Blog · 5. November 2026
Der Anruf vom Chef, der nicht der Chef ist: Codewort und Rückrufprinzip gegen Deepfake-Betrug
Die Stimme klingt genau wie die des Geschäftsführers, und er braucht die Überweisung heute noch. Oder die Lohnliste, für den „neuen Steuerberater“. Gegen solche Anrufe hilft kein geschultes Ohr, sondern ein Ablauf, den eine gefälschte Stimme nicht aushebeln kann.
Ein Maschinenbaubetrieb mit 60 Mitarbeitern, Donnerstag kurz vor Feierabend. Bei der Buchhalterin klingelt das Telefon, am Apparat klingt es eindeutig nach dem Geschäftsführer. Gleiche Stimme, gleiche Art zu reden. Er sei auf einer Messe, es gehe um eine vertrauliche Übernahme, eine Anzahlung müsse heute noch raus. Die Details kämen gleich per Mail vom beauftragten Anwalt. Und bitte mit niemandem darüber sprechen.
Variante zwei: Ein angeblich neuer Sachbearbeiter des Steuerberaters ruft in der Personalabteilung an. Man stelle gerade das System um und brauche kurz die aktuelle Lohnliste mit Steuer-IDs und Bankverbindungen, gern einfach per Mail an diese Adresse.
Beide Anrufe folgen demselben Muster: Autorität, Zeitdruck, Geheimhaltung. Neu ist, dass sich Stimmen täuschend echt nachbauen lassen. Das BSI beschreibt genau dieses Szenario: Ein Angreifer ruft mit der Stimme der Führungskraft an, um eine Geldtransaktion auszulösen. In der Bitkom-Studie Wirtschaftsschutz 2026, vorgestellt am 26. August 2026, gaben 8 Prozent der befragten Unternehmen an, dass Deepfakes in den letzten zwölf Monaten einen Schaden verursacht haben, nach 4 Prozent im Vorjahr. Bei automatisierten Robo Calls stieg der Anteil von 3 auf 14 Prozent.
Warum „Seien Sie misstrauisch“ nicht reicht
Die naheliegende Reaktion ist ein Appell: Achten Sie auf seltsame Stimmen, seien Sie misstrauisch. Das Problem: Bei guten Fälschungen funktioniert genau das nicht mehr zuverlässig. Auch das BSI betont, dass automatische Erkennung in der Regel keinen vollständigen Schutz bietet. Dazu kommt etwas Menschliches. Misstrauen gegenüber dem eigenen Chef ist in vielen Betrieben nicht vorgesehen. Wer zurückfragt, riskiert gefühlt Ärger. Darauf setzt der Angreifer.
Die Lösung liegt deshalb nicht darin, Fälschungen zu erkennen. Sondern darin, dass ein Anruf allein nichts auslösen kann, egal wie echt er klingt.
Die aktive Strategie: Abläufe, die eine Stimme nicht aushebeln kann
Erstens: Feste Freigabewege für Zahlungen und Datenherausgaben. Legen Sie schriftlich fest: Überweisungen ab einem bestimmten Betrag, neue oder geänderte Bankverbindungen und jede Herausgabe von Personal- oder Kundendaten an Dritte laufen nur über einen definierten Weg. Kein Anruf und keine Mail ersetzt diesen Weg. Aufwand: eine Seite Papier und eine Stunde Abstimmung.
Zweitens: Rückruf an die hinterlegte Nummer. Wer eine ungewöhnliche Anweisung bekommt, legt auf und ruft zurück, und zwar unter der Nummer aus dem eigenen Telefonverzeichnis. Nicht unter der, die der Anrufer nennt oder die in der Mail steht. Das kostet zwei Minuten und entzaubert die meisten Angriffe.
Drittens: Ein Codewort für Ausnahmefälle. Geschäftsführung und die wenigen Personen, die Zahlungen oder sensible Daten freigeben, vereinbaren ein Wort, das nirgends digital gespeichert ist. Wer es nicht kennt, ist nicht der Chef. Ab und zu wechseln.
Viertens: Vier-Augen-Prinzip. Ab einer Betragsgrenze und bei jeder Datenherausgabe an Dritte gibt eine zweite Person frei. Das bremst nicht den Alltag, nur den Ausnahmefall.
Fünftens: Die ausdrückliche Erlaubnis, Nein zu sagen. Der wichtigste Punkt, und er kostet nichts. Sagen Sie Ihren Leuten als Geschäftsführer klar: „Wenn ich anrufe und den Ablauf umgehen will, sagen Sie Nein. Dafür bekommt niemand Ärger, im Gegenteil.“ Erst damit wird der Prozess im Ernstfall auch gelebt.
Sechstens: Einmal üben. Spielen Sie den Anruf in einer Teambesprechung durch, zehn Minuten reichen. Wer den Ablauf einmal laut ausgesprochen hat, greift unter Druck eher darauf zurück. Danach lohnt eine kurze Wiederholung einmal im Jahr.
Was das mit Datenschutz zu tun hat
Social Engineering zielt nicht nur auf Geld. Eine Lohnliste beim falschen „Steuerberater“ ist eine Datenpanne mit Daten, die viel über Menschen verraten: Gehalt, Bankverbindung, Steuer-ID, je nach Liste auch Kirchensteuermerkmale. Das ist in der Regel nach Art. 33 DSGVO binnen 72 Stunden meldepflichtig, und bei hohem Risiko müssen nach Art. 34 auch die Beschäftigten informiert werden. Art. 32 verlangt geeignete technische und organisatorische Maßnahmen. Organisatorisch heißt hier ganz konkret: Freigabewege, Rückrufregel, Schulung. Nach Art. 5 Abs. 2 sollten Sie das dokumentieren, etwa als kurze Arbeitsanweisung mit dem Datum der letzten Übung.
Fazit
Gegen eine perfekte Stimmfälschung hilft kein feines Gehör, aber ein klarer Ablauf. Rückruf, Codewort, zweite Freigabe und die Erlaubnis zum Nein machen aus einem gefährlichen Anruf einen harmlosen. In dieser Reihe geht es genau darum: weg vom „Passt bloß auf“, hin zu Abläufen, die schützen, auch wenn jemand einen schlechten Tag hat. Wenn Sie so einen Freigabeprozess für Ihren Betrieb aufsetzen wollen: Schreiben Sie mir, das Erstgespräch ist kostenlos.
Stand: Oktober 2026.