KI-Chefstimmen erbeuten 129 Mio. Dollar. Die beste Abwehr ist ein Rückruf

Kennst du das? Mail vom Chef, Betreff „vertraulich“. Kurz danach ruft er an. Die Stimme passt, der Ton passt, der Zeitdruck auch.

Genau so soll eine Bande laut US-Staatsanwaltschaft rund 129 Millionen Dollar abgeräumt haben.

Was die Anklage sagt

Die Staatsanwaltschaft für den Southern District of New York hat am Donnerstag, 5. November, Anklage gegen drei Männer bekannt gegeben: Jacob Soall, Sharon Hazan und Guy Sheetrit, aus Spanien, Großbritannien, Israel und den Vereinigten Arabischen Emiraten. Vorwürfe: Überweisungsbetrug, schwerer Identitätsdiebstahl, Geldwäsche. Über mehr als anderthalb Jahre sollen sie Tausende Unternehmen weltweit angegangen haben.

Die Masche laut Anklage, in drei Stufen:

• E-Mail im Namen des CEO an die Buchhaltung, Bitte um Hilfe bei einer vertraulichen Transaktion.
• Telefon- oder Videoanruf, in dem KI die Stimme und teils das Bild des CEO nachahmt.
• Weiterleitung an einen angeblichen Anwalt einer großen Kanzlei, ebenfalls gefälscht, der die Überweisung ins Ausland anweist. Das Geld wurde in Krypto getauscht.

Unter den Opfern laut Anklage: Klinikverbünde in Missouri und Kalifornien, eine Bank in Rhode Island, ein britisches Fintech, eine Fondsgesellschaft in Massachusetts, ein Tierfutterhersteller aus Florida. Festgenommen wurden die drei zwischen Juni und September in Spanien und Großbritannien, Auslieferungsanträge laufen. Es gilt die Unschuldsvermutung.

Die Technik ist neu. Der Trick ist alt

CEO-Fraud gibt es seit Jahren. Neu ist, dass der Rückversicherungs-Anruf, früher die Schwachstelle der Betrüger, jetzt ihr stärkstes Argument ist. Die Stimme klingt echt. Also glaubt man ihr.

Heißt: Jeder Prozess, der auf „Ich erkenne meinen Chef am Telefon“ baut, ist kaputt. Nicht schwächer. Kaputt.

Und dann Stufe drei. Die Betrüger leihen sich Vertrauen von zwei Marken gleichzeitig: dem eigenen CEO und einer großen Kanzlei. Laut Anklage hatte einer sogar ein handgeschriebenes Skript mit dem Titel „Lawyer Call“. Social Engineering ist Brand-Missbrauch mit Drehbuch.

Der unbequeme Punkt fürs Marketing

Aus meiner Sicht trifft das auch uns Marketer. Seit Jahren raten wir Geschäftsführern: Zeig Gesicht. Podcasts, LinkedIn-Videos, Keynotes. Ich mache das selbst und rate es weiter. Aber jede Stunde öffentlicher Ton ist auch Material, mit dem sich eine Stimme nachbauen lässt. Ob die Angeklagten so gearbeitet haben, sagt die Anklage nicht. Das Risiko besteht trotzdem.

Die Lösung ist nicht weniger Sichtbarkeit. Die Lösung ist, dass Sichtbarkeit und Zahlungsprozess zusammen gedacht werden. Wer den CEO zur Brand macht, muss der Buchhaltung sagen: Diese Stimme ist ab jetzt kein Beweis mehr.

Was ich jetzt tun würde

• Rückruf-Regel. Zahlungen ab einem festen Betrag nur nach Rückruf auf eine Nummer aus dem eigenen Telefonbuch. Nie auf die Nummer aus der Mail, nie im selben Gespräch.
• „Vertraulich“ als Alarmwort. Wer Geheimhaltung verlangt, löst automatisch das Vier-Augen-Prinzip aus. Ohne Ausnahme, auch nicht für den CEO.
• Erlaubnis zum Nein. Der CEO sagt der Buchhaltung einmal schriftlich: Wer mich am Telefon abblitzen lässt und zurückruft, macht alles richtig.

Bottom Line: Gegen eine perfekte Stimme hilft keine bessere Software, sondern eine Regel, die keiner Stimme glaubt.