Deepfakes in Videokonferenzen erkennen und abwehren: Awareness, Rückruf, Notwort

Ein Finanzmitarbeiter der Hongkonger Niederlassung des britischen Ingenieurkonzerns Arup überwies rund 25 Millionen US-Dollar an Betrüger – nach einer Videokonferenz, in der nach Angaben von CNN sämtliche Gesprächspartner KI-generierte Imitationen waren, darunter der in Großbritannien ansässige CFO und mehrere Kollegen.

Seit dem Vorfall aus dem Jahr 2024 hat sich die Welt weitergedreht und mit künstlicher Intelligenz (KI) sind mittlerweile Deepfakes möglich, die kaum mehr erkennbar sind. Unternehmen sollten sich daher mit diesem Angriffsmuster und dem Schutz davor auseinandersetzen, denn die Einstiegshürden für Kriminelle sind niedrig: Voice-Cloning-Modelle benötigen nur wenige Sekunden Trainingsmaterial, quelloffene Frameworks setzen Live-Face-Swaps in Microsoft Teams, Zoom und Google Meet um.

Aktuelle Implementierungen verarbeiten Nahaufnahmen in Full-HD mit geringer Latenz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet Deepfake-Verfahren nach dem Manipulationsziel:

• Face Swapping ersetzt das Gesicht einer Zielperson durch das eines Angreifers und behält Mimik und Beleuchtung bei.
• Face Reenactment überträgt Kopf- und Lippenbewegungen einer steuernden Person auf eine Zielidentität.
• Stimmensynthese erzeugt Audiosignale per Text-to-Speech oder Voice Conversion; die Modelle übernehmen Tonhöhe und
  Sprachcharakter der Zielperson.

Phishing Mail ebnet den Weg

Die Angriffe folgen meistens einem festen Schema. Eine Phishing-Nachricht bereitet das Folgemeeting vor, und im Call kombinieren die Angreifer dann Face-Swapping- oder Face-Reenactment-Verfahren mit der geklonten Stimme der Zielidentität. Zeitdruck, Vertraulichkeitsanspruch und kleine Prozessabweichungen sollen zudem die kritische Prüfung des Vorgangs beim Opfer unterbinden.

Das nötige Trainingsmaterial liefern öffentliche Auftritte, Podcasts, Interviews oder Vorstandsvideos auf der Unternehmenswebsite. Quellen, die für Führungskräfte börsennotierter oder öffentlich sichtbarer Unternehmen kaum zu vermeiden sind.

Visuelle und akustische Merkmale verraten Fälschungen

Die erste Verteidigungslinie gegen solche Angriffe ist der Mitarbeiter selbst. Allerdings gelingt die manuelle Erkennung nur eingeschränkt und liefert Indizien, keinen Beweis. Bei Face-Swapping-Verfahren treten sichtbare Übergänge an den Rändern des Gesichts auf, die Hautfarbe wechselt an der Naht, scharfe Konturen an Zähnen oder Augen wirken verwaschen.

Profilansichten und starke Kopfdrehungen führen häufig zu Bildfehlern, da Profildaten im Training unterrepräsentiert sind. Die Mimik passt mitunter nicht zur Aussage, das Blinzeln erfolgt zu selten oder zu regelmäßig, Augenreflexionen zeigen inkonsistente Szenen.

Synthetische Stimmen verraten sich über akustische Artefakte. Audiosignale wirken metallisch, monoton oder unnatürlich glatt, Atmung und Nebengeräusche fehlen. Text-to-Speech-Verfahren (TTS) sprechen einzelne Wörter falsch aus, vor allem bei Sprachmischungen. Voice-Conversion-Lösungen verzögern die Ausgabe, weil das Modell zunächst den semantischen Inhalt erfassen muss, bevor es ihn konvertieren kann. Die Lippenbewegungen geraten dabei aus der Synchronisation, am deutlichsten bei Plosivlauten wie p, b und m.

Aktive Prüfungen im laufenden Call

Über das reine Hinhören und Hinsehen hinaus lassen sich Deepfake-Systeme gezielt provozieren. Bei Verdacht hilft die Aufforderung, die Hand mehrfach in unterschiedlicher Geschwindigkeit vor das Gesicht zu führen oder den Kopf rasch zur Seite zu drehen. Face-Swapping-Modelle kommen mit solchen schnellen Bewegungen und teilweisen Verdeckungen häufig nicht hinterher. Die Folge sind Pixelfehler, verwaschene Konturen oder kurz sichtbare Reste des Ursprungsgesichts. Die Methode wird als „Break the fake“ beschrieben.

Als zweite Stufe folgt die Plausibilitätsprüfung. Bei sensiblen Anliegen, darunter Zahlungsfreigaben oder Vertragsunterzeichnungen, unterbricht der Mitarbeiter das Gespräch und ruft die Gegenseite über einen separaten Kanal zurück.

Geeignet sind eine bekannte Telefonnummer, eine signierte E-Mail oder ein vorab verifizierter Messenger-Dienst, zum Beispiel Signal oder WhatsApp. Wurde das Meeting von der Gegenseite organisiert, empfiehlt sich der umgekehrte Weg: den Call beenden und eine neue Verbindung von der eigenen Plattform aus initiieren. An diesem Schritt scheitern vorgerenderte Deepfake-Sessions häufig.

Microsoft Teams gegen Identitätsbetrug härten

Neben Verhalten und Prozess lässt sich auch die Konferenzplattform selbst absichern. Microsoft Teams bietet mehrere Schutzschichten gegen Live-Deepfakes. Die Premium-Lizenz ergänzt die Standard-Funktionen um eine E-Mail-Verifizierung für externe Teilnehmer, die vor dem Beitritt einen Code bestätigen müssen.

Standardlizenzen erlauben CAPTCHA-Prüfungen für anonyme oder unverifizierte Teilnehmer und filtern automatisierte Beitrittsversuche. Die Lobby sollte für externe Teilnehmer verpflichtend aktiviert sein. So lässt sich das Wartezimmer nicht umgehen, der Veranstalter prüft Identität und Berechtigung manuell.

Private Microsoft-Konten und Test-Tenants sollten vom Beitritt ausgeschlossen werden, da Angreifer kostenfreie Trial-Tenants in kurzer Zeit aufsetzen können. Ein Zero-Trust-Modell beschränkt die Teams-Kommunikation auf eine Allowlist genehmigter Domänen, externe Zusammenarbeit erfolgt nur zwischen freigegebenen Partnern. Die Interaktion mit anonymen Konten lässt sich über die Tenant-weite Richtlinie deaktivieren.

Hochsensible Inhalte in SharePoint oder OneDrive lassen sich über Verified-ID-Richtlinien aus der Microsoft Entra Suite zusätzlich absichern. Bei externer Kommunikation prüft der Verantwortliche das Absenderprofil über eine WHOIS-Abfrage; frisch registrierte Domänen und Homoglyphen-Adressen lassen sich so identifizieren.

Echtzeit-Detektion über Plattform-Plugins

Auch mithilfe spezialisierter Lösungen kann man sich vor Deepfakes schützen. Solche Tools analysieren Video- und Audiostreams direkt im laufenden Meeting und melden Manipulationen an Veranstalter oder Sicherheitsadministrator.

Reality Defender stellt etwa ein Plug-in für Zoom sowie eine entsprechende App für Microsoft Teams bereit (siehe Abbildung 1). Ein Bot tritt dem Meeting bei, scannt einzelne Videostreams in Originalauflösung und gibt pro Teilnehmer einen Konfidenz-Score zur KI-Manipulation aus. Die Lösung unterstützt mehrere parallele Meetings und liefert aggregierte Ergebnisse je Meeting und Teilnehmer.

Pindrop hat auf der Microsoft Ignite mit Pulse eine vergleichbare Lösung vorgestellt, die Deepfake-Erkennung mit passiver Sprachauthentifizierung kombiniert und sich in Microsoft Teams sowie weitere Kollaborationsplattformen integriert. IRONSCALES bindet Deepfake-Erkennung in die bestehende E-Mail-Security-Plattform ein und überwacht Teams-Calls auf Pixel-Inkonsistenzen, Kompressionsanomalien und synthetische Audio-Muster. Die Analyse arbeitet mit vektorbasierten mathematischen Repräsentationen, ohne Mitschnitte oder Transkripte zu speichern.

Resemble AI verbindet sich automatisch mit Zoom, Teams, Google Meet und Webex und erkennt Voice Clones, Face Swaps und synthetische Personen ebenfalls ohne Mitschnitt der Inhalte. Ausschließlich auf Audio konzentriert sich OmniSpeech AI Detect, seit Anfang 2026 im Zoom-Marktplatz verfügbar. Das Tool prüft Stimmen in Echtzeit auf KI-Generierung.

Freie Werkzeuge für Detektion und Forensik

Für Einzelprüfungen und kleinere Budgets gibt es mehrere kostenfreie Optionen. DeepFake-O-meter (https://zinc.cse.buffalo.edu/ubmdfl/deepo-meter), ein Open-Source-Projekt der Universität Buffalo und der Chinese Academy of Sciences, integriert mehrere wissenschaftliche Detektionsmethoden in einer Web-Oberfläche und akzeptiert Bilder und Videos zur Analyse. FakeBuster (www.hackquest.io/projects/FakeBuster-AI) arbeitet als eigenständige Anwendung unabhängig von der Konferenzplattform. Die Software nutzt ein 3D-Convolutional-Neural-Network und liefert Fakeness-Scores für Videosegmente.

Deepware Scanner (https://scanner.deepware.ai) fokussiert auf gesichtsbezogene Video-Deepfakes und lässt sich kostenfrei über die Web-Oberfläche einbinden. Intels FakeCatcher (www.intel.com/content/www/us/en/research/trusted-media-deepfake-detection.html) analysiert Blutfluss-Indikatoren im Gesicht über Photoplethysmographie und meldet Manipulationen in nahezu Echtzeit.

WeVerify (https://weverify.eu) aus dem EU-Forschungsumfeld unterstützt Reverse-Image-Suchen und Faktenchecks für Redaktionen und Sicherheitsteams. Attestiv bietet eine webbasierte Analyse der Foto- und Video-Authentizität. Für die Bildverifikation eignet sich auch TrueBees, ein KI-gestützter Detektor für synthetische Gesichtsbilder mit Fokus auf die Social-Media-Verbreitung.

C2PA signiert schon bei der Aufnahme

Alle bisher genannten Werkzeuge setzen am fertigen Inhalt an und versuchen, Manipulationen zu erkennen. Der „Coalition for Content Provenance and Authenticity“-(C2PA)-Standard geht einen Schritt weiter: Kameras, Software und KI-Generatoren signieren erzeugte Medien direkt bei der Aufnahme oder Bearbeitung. Jede Modifikation wird der Historie kryptografisch angehängt, eine Manipulation bricht die Signaturkette.

Hinter C2PA steht ein breit aufgestelltes Konsortium: Im Steering Committee sitzen Adobe, BBC, Google, Meta, Microsoft, OpenAI, Sony und weitere Unternehmen. Die Implementierung läuft schrittweise – auf der Software-Seite signieren Adobe Firefly und Google Gemini generierte Inhalte automatisch, Adobe Photoshop und Lightroom dokumentieren Bearbeitungsschritte kryptografisch.

Bei der Hardware setzen Leica und Sony in aktuellen Profi-Modellen Signaturen direkt bei der Aufnahme. Zur Prüfung dient das Tool Content Authenticity Verify, das Bearbeitungshistorie und Signatur einer Datei sichtbar macht; auf Webseiten markiert das CR-Icon (Content Credentials) signierte Medien.

Für Live-Video-Calls existiert bislang jedoch keine flächendeckende Lösung. Der Standard adressiert primär Bild-, Audio- und vorproduzierte Videoinhalte. Hinzu kommt eine Achillesferse im Alltag: Screenshots und Social-Media-Uploads entfernen häufig die Metadaten. Ergänzende unsichtbare Wasserzeichen sollen diese Lücke schließen.

Vier-Augen-Prinzip und Notwort

Technische Werkzeuge allein reichen nicht aus. Das BSI sieht Schulung und Aufklärung als zentrale Präventivmaßnahme, da Mitarbeiter bei Kenntnis typischer Artefakte deutlich höhere Erkennungsraten erreichen. Sicherheitsbewusste Organisationen sollten daher technische Detektion mit klaren Prozessregeln gegen Identitätsbetrug kombinieren. Dazu zählen:

• Vier-Augen-Prinzip für Zahlungen: Keine größere Transaktion ohne Freigabe durch eine zweite Person, idealerweise über einen anderen Kanal verifiziert.
• Rückruf-Pflicht bei sensiblen Anliegen: Anweisungen zu Zahlungen oder Vertragsabschlüssen lösen einen Rückruf über eine vorab bekannte Nummer aus.
• Notwort oder Verifikationsfrage: Eine zwischen Geschäftsleitung und kritischen Funktionen vereinbarte Frage-Antwort-Kombination dient als zusätzliche Identitätsprüfung.
• Awareness-Training: Spezialisierte Anbieter stellen dedizierte Deepfake-Lektionen für Mitarbeiterschulungen bereit.
• Eskalationspfad: Mitarbeiter dürfen unklare oder ungewöhnliche Anweisungen jederzeit hinterfragen, ohne hierarchische Konsequenzen zu befürchten.

Auch die Forschung arbeitet weiter an besseren Werkzeugen. Das Projekt Videonutzung in der Adoleszenz – Manipulation, Propaganda, Information und Resilienz (VAMPIR) untersucht unter Beteiligung des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT) die automatisierte Detektion von Widersprüchen zwischen Bildinhalt, Tonspur und Textaussage. Klassische Detektoren erreichen laut SIT eine Fehlerquote von rund zehn Prozent. Für Einzelvideos genügt diese Genauigkeit nicht, kombinierte Multi-Modal-Ansätze sollen die Erkennungsrate daher erhöhen.

Damit bleibt die Identitätssicherung in Videokonferenzen eine fortlaufende Aufgabe. Detektionswerkzeuge senken das Restrisiko, kryptografische Provenienz nach C2PA dürfte mittelfristig zum Standard für vorproduzierte Medien werden. In der Übergangsphase wirkt die Kombination aus technischer Detektion, gehärteten Plattform-Konfigurationen und festen Prüfprozessen am stärksten.