Deepfake-Videocall als Zahlungsfalle 2026: So schützen sich KMU in der Rhein-Neckar-Region – wenn nicht nur eine Stimme, sondern der komplette Meeting-Raum gefälscht ist

Deepfake-Betrug: Wenn im Videocall plötzlich der Chef Geld anweist

Es ist Donnerstagnachmittag, die Buchhaltung bekommt eine Einladung zu einem kurzfristigen Videocall. Am anderen Ende sitzt der Geschäftsführer – Gesicht, Stimme, Tonfall, sogar das vertraute Büro im Hintergrund. Es geht um eine vertrauliche Transaktion, eine Beteiligung, ein Notartermin, alles sehr eilig und bitte ohne Rücksprache mit den Kollegen. Zwei Stunden später sind mehrere hunderttausend Euro auf einem Konto im Ausland, und der echte Geschäftsführer weiß von nichts.

Was vor wenigen Jahren noch nach Science-Fiction klang, ist heute ein reales Schadenszenario. Die sogenannte Fake-President-Masche gibt es schon lange – neu ist, dass Täter mit KI-generierten Video- und Audio-Deepfakes arbeiten. Für ein überzeugendes Fake reichen ein paar Minuten Videomaterial von einer Messe, einem Imagefilm oder einem Podcast-Interview. Das Material liefern Unternehmen meist selbst, ohne es zu ahnen.

Wie so ein Angriff tatsächlich abläuft

Die Täter arbeiten strukturiert und mit Geduld. Zuerst kommt die Recherche: Wer ist geschäftsführend tätig, wer hat Prokura, wer sitzt in der Finanzbuchhaltung, wann ist die Geschäftsführung auf Reisen? Das meiste davon steht im Handelsregister, auf der Website oder in beruflichen Netzwerken. Urlaubszeiten verraten sich über Social-Media-Posts oder Abwesenheitsnotizen.

Dann folgt der Einstieg, oft per E-Mail von einer täuschend ähnlichen Domain. Erst später wird der Videocall oder Anruf eingesetzt – genau dann, wenn Zweifel aufkommen. Das ist das Perfide: Der Deepfake ist nicht der Anfang des Angriffs, sondern das Werkzeug, mit dem der letzte Widerstand gebrochen wird. Wer im Zweifel ist und sich rückversichern will, bekommt den „Beweis“ frei Haus geliefert.

Dazu kommt massiver psychologischer Druck: Zeitnot, Vertraulichkeit, Autorität. Mitarbeitende werden gezielt isoliert („Bitte sprechen Sie mit niemandem darüber, das ist eine laufende M&A-Transaktion“). Wer in einer Hierarchie arbeitet, in der Nachfragen beim Chef unüblich ist, hat es besonders schwer. Genau deshalb sind solche Angriffe kein reines IT-Thema, sondern ein Thema von Prozessen und Unternehmenskultur.

Was die Zahlen über das Risiko sagen

Die Fake-President-Masche hat deutsche Unternehmen nach Zahlen der Versicherungswirtschaft bereits Beträge im dreistelligen Millionenbereich gekostet. Studien zur Wirtschaftskriminalität zeigen seit Jahren steigende Fallzahlen, und der Einsatz künstlicher Intelligenz wird dabei inzwischen ausdrücklich als Treiber genannt. Der international bekannteste Fall traf ein britisches Ingenieurbüro: Ein Mitarbeiter in Hongkong überwies rund 25 Millionen US-Dollar, nachdem er in einem Videocall gleich mehrere vermeintliche Kollegen und den Finanzchef gesehen hatte. Alle Teilnehmer waren gefälscht.

Gleichzeitig ist die Absicherung in Deutschland dünn. Nach Angaben der Versicherungswirtschaft ist nur ein Bruchteil der Unternehmen überhaupt gegen Cyberrisiken versichert – bei Vertrauensschadenversicherungen sieht es im Mittelstand nicht besser aus. Viele Betriebe gehen davon aus, dass „die Bank das schon zurückholt“. Bei einer autorisierten Überweisung, die von einem berechtigten Mitarbeiter freigegeben wurde, ist das in aller Regel nicht der Fall.

Warum Rhein-Neckar besonders im Visier steht

Zwischen Mannheim, Heidelberg und Ludwigshafen sitzen viele mittelständische Zulieferer und Dienstleister, die eng mit Großindustrie und internationalen Konzernen verzahnt sind. Videocalls mit Partnern in anderen Zeitzonen sind Alltag, Zahlungen ins Ausland ebenfalls. Genau diese Normalität macht den Angriff so wirksam: Ein kurzfristiger Call mit der „Konzernzentrale“ fällt hier niemandem auf. Dazu kommt, dass Organigramme, Namen und Fotos von Geschäftsführung und Finanzleitung auf Websites und in Netzwerken frei verfügbar sind – mehr Material brauchen die Täter nicht.

Welcher Versicherungsschutz bei Deepfake-Betrug greift

Der häufigste Irrtum: „Wir haben doch eine Cyberversicherung.“ Ein Deepfake-Betrug ist aber technisch gesehen oft gar kein Hackerangriff. Es wird nichts verschlüsselt, kein System kompromittiert, keine Firewall überwunden. Getäuscht wird ein Mensch – und der überweist freiwillig. Genau an dieser Abgrenzung entscheidet sich, ob dein Vertrag leistet.

Die Vertrauensschadenversicherung als Kernbaustein

Die Vertrauensschadenversicherung ist historisch für Veruntreuung durch eigene Mitarbeitende entstanden, deckt aber in modernen Bedingungswerken auch Vermögensschäden durch vorsätzliche unerlaubte Handlungen Dritter ab. Dazu zählt in guten Tarifen ausdrücklich der Betrug durch Identitätstäuschung, also auch Fake President und Deepfake. Entscheidend sind drei Punkte: Ist die Täuschung durch Dritte überhaupt mitversichert? Gibt es eine ausreichende Versicherungssumme, oder ist für genau diese Fälle ein niedriges Sublimit hinterlegt? Und gilt der Schutz auch für Tochtergesellschaften und Auslandskonten?

Ich sehe regelmäßig Verträge mit einer stolzen Gesamtsumme von einer Million Euro – und einem Sublimit von 50.000 Euro für Betrugsfälle ohne Innentäter. Das ist kein Beinbruch, man muss es nur wissen, bevor etwas passiert.

Cyberversicherung und die Abgrenzung

Die Cyberversicherung deckt klassischerweise Eigenschäden nach einem Angriff auf die IT: Forensik, Wiederherstellung, Betriebsunterbrechung, Datenschutzverletzungen, Krisenkommunikation. Manche Tarife schließen einen Baustein für Zahlungsbetrug ein, oft „Cyber-Betrug“ oder „Social Engineering“ genannt. Die Summen sind dort allerdings meist deutlich kleiner als in einer Vertrauensschadenversicherung. Sinnvoll ist beides nebeneinander: Die Cyberpolice für den technischen Vorfall, die Vertrauensschadenversicherung für den Vermögensschaden durch Täuschung. Wichtig ist, dass sich die beiden Verträge nicht gegenseitig den Schwarzen Peter zuschieben – auch das lässt sich vorab klären.

Was Versicherer von dir voraussetzen

Kaum ein Versicherer zahlt bedingungslos. In den Bedingungen stehen Obliegenheiten, und die haben es in sich. Typisch sind ein dokumentiertes Vier-Augen-Prinzip ab einem bestimmten Betrag, eine Rückrufverpflichtung über eine bereits im System hinterlegte Telefonnummer bei Änderungen von Bankverbindungen sowie regelmäßige Schulungen der Mitarbeitenden. Wer diese Vorgaben im Schadenfall nicht nachweisen kann, riskiert Leistungskürzungen.

Der Rückruf ist dabei die wirksamste Einzelmaßnahme überhaupt – vorausgesetzt, die Nummer stammt aus dem eigenen Stammdatensatz und nicht aus der E-Mail-Signatur der Täter. Viele Unternehmen ergänzen zusätzlich ein vereinbartes Codewort für Zahlungsfreigaben per Video oder Telefon. Das klingt altmodisch, funktioniert aber genau deshalb: Eine KI kann ein Gesicht nachbilden, aber kein Wort kennen, das nie digital übertragen wurde.

Mein Tipp

Fang nicht bei der Police an, sondern bei einem Blatt Papier. Schreib auf, ab welchem Betrag bei euch zurückgerufen wird, wer freigibt und was gilt, wenn der Chef im Urlaub ist. Diese halbe Stunde ist der wirksamste Schritt überhaupt – und sie ist gleichzeitig die Grundlage dafür, dass eine Vertrauensschadenversicherung im Ernstfall sauber leistet. Danach schauen wir uns an, was dein bestehender Vertrag wirklich hergibt.

Wenn du wissen willst, ob dein aktueller Schutz den Fall „gefälschter Videocall“ abdeckt, gehe ich die Bedingungen mit dir durch. Danach weißt du, welche Summe im Ernstfall gedeckt wäre, welche Sicherheitsanforderungen dein Versicherer stellt und wo du nachschärfen solltest. Ob du danach etwas änderst, entscheidest du in Ruhe selbst.

Jetzt unverbindlichen Beratungstermin vereinbaren

Quellen

• Bitkom / Bundesamt für Verfassungsschutz: Wirtschaftsschutz 2026 – Angriffe auf die deutsche Wirtschaft, August 2026. bitkom.org
• Bundesamt für Verfassungsschutz: Vorstellung der Bitkom-Studie „Wirtschaftsschutz 2026″, 26.08.2026. verfassungsschutz.de
• Gesamtverband der Deutschen Versicherungswirtschaft (GDV): Nur eins von 20 Unternehmen in Deutschland ist gegen Cyberangriffe versichert, 2026. gdv.de
• Gesamtverband der Deutschen Versicherungswirtschaft (GDV): Fake-President-Masche – Angriffswege von Wirtschafts- und Cyberkriminellen. gdv.de
• KPMG: Wirtschaftskriminalität in Deutschland 2025/2026, Pressemitteilung vom 02.06.2026. kpmg.com
• Fortune: A deepfake ‚CFO‘ tricked the British design firm behind the Sydney Opera House in $25 million scam, Mai 2024. fortune.com

Dieser Artikel ist eine allgemeine Information zum Thema Deepfake-Betrug und Versicherungsschutz und ersetzt keine individuelle Beratung. Welcher Schutz für dein Unternehmen passt, hängt von Branche, Größe, Zahlungsprozessen und bestehenden Verträgen ab und sollte im persönlichen Gespräch geklärt werden.

Häufige Fragen