KI-Deepfakes: Risiken, Schutzmaßnahmen und Kennzeichnung für Unternehmen

Deepfakes sind künstlich erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte, die reale Personen oder Ereignisse glaubhaft nachahmen. Für Unternehmen entstehen Risiken durch Identitätsbetrug, gefälschte Freigaben, Rufschädigung und manipulierte Kommunikation. Gleichzeitig können synthetische Medien für klar gekennzeichnete Schulungs-, Übersetzungs- oder Kreativinhalte eingesetzt werden.

Welche Risiken sind für Unternehmen relevant?

Gefälschte Zahlungs- und Freigabeanweisungen

Eine imitierte Stimme oder Videobotschaft kann versuchen, Mitarbeitende zu einer dringenden Überweisung oder Herausgabe von Zugangsdaten zu bewegen. Das wirksamste Gegenmittel ist nicht allein eine Erkennungssoftware, sondern ein belastbarer Freigabeprozess mit Rückruf über bekannte Kontaktdaten und Mehrpersonenfreigabe.

Rufschädigung und Desinformation

Manipulierte Aussagen von Geschäftsführung oder Mitarbeitenden können sich schnell verbreiten. Unternehmen benötigen deshalb einen vorbereiteten Eskalationsweg: Inhalt sichern, Herkunft prüfen, Kommunikations- und Rechtsverantwortliche einbinden und über verifizierte Kanäle reagieren.

Bewerbung, Support und Identitätsprüfung

Manipulierte Medien können auch in Video-Interviews, Supportfällen oder Identitätsnachweisen auftreten. Eine einzelne Video- oder Sprachaufnahme sollte deshalb keine kritische Entscheidung autorisieren. Prüfungen werden risikobasiert kombiniert und datenschutzrechtlich bewertet.

Warum Deepfakes schwer sicher zu erkennen sind

Typische Hinweise wie unnatürliche Lippenbewegungen, Lichtfehler oder metallische Stimmen können helfen, sind aber nicht zuverlässig. Das BSI weist darauf hin, dass nicht jede Täuschung tatsächlich ein technisch erzeugter Deepfake ist. Auch alte Aufnahmen, nachgeahmte Stimmen oder manipulierte Kontexte können denselben Betrugseffekt erzielen.

Unternehmen sollten deshalb Echtheit über den Kommunikationsweg und den Prozess prüfen, nicht nur über den visuellen Eindruck.

Schutzmaßnahmen

• Zahlungen und Änderungen von Bankdaten immer über einen zweiten Kanal bestätigen.
• Dringlichkeits- und Geheimhaltungsdruck als Warnsignal schulen.
• Bekannte Rückrufnummern statt Kontaktdaten aus der verdächtigen Nachricht verwenden.
• Mehrpersonenfreigaben für kritische Aktionen festlegen.
• Öffentliche Sprach- und Videoaufnahmen wichtiger Personen in das Bedrohungsmodell aufnehmen.
• Verdachtsfälle mit Originaldatei, Zeitstempel und Übertragungsweg sichern.
• Kommunikations-, IT-Sicherheits- und Rechtseskalation vorab definieren.

Kennzeichnung und Herkunftsnachweise

Content Credentials nach dem C2PA-Standard können Informationen über Ursprung und Bearbeitung eines Mediums manipulationserschwerend dokumentieren. Sie sind ein Herkunftsnachweis, kein allgemeines Wahrheitsurteil. Fehlen solche Informationen, beweist das nicht automatisch eine Fälschung; vorhandene Angaben müssen außerdem zu einem vertrauenswürdigen Herausgeber führen.

Technische Herkunftsnachweise ergänzen Medienkompetenz, Faktenprüfung und forensische Analyse. Für eigene synthetische Inhalte sollten Erzeugung, Freigabe und Kennzeichnung im Veröffentlichungsprozess dokumentiert werden.

EU AI Act: Transparenz ab August 2026

Die Europäische Kommission hat im Juli 2026 Leitlinien zu den Transparenzpflichten des Artikel 50 veröffentlicht. Die Regeln gelten ab dem 2. August 2026. Nach der Kommission müssen Betreiber unter anderem informieren, wenn Menschen Deepfakes ausgesetzt werden; für Anbieter generativer Systeme bestehen zudem Anforderungen an maschinenlesbare Markierungen. Ausnahmen und die genaue Rolle im konkreten Einsatz müssen gesondert geprüft werden.

Unternehmen, die synthetische Bild-, Audio- oder Videoinhalte professionell veröffentlichen, sollten daher Zuständigkeit, Kennzeichnung, technische Metadaten, Freigabe und Aufbewahrung dokumentieren. Diese Zusammenfassung ist keine Rechtsberatung.

Reaktionsplan bei einem Verdachtsfall

1. Keine geforderte Zahlung, Anmeldung oder Datenweitergabe ausführen.
2. Absender über einen bekannten unabhängigen Kanal kontaktieren.
3. Originaldatei und Übertragungsdaten unverändert sichern.
4. Interne IT-Sicherheits- und Kommunikationsverantwortliche informieren.
5. Betroffene Plattform oder Dienst melden und Beweise dokumentieren.
6. Rechtliche Melde- und Informationspflichten fachkundig prüfen.
7. Nach dem Vorfall Freigabeprozess und Schulung anpassen.

Sinnvolle Nutzung synthetischer Medien

Vertretbar sind beispielsweise klar gekennzeichnete Übersetzungen, Schulungsszenarien oder kreative Inhalte, wenn Rechte, Einwilligungen und Kontext geklärt sind. Eine Person darf nicht ohne Befugnis so dargestellt werden, als habe sie eine reale Aussage oder Handlung vorgenommen. Transparenz sollte bereits im Konzept und nicht erst nach Beschwerden ergänzt werden.

Quellen und weiterführende Dokumentation

• Europäische Kommission: Leitlinien zu Transparenzpflichten für KI-Systeme
• Europäische Kommission: Navigating the AI Act
• C2PA: Content Credentials Explainer
• BSI: Deepfakes und Erkennung

Stand: 31. Juli 2026. Rechtliche Pflichten und technische Standards werden für den konkreten Einsatz aktuell geprüft.