beschäftigte regelmäßig schulen, mit echten Beispielen statt abstrakter Regeln.

Praktische Grundregeln zu Passwörtern, Updates und Netzwerksicherheit fasst auch der Beitrag Höhere IT-Sicherheit für mehr Datenschutz auf blogmbh.de zusammen.

8. Was Privatleute tun können

Die gleichen Techniken treffen auch Privatpersonen, etwa beim Enkeltrick mit gefälschter Stimme oder bei angeblichen Nachrichten der Bank. Die Grundregeln sind einfach. Das BSI rät, nie auf Links in verdächtigen Nachrichten zu klicken, Seiten über die bekannte Startadresse aufzurufen und im Zweifel telefonisch beim Absender nachzufragen, und zwar über eine selbst herausgesuchte Nummer.

In der Familie kann ein vereinbartes Codewort helfen, das bei einem angeblichen Notfall abgefragt wird. Wer einen verdächtigen Anruf erhält, legt auf und ruft die Person unter der bekannten Nummer zurück. Echte Angehörige und echte Banken haben dafür Verständnis.

9. Fazit

KI macht Cyberangriffe nicht grundsätzlich neu, aber billiger, überzeugender und häufiger. Die Studien von Bitkom sowie BSI und TÜV-Verband zeigen, dass fast alle Unternehmen betroffen sind und Phishing der wichtigste Einfallsweg bleibt. Mit NIS2 ist Cybersicherheit für viele Betriebe zudem ausdrücklich Aufgabe der Geschäftsleitung.

Die wirksamsten Gegenmaßnahmen sind unspektakulär: feste Freigaberegeln für Zahlungen, Rückrufe über bekannte Nummern, phishingresistente Anmeldung und geschulte Mitarbeiter. Wer diese Grundlagen jetzt umsetzt, nimmt den meisten Maschen die Wirkung. Weitere Beiträge zu diesen Fragen finden Sie im Themenbereich Unternehmensführung.

Hinweis: Dieser Beitrag gibt den Stand vom 2. November 2026 wieder. Die genannten Prozentwerte stammen aus den jeweils verlinkten Studien und beruhen auf Befragungen. Ob ein Unternehmen unter NIS2 fällt, hängt vom Einzelfall ab.