Wie real das Risiko bereits ist, zeigte ein Fall beim internationalen Ingenieurunternehmen Arup. Ein Mitarbeiter in Hongkong erhielt eine Nachricht, die scheinbar vom Finanzvorstand des Unternehmens stammte. Anschließend nahm er an einer Videokonferenz teil. Auf dem Bildschirm erschienen mehrere vermeintliche Führungskräfte des Unternehmens. Die Personen sahen echt aus. Ihre Stimmen wirkten echt. Sie waren es aber nicht. Die Täter hatten Stimmen und Bilder künstlich erzeugt. Der Mitarbeiter führte daraufhin 15 Überweisungen auf fünf Bankkonten durch. Insgesamt wurden rund 200 Millionen Hongkong Dollar überwiesen, damals etwa 25 Millionen US Dollar. Arup bestätigte später, dass gefälschte Stimmen und Bilder verwendet worden waren.

Bemerkenswert an diesem Fall ist nicht nur die Schadenshöhe. Bemerkenswert ist, dass genau jene Elemente manipuliert wurden, die wir normalerweise zur Verifikation verwenden.

• Ich kenne die Stimme.
• Ich sehe die Person.
• Mehrere Kollegen sind ebenfalls im Gespräch.
   

Damit entsteht eine völlig neue Frage für Unternehmen. Was gilt künftig überhaupt noch als ausreichender Identitätsnachweis?

Bei neuen Betrugsformen liegt der erste Reflex häufig darin, nach einer technischen Lösung zu suchen. Noch bessere Software. Noch mehr Sicherheitsprogramme. Noch intelligentere Erkennungssysteme. Diese Maßnahmen sind wichtig. Aber möglicherweise liegt ein wesentlicher Teil der Antwort an einer anderen Stelle. Bei den internen Prozessen. Denn wenn eine Zahlungsfreigabe davon abhängt, dass jemand die Stimme eines Vorgesetzten erkennt oder dessen Gesicht in einer Videokonferenz sieht, ist der Prozess künftig möglicherweise nicht mehr ausreichend sicher. INTERPOL empfiehlt Unternehmen deshalb unter anderem mehrstufige Prüfprozesse bei finanziellen Transaktionen und Datenübertragungen sowie eine unabhängige Bestätigung bei besonders bedeutenden Vorgängen. Das klingt zunächst simpel. Die Konsequenzen sind aber weitreichend. Eine Zahlungsanweisung sollte nicht allein deshalb glaubwürdig sein, weil sie von einer bekannten Person kommt. Eine Änderung einer Bankverbindung sollte nicht allein aufgrund einer E-Mail oder eines Gesprächs umgesetzt werden. Eine außergewöhnliche Transaktion sollte auch dann hinterfragt werden dürfen, wenn scheinbar der Geschäftsführer persönlich darum bittet.

Viele Unternehmen haben ihre Prozesse über Jahre digitalisiert und beschleunigt. Freigaben erfolgen mobil. Besprechungen finden online statt. Geschäftspartner kommunizieren über verschiedene Kanäle. Entscheidungen werden schneller getroffen. Genau diese Geschwindigkeit kann von Betrügern genutzt werden.

Besonders wirkungsvoll sind dabei Situationen, die drei Elemente kombinieren:

• Vertrauen
• Dringlichkeit
• Vertraulichkeit

Der vermeintliche Geschäftsführer benötigt sofort eine Zahlung. Eine Akquisition darf noch nicht bekannt werden. Ein Geschäftspartner hat kurzfristig seine Bankverbindung geändert. Jede dieser Situationen kann tatsächlich vorkommen. Genau deshalb funktioniert die Täuschung. Risikomanagement bedeutet daher zunehmend, nicht nur zu fragen, ob eine Information plausibel klingt, sondern auch, über welchen unabhängigen Weg sie bestätigt wurde. Das kann ein Rückruf über eine bekannte Telefonnummer sein. Eine zweite Freigabe. Eine Bestätigung innerhalb eines bestehenden Systems. Oder bei besonders hohen Beträgen eine zusätzliche persönliche Verifikation. Entscheidend ist, dass die Bestätigung nicht über denselben Kommunikationsweg erfolgt, über den die Aufforderung gekommen ist.

Das Thema endet nicht innerhalb des eigenen Unternehmens. Auch Lieferanten, Kunden und andere Geschäftspartner können imitiert werden. Eine vermeintliche Nachricht eines langjährigen Lieferanten mit einer neuen Bankverbindung wirkt glaubwürdig, weil die Geschäftsbeziehung bereits besteht. Eine Zahlungsaufforderung erscheint authentisch, weil Name, Logo, Ansprechpartner und sogar dessen Stimme stimmen. Damit treffen künstliche Intelligenz, Betrugsprävention, Zahlungsverkehr und Geschäftspartnerrisiko unmittelbar aufeinander. Unternehmen müssen deshalb künftig möglicherweise nicht nur prüfen, mit wem sie Geschäfte machen, sondern auch stärker sicherstellen, ob sie gerade tatsächlich mit dieser Person oder diesem Unternehmen kommunizieren.

INTERPOL warnt inzwischen ausdrücklich davor, dass künstliche Intelligenz viele klassische Warnsignale von Betrug verschwinden lässt. Schlechte Sprache, ungewöhnliche Formulierungen oder offensichtlich gefälschte Darstellungen werden zunehmend seltener. Das verändert die Spielregeln. Denn wirtschaftliche Zusammenarbeit basiert zu einem guten Teil auf (vermeintliches) Vertrauen. Wir vertrauen Personen, Namen, Stimmen, Bildern und bekannten Kommunikationswegen. Künftig wird dieses Vertrauen jedoch häufiger durch einen zweiten Faktor ergänzt werden müssen, nämlich durch Verifikation. Vielleicht lautet eine der wichtigsten Fragen für Unternehmen deshalb bald nicht mehr, ob ich diese Person kenne, sondern wie ich weiß, dass es sie wirklich gibt! Denn in einer Welt, in der Stimme und Gesicht künstlich erzeugt werden können, wird Vertrauen nicht weniger wichtig. Aber Vertrauen allein reicht möglicherweise nicht mehr aus.