Im Januar 2026 meldete die Kantonspolizei Schwyz einen Fall, der in vielen Firmen so ablaufen könnte. Ein Unternehmer erhielt über zwei Wochen Anrufe von einem vermeintlich bekannten Geschäftspartner. Die Stimme war mit KI nachgebildet. Es ging um ein angeblich vertrauliches internationales Geschäft, und am Ende waren mehrere Millionen Franken auf ein Konto in Asien überwiesen.
Beim Bundesamt für Cybersicherheit (BACS) gingen 2025 insgesamt 971 Meldungen zu CEO-Betrug ein, im Jahr davor waren es 719. Die Täter nutzen dabei zunehmend Telefon, WhatsApp und Sprachnachrichten.
Wie der Betrug funktioniert
Das Muster ist alt: Jemand gibt sich als Geschäftsführer, Verwaltungsrat oder wichtiger Partner aus und verlangt eine dringende, vertrauliche Zahlung. Früher kam die Anfrage per E-Mail, oft von einer Domain, die sich nur durch einen Buchstaben vom Original unterscheidet. Heute kommt die Stimme dazu.
Für eine Stimmkopie reichen Aufnahmen aus Interviews, Webinaren oder Videos auf Social Media. Die übrigen Informationen holen sich die Täter von der Firmenwebsite, aus LinkedIn und dem Handelsregister. So wissen sie, wer zeichnungsberechtigt ist, wer in der Buchhaltung arbeitet und mit welchen Partnern die Firma zu tun hat.
Auch Videoanrufe lassen sich fälschen
Der bekannteste Fall betrifft den Ingenieurkonzern Arup. Ein Mitarbeiter in Hongkong nahm Anfang 2024 an einer Videokonferenz teil, in der vermeintlich der Finanzchef und weitere Kollegen sassen. Alle waren mit KI erzeugt. Der Mitarbeiter überwies in 15 Zahlungen insgesamt 200 Millionen Hongkong-Dollar, rund 25 Millionen US-Dollar.
Laut BACS sind gefälschte Videokonferenzen in der Schweiz bisher selten, weil sie aufwendig herzustellen sind. Gefälschte Stimmen werden dagegen bereits eingesetzt, wie der Fall aus Schwyz zeigt.
Auf das Gehör ist kein Verlass
Gute Deepfakes sind am Telefon kaum zu erkennen, vor allem unter Zeitdruck. Einige Warnzeichen tauchen trotzdem immer wieder auf:
- Die Sache ist dringend und muss heute noch erledigt werden.
- Sie sollen mit niemandem darüber sprechen.
- Die Zahlung geht an ein neues Konto, oft im Ausland.
- Der Anrufer weicht aus, wenn Sie zurückrufen wollen.
Verlässlicher als jedes Bauchgefühl sind feste Abläufe, die auch dann gelten, wenn scheinbar der Chef persönlich anruft.
Zahlungen mit Rückruf und Vier-Augen-Prinzip absichern
- Rückruf über eine bekannte Nummer. Jede ungewöhnliche Zahlungsanweisung wird über einen zweiten Kanal bestätigt. Zurückgerufen wird auf die Nummer aus dem eigenen Adressbuch, nie auf die Nummer aus dem Anruf oder der Nachricht.
- Vier-Augen-Prinzip. Zahlungen ab einem festgelegten Betrag gibt eine zweite Person frei, im E-Banking als Kollektivunterschrift eingerichtet. Eine einzelne getäuschte Person kann so kein Geld überweisen.
- Stammdaten schützen. Änderungen an Bankverbindungen von Lieferanten werden gleich streng geprüft wie Zahlungen. Eine neue IBAN per E-Mail ist ein häufiger Trick.
- Keine Ausnahmen für die Chefetage. Die Geschäftsleitung hält sich selbst an die Regeln und sagt das intern deutlich. Dann muss in der Buchhaltung niemand befürchten, mit einer Rückfrage den Chef zu verärgern.
- Codewort vereinbaren. Für heikle Telefonate hilft ein internes Codewort, das nirgends in Mails oder Chats steht.
Zusätzlich lohnt sich ein Hinweis «Extern» bei Mails von ausserhalb der Firma. Gefälschte Absender fallen damit schneller auf.
Wenn das Geld schon weg ist
Rufen Sie sofort Ihre Bank an und lassen Sie versuchen, die Zahlung zu stoppen. Je schneller, desto besser die Chancen. Danach erstatten Sie Anzeige bei der Polizei und melden den Fall dem BACS. Die Nummern dafür gehören in Ihren IT-Notfallplan. Prüfen Sie ausserdem, ob Ihre Cyberversicherung solche Fälle abdeckt. Betrug durch Täuschung ist in manchen Policen ausgeschlossen oder nur mit einer Zusatzdeckung versichert.
Schulung und Abläufe mit A BOT
Wir schulen Ihre Mitarbeitenden praxisnah zu Phishing und Betrugsanrufen, richten Warnhinweise für externe Mails ein und helfen Ihnen, Freigabeprozesse festzulegen. Wie Sie gefälschte Mails erkennen, lesen Sie im Beitrag Phishing erkennen. Mehr zu unseren Leistungen unter IT-Sicherheit.
Häufige Fragen
Kann man einen Deepfake-Anruf zuverlässig erkennen?
Nein. Manchmal fallen eine monotone Betonung oder kurze Verzögerungen auf, verlassen sollte man sich darauf aber nicht. Sicherheit gibt nur der Rückruf über eine bekannte Nummer.
Ab welchem Betrag soll das Vier-Augen-Prinzip gelten?
Das legt jede Firma selbst fest. Eine Grenze von 5’000 oder 10’000 Franken ist für viele Betriebe praktikabel. Unabhängig vom Betrag sollte jede Zahlung an ein neues Konto von zwei Personen geprüft werden.
Was tun, wenn wir bereits bezahlt haben?
Sofort die eigene Bank kontaktieren, danach die Polizei. Wird die Bank rasch informiert, kann sie eine Zahlung manchmal noch zurückrufen.
Helfen technische Lösungen gegen Deepfakes?
Teilweise. Mailfilter, Warnhinweise und Multi-Faktor-Anmeldung erschweren den Einstieg. Gegen einen überzeugenden Anruf schützt am Ende ein Ablauf, an den sich alle halten.
