Deepfake am Telefon: Warum KI-Betrug jetzt die Kleinen trifft — und was wirklich schützt

Die meisten Sicherheits-Artikel, die du in den letzten Wochen überflogen hast, richten sich an Leute mit einer IT-Abteilung. Vier Millionen Euro Schaden, 160 Tage bis zum Schließen eines Lecks, SIEM-Systeme und Incident-Response-Pläne — wenn du allein oder zu dritt arbeitest, klickst du bei solchen Zahlen zu Recht weg. Sie beschreiben nicht deine Welt.

Deshalb hier die ehrliche Übersetzung. Was sich 2026 wirklich geändert hat, ist nicht die Schadenshöhe bei Konzernen. Es ist die Einstiegshürde für den Angreifer. Ein überzeugender Stimmklon brauchte vor zwei Jahren Spezialwissen und Material; heute genügen wenige Sekunden Audio von deiner Website, deinem Podcast-Auftritt oder deiner Mailbox-Ansage. Und wo etwas billig wird, lohnt es sich plötzlich auch bei kleinen Zielen. Genau das ist der Grund, warum dich das Thema jetzt betrifft und vor zwei Jahren nicht.

Was der IBM-Bericht tatsächlich sagt

Ordnen wir die Zahlen sauber ein, bevor wir sie benutzen. IBM und das Ponemon Institute befragen für den Report Organisationen, die einen echten Vorfall hatten — überwiegend größere Häuser. Für die Ausgabe 2026 kamen unter anderem diese Befunde heraus:

Lies die mittlere Kachel zweimal. Die Mehrheit der KI-Angriffe ist Social Engineering — jemand gibt sich als jemand anderes aus. Das ist keine technische Lücke, die ein Software-Update schließt. Das ist eine Vertrauenslücke. Und Vertrauen funktioniert im Ein-Personen-Betrieb genauso wie im Konzern: Man kennt die Stimme, man kennt den Absender, man macht was.

Warum kleine Betriebe jetzt interessant werden

Der zweite Datenpunkt kommt von Kaspersky und ist der eigentlich relevante für dich, weil er explizit kleine und mittlere Unternehmen betrifft. Von Januar bis April 2026 registrierten die Forscher über 33.300 Angriffe auf KMU, bei denen Schadsoftware als populärer KI-Dienst getarnt war — knapp fünfmal so viele wie im gleichen Zeitraum 2025. Als Köder missbraucht wurden vor allem die bekanntesten Marken: ChatGPT in 42 % der Fälle, Claude in 24 %, DeepSeek in 20 %. Meist steckten Trojaner dahinter, die nach der Installation weiteren Schadcode nachladen.

Das ist ein bemerkenswert präziser Angriff auf genau die Bewegung, in der du gerade bist. Wer 2026 anfängt, mit KI zu arbeiten, googelt Tools, lädt Desktop-Clients herunter, probiert das Ding aus, von dem der Kollege im Netzwerk geschwärmt hat. Genau in diesem Suchverhalten sitzt die Falle. Zum Vergleich: Angriffe, die sich als Telegram, WhatsApp, Zoom oder Teams tarnten, zählte Kaspersky im selben Zeitraum rund 415.000 — deutlich mehr, aber gegenüber dem Vorjahr kaum verändert. Die KI-Köder sind der Wachstumsmarkt.

Drei Szenarien, die dich wirklich treffen können

Abstrakte Bedrohungslagen ändern kein Verhalten. Konkrete Abläufe schon. Diese drei sind für Beratung und Vermittlung realistisch:

Was allen drei gemeinsam ist: Es gibt keinen Moment, in dem etwas offensichtlich falsch aussieht. Die Rechtschreibfehler, an denen man Phishing früher erkannte, sind weg. Genau deshalb ist „aufmerksam sein“ als Schutzkonzept gescheitert.

Der einzige Schutz, der ohne Erkennen funktioniert

Eine Umfrage von KnowBe4 unter 4.000 Fachkräften — darunter 250 aus Deutschland, aus Unternehmen ab 250 Mitarbeitenden — bringt das Dilemma auf den Punkt: 87 % der deutschen Befragten halten Deepfake-Stimmen und -Videos inzwischen für so realistisch, dass Vertrauen schwerfällt, und 55 % räumen ein, dass sie selbst darauf hereinfallen könnten. Diese Leute sind nicht naiv. Sie haben recht.

Die Konsequenz ist unbequem, aber befreiend: Hör auf, Erkennung zu trainieren. Baue stattdessen eine Regel, die auch dann hält, wenn du getäuscht wirst. Für einen kleinen Betrieb ist das kein Projekt, sondern eine Vereinbarung:

1. 1 Die Rückrufregel: Jede Anweisung, bei der Geld fließt, eine Bankverbindung wechselt oder ein Zugang geöffnet wird, wird über einen zweiten, selbst herausgesuchten Kanal bestätigt. Nicht die Nummer aus der Mail, nicht der Rückruf-Button — die Nummer aus deinem CRM. Wer anruft, bestimmt nicht, wie zurückgerufen wird.
2. 2 Ein Codewort für Eilfälle: Vereinbare mit Partnern, Assistenz und Familie ein Wort, das bei dringenden Anliegen fällt. Ein Stimmklon kennt es nicht. Das klingt nach Spionagefilm und kostet dich dreißig Sekunden.
3. 3 Dringlichkeit ist das Warnsignal, nicht der Inhalt: Trainiere dir an, auf das Tempo zu reagieren, nicht auf den Klang. Wer echten Grund hat, akzeptiert fünfzehn Minuten Prüfzeit. Betrug braucht Eile, weil Prüfen ihn tötet.
4. 4 Sag es deinen Kunden: Ein Absatz in der Mailsignatur oder im Erstgespräch — „Ich ändere Kontodaten nie per Mail, und ich rufe zur Bestätigung immer unter der bei mir hinterlegten Nummer an“ — schützt in beide Richtungen und wirkt professionell statt ängstlich.

Der 60-Minuten-Härtungslauf

Der Rest ist Handwerk. Diese sechs Schritte schaffst du an einem Vormittag, und sie decken den größten Teil dessen ab, was in den Berichten als Einfallstor auftaucht — bei Proofpoint waren Phishing und E-Mail-Social-Engineering in 37 % der deutschen Fälle das erste Glied der Kette:

1. 1 KI-Software nur von der Original-Domain: Kein Download aus Suchanzeigen, keine „Desktop-App“ von einer Seite, die du nicht selbst getippt hast. Setz dir Lesezeichen für die Anbieter, die du wirklich nutzt. Welche das sinnvollerweise sind, steht in meiner KI-Tool-Übersicht mit DSGVO-Ampel.
2. 2 Passkeys oder App-basierte Zwei-Faktor-Anmeldung: Für Postfach, CRM und Cloud. SMS-Codes sind der schwächste Faktor, und Sprach-Phishing zielt genau darauf. Wo Passkeys angeboten werden, nimm sie.
3. 3 Passwortmanager statt Merkfähigkeit: Er füllt Zugangsdaten nur auf der echten Domain aus — und ist damit nebenbei dein bester Phishing-Filter, weil er bei der Fälschung schlicht schweigt.
4. 4 Ein Backup, das offline liegt: Eine Kopie, die nicht dauerhaft verbunden ist. Das ist die Versicherung gegen den Fall, in dem alles andere versagt hat.
5. 5 Alte Zugänge aufräumen: Jedes Tool, das du vor einem Jahr getestet und nie wieder geöffnet hast, hält womöglich noch Rechte auf dein Postfach. In den Sicherheitseinstellungen von Google und Microsoft siehst du die verbundenen Apps — entziehe, was du nicht kennst.
6. 6 Schreib die Rückrufregel auf: Ein halber Absatz in einer Datei, die auch eine Urlaubsvertretung findet. Eine Regel im Kopf ist keine Regel.

Die andere Richtung: deine eigene KI als Angriffsfläche

Ein Punkt, der in der Aufregung um Deepfakes untergeht: Nicht nur Angreifer nutzen KI, deine eigene wird auch zum Ziel. Im IBM-Bericht meldeten 21 % der Organisationen einen Vorfall mit Bezug zu KI-Modellen oder -Anwendungen — im Vorjahr waren es 13 %. Die häufigsten Ursachen waren dabei nicht die Modelle selbst, sondern kompromittierte Schnittstellen, Apps und Plug-ins sowie falsch konfigurierte Cloud-Umgebungen, jeweils rund 27 %.

Für dich wird das relevant, sobald du über den Chat hinausgehst und einem Assistenten echte Werkzeuge gibst — Postfach, CRM, Kalender, oder einen sogenannten MCP-Server, der mehrere Programme miteinander verbindet. Genau davon handelt mein Beitrag zu MCP und Tool-Anbindungen, und die dort genannte Reihenfolge gilt hier doppelt: erst Leserechte, dann Schreibrechte. Der Grund dafür ist ein Angriff, der eigens für Assistenten mit Werkzeugen erfunden wurde und der seither weiter in den Fokus gerückt ist: Prompt Injection.

Was passiert, wenn ein Assistent echte Werkzeuge bekommt

Ein Chat-Fenster kann höchstens Text zurückgeben. Ein Assistent mit Werkzeugen kann Mails verschicken, Termine buchen, Dateien schreiben und Einstellungen ändern — und genau das macht ihn zu einem neuen Angriffsziel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Grundproblem in seiner Verbraucher-Information zu KI-Agenten (Stand 09.07.2026) so: Angreifer verstecken Befehle in Webseiten, Dokumenten oder E-Mails, etwa als weißen Text auf weißem Hintergrund. Liest der Agent diesen Inhalt, kann er die versteckte Anweisung als echten Befehl auffassen und ausführen — ohne dass du je auf einen Link geklickt oder eine Datei ausgeführt hättest. Fachleute nennen das indirekte Prompt Injection: Der Angreifer spricht nie mit dem Modell, sondern platziert seine Anweisung dort, wo dein Assistent sie später von selbst abholt.

Wie ernst das genommen wird, zeigt die aktuelle OWASP-Rangliste der größten Risiken bei Sprachmodell-Anwendungen: In der am 4. August 2026 veröffentlichten Fassung führt Prompt Injection als LLM01 unverändert die Liste an, und zu weitreichende Handlungsfreiheit eines Agenten steht als Excessive Agency auf Platz LLM08 — also genau die Kombination aus „lässt sich täuschen“ und „darf zu viel“, die für einen Ein-Personen-Betrieb am meisten wiegt.

Drei dokumentierte Fälle

Ein Vorfall aus der Praxis und zwei Nachweise von Sicherheitsforschern aus dem August 2026 zeigen, wie unterschiedlich der Weg zum selben Ergebnis aussehen kann — der Assistent tut etwas, das eigentlich nur ein Mensch entscheiden dürfte:

Dazu passt ein zweiter, breiter angelegter Kaspersky-Befund — Vorsicht, das ist eine andere Erhebung als die 33.300-Zahl oben: In einer separaten, größeren Auswertung registrierte Kasperskys Forschungsteam GReAT von Januar bis Anfang Mai 2026 weltweit über 92.000 Angriffe mit Schadsoftware, die sich als KI-Dienste oder KI-Agenten tarnte (ChatGPT 49 %, Claude und Gemini je 18 % der Fälle; berichtet Mitte August 2026). Neu daran, seit dieser Beitrag im August erschien: Kaspersky zählte 2026 bislang zusätzlich mehr als 15.000 Schadsoftware-Proben, die sich gezielt als agentische KI-Software ausgaben — also nicht mehr nur als Chat-App, sondern als das Werkzeug, dem du Zugriffsrechte einräumst. Die beiden Kaspersky-Reihen — die KMU-fokussierte oben und diese breitere hier — stammen aus unterschiedlichen Panels und Zeiträumen und lassen sich nicht addieren; die Richtung ist bei beiden dieselbe.

Was ein Solo-Betrieb konkret dagegen tut

Auch hier gilt: Du brauchst kein Sicherheitsteam, sondern eine Handvoll fester Regeln, die du einmal einrichtest und dann durchhältst.

1. 1 Least Privilege wörtlich nehmen: Jedes Werkzeug bekommt nur die Rechte, die seine konkrete Aufgabe braucht. Das BSI rät sinngemäß: Kein Agent sollte gleichzeitig Zugriff auf dein Postfach, dein Bankkonto und deine persönlichen Dateien haben. Ein Recherche-Tool braucht kein Schreibrecht, ein Kalender-Tool keinen Mailversand.
2. 2 Human-in-the-Loop, vor allem was nach außen geht: Lesen, zusammenfassen, recherchieren und Entwürfe erstellen darf ein Agent allein erledigen. Eine Mail versenden, eine Zahlung auslösen, einen Termin verbindlich buchen oder Daten löschen braucht deine ausdrückliche Freigabe — jedes Mal, nicht nur beim ersten Mal.
3. 3 Ein Inventar der verbundenen Apps und Tokens führen: Eine kurze Liste, welches Tool, welcher MCP-Server und welche Browser-Erweiterung gerade Zugriff auf was hat — und welche Tokens, also gespeicherte Zugangsschlüssel, dafür irgendwo hinterlegt sind. Das ist dieselbe Übung wie Schritt 5 im Härtungslauf oben — nur regelmäßig wiederholt, weil mit jedem neuen KI-Werkzeug ein neuer Eintrag dazukommt.
4. 4 Erst Leserechte, dann Schreibrechte: Eine neue Anbindung läuft die ersten Wochen nur lesend — du beobachtest in aller Ruhe, ob sich der Agent so verhält, wie du erwartest, und kontrollierst dabei sein Protokoll. Schreibrechte schaltest du danach einzeln frei, nie im Paket.
5. 5 Keine Auto-Bestätigung, so bequem sie klingt: Genau ein voreingestellter Autonomie-Modus ohne Rückfrage war der Fehler im Kiro-Vorfall oben. Schalte Auto-Approve für kritische Aktionen aus, auch wenn dich das drei Klicks pro Woche kostet.

Ein Nebenbefund aus der bereits zitierten KnowBe4-Erhebung passt genau hierher: 42 % der befragten Sicherheitsverantwortlichen in Deutschland nannten nicht genehmigte Software und KI-Apps als den Faktor, der ihre Lage im letzten Jahr am stärksten verschlechtert hat. Im Ein-Personen-Betrieb genehmigst du dir alles selbst — es gibt niemanden, der zwischen dir und einer riskanten Rechtevergabe steht. Umso wichtiger, dass die fünf Regeln oben nicht in deinem Kopf, sondern schriftlich existieren, genau wie die Rückrufregel weiter oben im Beitrag.

Häufige Fragen

Erkenne ich einen Stimmklon nicht doch an Aussetzern oder falscher Betonung?
Manchmal ja — aber du kannst darauf keine Regel bauen. Die Qualität steigt schneller als die Erkennungsfähigkeit, und im Ernstfall bist du abgelenkt und unter Zeitdruck. Deshalb der Rückruf über den selbst gewählten Kanal: Der funktioniert unabhängig davon, wie gut die Fälschung ist.

Muss ich als Einzelunternehmer eine Cyberversicherung haben?
Pflicht ist sie nicht. Sinnvoll wird sie dort, wo du fremdes Vermögen oder fremde Daten bewegst — bei Vermittlung und Beratung also durchaus. Sprich die Frage bei der nächsten Verlängerung deiner Berufshaftpflicht an und lass dir zeigen, ob Betrugsfälle durch vorgetäuschte Identität überhaupt gedeckt sind; genau diese Klausel ist der Knackpunkt.

Und wenn es doch passiert ist?
Bei einer Überweisung sofort die Bank anrufen und eine Rückholung anstoßen — die ersten Stunden entscheiden. Danach Anzeige erstatten, betroffene Zugänge sperren und Passwörter ändern. Sind personenbezogene Daten abgeflossen, greift zusätzlich die Meldepflicht nach der DSGVO gegenüber der Aufsichtsbehörde, in der Regel binnen 72 Stunden. Dokumentiere den Ablauf schriftlich, solange er frisch ist.

Muss ich meine eigenen KI-Inhalte eigentlich kennzeichnen?
Das ist eine andere Baustelle, aber sie liegt daneben: Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des EU AI Act. Was das konkret für dich bedeutet, steht in meiner Checkliste zur KI-Kennzeichnungspflicht. Für Kundendaten bleibt zusätzlich relevant, wo verarbeitet wird — siehe den Datenschutz-Beitrag.

Stand: 11. August 2026, ergänzt am 2. September 2026. Quellen: IBM, „Cost of a Data Breach Report 2026“ (Pressemitteilungen IBM Newsroom US und UK, 28./29.07.2026, mit Ponemon Institute); IBM Deutschland Newsroom zu den nationalen Werten (29.07.2026); Kaspersky, Auswertung zu als KI-Diensten getarnter Schadsoftware im KMU-Sektor, Januar bis April 2026 (07/2026); KnowBe4 / Vanson Bourne, Befragung von 4.000 Fachkräften, davon 250 in Deutschland, Unternehmen ab 250 Mitarbeitenden (07/2026); Proofpoint, Ransomware-Erhebung Deutschland (07/2026); OWASP GenAI Security Project, „Top 10 for Large Language Model Applications 2026“, veröffentlicht 04.08.2026; Bundesamt für Sicherheit in der Informationstechnik (BSI), „KI-Agenten: Wenn Künstliche Intelligenz selbstständig handelt“, Stand 09.07.2026; Kaspersky GReAT, weltweite Auswertung zu als KI-Diensten/-Agenten getarnter Schadsoftware, Januar bis Anfang Mai 2026, berichtet u. a. von Business Standard und borncity.com (16.–25.08.2026) — separate Erhebung mit anderem Panel als die KMU-Zahl oben, nicht damit addieren; Koi Security zum Fall „postmark-mcp“ (09/2025); Tenet Research, Vortrag „GhostJacking“ auf der DEF CON 34 (08/2026), berichtet von SC World (11.08.2026); Adversa AI, monatliche Übersicht zu KI-Coding-Agenten-Sicherheit (08/2026). Prozentwerte einzelner Angriffskategorien werden je nach Regionalauswertung leicht abweichend berichtet. Dieser Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechts- oder Versicherungsberatung im Einzelfall.