Seit Jahren konzentrieren sich Programme zur Sensibilisierung für Cybersicherheit darauf, Mitarbeiter dabei zu unterstützen, verdächtige E-Mails zu erkennen. Dies war der richtige Ansatz; E-Mails gehören seit langem zu den häufigsten Methoden, mit denen Angreifer sich Zugang zu den Systemen eines Unternehmens verschaffen. Den Mitarbeitern wurde vermittelt, auf unerwartete Anhänge, ungewöhnliche Anfragen und Nachrichten zu achten, die ihnen irgendwie seltsam vorkommen.
Doch auch die Angreifer bleiben nicht untätig.
Stimmklonung, Deepfakes und KI-gestützte Identitätsbetrugsangriffe stellen Unternehmen vor eine neue Herausforderung, da sie auf etwas abzielen, dem viele Menschen instinktiv vertrauen: eine vertraute Stimme.
Das Klonen von Stimmen ist mittlerweile mehr als nur Science-Fiction. Was einst als aufstrebende Technologie galt, ist heute weit verbreitet, immer überzeugender und beunruhigend einfach anzuwenden.
Die Sorge besteht nicht nur darin, dass Angreifer Stimmen nachahmen können, sondern auch darin, dass Menschen ihnen von Natur aus vertrauen. Wenn eine Nachricht in Ihrem Posteingang eintrifft, halten Sie vielleicht kurz inne und fragen sich, ob sie echt ist; wenn jedoch jemand anruft, der wie Ihr Vorgesetzter klingt, und um Hilfe bittet, setzt diese Skepsis nicht immer ein.
Aus diesem Grund entwickelt sich das Klonen von Stimmen zu einem so wirkungsvollen Werkzeug für Cyberkriminelle.
Warum wir Stimmen mehr vertrauen als E-Mails
Durch jahrelange Aufklärungskampagnen haben die Menschen gelernt, unerwartete Nachrichten kritisch zu hinterfragen und sorgfältig nachzudenken, bevor sie auf Links klicken oder Informationen weitergeben. Auch wenn ihnen dies nicht bewusst ist, haben viele Mitarbeiter Gewohnheiten entwickelt, die ihnen dabei helfen, einzuschätzen, ob eine E-Mail seriös wirkt.
Bei der Sprachkommunikation verhält es sich anders. Wenn wir jemanden sprechen hören – insbesondere jemanden, den wir kennen oder wiedererkennen –, neigen wir instinktiv dazu, dem Gehörten zu vertrauen. Eine vertraute Stimme wirkt persönlich, authentisch und lässt sich viel schwerer vortäuschen. Aus diesem Grund ist das Klonen von Stimmen für Cyberkriminelle zu einem so attraktiven Werkzeug geworden.
Stellen Sie sich vor, Sie befinden sich mitten in einem arbeitsreichen Nachmittag, als Ihr Telefon klingelt. Es ist Ihr Finanzvorstand – oder zumindest klingt die Stimme genau wie die von ihm.
Sie entschuldigen sich dafür, dass sie Sie aus heiterem Himmel anrufen, und erklären, dass sie gerade in einer Besprechung sind. Sie bitten Sie, noch vor Ende des Tages eine Zahlung zu genehmigen oder einige Informationen für eine dringende Kundenanfrage zu übermitteln. Das gesamte Gespräch wirkt völlig normal. Die Stimme kommt Ihnen bekannt vor, der Tonfall stimmt, und nichts weckt auf Anhieb Ihren Verdacht.
Nur dass sie es nicht sind.
Das Klonen von Stimmen ist mittlerweile für jedermann zugänglich
Der besorgniserregendste Aspekt des Stimmklonens ist, wie einfach es mittlerweile geworden ist.
Noch vor wenigen Jahren waren für die Erstellung einer überzeugenden synthetischen Stimme Fachwissen, teure Technologie und ein erheblicher Zeitaufwand erforderlich. Heute können einige KI-Tools bereits aus einer Audioaufnahme von nur drei Sekunden einen realistischen Stimmklon erzeugen. Diese Aufnahme könnte aus einem Podcast-Auftritt, einem LinkedIn-Video, einem Unternehmens-Webinar, einem Konferenzvortrag oder sogar einem kurzen Clip stammen, der in den sozialen Medien geteilt wurde. Von vielen Führungskräften gibt es bereits genügend öffentlich zugängliches Audiomaterial, damit Angreifer eine glaubwürdige Nachahmung erstellen können.
Sobald diese Stimme geklont wurde, kann sie bei Telefonaten, Voicemails oder Sprachnachrichten verwendet werden, die den Anschein erwecken, als stammten sie von einem vertrauenswürdigen Kollegen oder einer Führungskraft. Ein Mitarbeiter, der eine verdächtige E-Mail sofort hinterfragen würde, ist möglicherweise weitaus weniger geneigt, eine vertraute Stimme anzuzweifeln, die ihn zu schnellem Handeln auffordert.
Genau das macht das Klonen von Stimmen zu einem so erheblichen Unternehmensrisiko. Die Technologie ist nicht mehr auf erfahrene Angreifer beschränkt; sie entwickelt sich zu einer allgemein verfügbaren Funktion, die jedem zugänglich ist, der bereit ist, sie zu nutzen.
Da die Eintrittsbarrieren weiter sinken, müssen Unternehmen davon ausgehen, dass die Nachahmung von Stimmen zu einem immer häufigeren Bestandteil der Bedrohungslage werden wird.
Warum das Klonen von Stimmen am besten in Kombination mit anderen Angriffen funktioniert
Das Klonen von Stimmen ersetzt die herkömmlichen Social-Engineering-Techniken nicht, sondern verstärkt sie.
Die erfolgreichsten Angriffe beruhen nicht auf einer einzigen Interaktion. Vielmehr bauen Angreifer über mehrere Kanäle hinweg Vertrauen auf, bevor sie ihr Ziel dazu auffordern, eine bestimmte Handlung vorzunehmen.
Ein Mitarbeiter erhält möglicherweise eine E-Mail, die scheinbar von einem Lieferanten stammt. Später am selben Tag erhält er eine Teams-Nachricht, in der dieselbe Anfrage bekräftigt wird, und anschließend geht ein Anruf von einer Person ein, die wie eine Führungskraft klingt und bestätigt, dass die Anfrage legitim ist.
Jede Interaktion trägt dazu bei, dass die nächste glaubwürdiger wirkt. Wenn der Mitarbeiter schließlich aufgefordert wird, Geld zu überweisen, einen Zugriff zu genehmigen oder Informationen weiterzugeben, wirkt diese Aufforderung bereits vertraut und vertrauenswürdig.
Durch den Einsatz von KI lassen sich solche Angriffe einfacher erstellen und weitaus leichter skalieren. Angreifer können überzeugende E-Mails, maßgeschneiderte Nachrichten und nachgebildete Telefonanrufe in einem Bruchteil der Zeit erstellen, die dafür früher erforderlich gewesen wäre.
Das Ergebnis ist eine weitaus ausgefeiltere Form des Social Engineering, auf die viele Organisationen nicht vorbereitet sind.
Die Wissenslücke, die Unternehmen schließen müssen
Viele Programme zur Sensibilisierung für Sicherheitsfragen konzentrieren sich nach wie vor stark auf E-Mail-basierte Bedrohungen. Die Mitarbeiter werden darin geschult, Links zu überprüfen, Phishing-E-Mails zu erkennen und verdächtige Nachrichten zu melden. Diese Fähigkeiten sind zwar wichtig, bereiten die Mitarbeiter jedoch nicht vollständig auf Angriffe vor, die über Telefonanrufe, Sprachnachrichten, Kollaborationsplattformen oder eine Kombination aus allen dreien erfolgen.
Die Herausforderung besteht nicht darin, den Mitarbeitern zu vermitteln, wie die Technologie des Stimmklonens mittels KI funktioniert, sondern ihnen beizubringen, wie sie reagieren sollen, wenn eine Anfrage echt erscheint.
Wenn eine vertraute Stimme zu dringendem Handeln auffordert, müssen die Menschen das Selbstvertrauen haben, einen Moment innezuhalten, die Aufforderung zu überprüfen und die festgelegten Abläufe zu befolgen. Dieses Verhalten ist weitaus wichtiger als das Verständnis der technischen Details, die hinter dem Angriff stehen.
Da Social-Engineering-Taktiken immer ausgefeilter werden, müssen Sensibilisierungsschulungen die Realität widerspiegeln, mit der die Mitarbeiter konfrontiert sind.
Warum geschichtenbasiertes Training den Unterschied ausmacht
Eine der größten Herausforderungen bei neuen Bedrohungen wie dem Stimmklonen besteht darin, dass sie abstrakt wirken können, bis die Menschen sie im konkreten Kontext erleben.
Die meisten Mitarbeiter wissen zwar, dass es Deepfakes und KI-generierte Stimmen gibt, doch das bedeutet nicht automatisch, dass sie einen Identitätsbetrugsversuch auch erkennen, wenn er tatsächlich stattfindet.
Menschen lernen nicht, wie sie mit Druck umgehen sollen, indem sie ein Richtlinien-Dokument lesen. Sie lernen es, indem sie realistische Situationen miterleben und verstehen, wie Angreifer Vertrauen ausnutzen.
Aus diesem Grund gewinnen auf Geschichten basierende Sensibilisierungsschulungen zunehmend an Bedeutung.
„Cyber Police“ ist die Live-Action-Serie von MetaCompliance zur Sensibilisierung für Cybersicherheit, die darauf ausgelegt ist, reale Cyberbedrohungen wie das Klonen von Stimmen durch erzählerische Darstellungen anschaulich zu vermitteln. Anhand realistischer Charaktere, Szenarien am Arbeitsplatz und inszenierter Angriffe zeigt sie den Mitarbeitern, wie sich moderne Cyberbedrohungen entfalten, wie Vertrauen manipuliert wird und wie scheinbar alltägliche Situationen schnell zu schwerwiegenden Vorfällen eskalieren können.
Indem die Mitarbeiter Angriffe aus der Perspektive der Betroffenen mitverfolgen, entwickeln sie ein wesentlich besseres Verständnis dafür, wie sie verdächtiges Verhalten erkennen und effektiv darauf reagieren können.
Aufbau einer Kultur der Überprüfung
Da das Klonen von Stimmen immer häufiger vorkommt, müssen Unternehmen überdenken, wie Vertrauen aufgebaut wird.
Von Mitarbeitern sollte niemals erwartet werden, allein durch Zuhören zu erkennen, ob eine Stimme echt oder von einer KI erzeugt ist. Die Technologie ist zu überzeugend, als dass dies eine verlässliche Verteidigung darstellen könnte.
Stattdessen benötigen Organisationen klare Überprüfungsverfahren für Anfragen, die Zahlungen, sensible Informationen, Zugangsdaten oder den Zugriff auf Systeme betreffen.
- Sollte eine Anfrage ungewöhnlich sein, überprüfen Sie diese bitte.
- Sollte eine Anfrage Dringlichkeit erfordern, prüfen Sie diese bitte.
- Sollte eine Anfrage Geld oder sensible Daten betreffen, überprüfen Sie diese bitte.
Vor allem müssen sich die Mitarbeiter dabei wohlfühlen. Eine starke Sicherheitskultur ermutigt die Mitarbeiter, Anfragen bei Bedarf zu hinterfragen, selbst wenn diese scheinbar von Führungskräften der obersten Ebene stammen.
Diese kurze Pause, um Informationen zu überprüfen, kann einen kostspieligen Fehler verhindern.
Die Zukunft des Social Engineering ist bereits da
Das Klonen von Stimmen wird oft als zukünftige Bedrohung diskutiert, doch Unternehmen müssen sich bereits heute darauf vorbereiten. Die Technologie wird immer leichter zugänglich, die Qualität verbessert sich rasant, und es wird für Menschen zunehmend schwieriger, Fälschungen zu erkennen. Tatsächlich hat McAfee festgestellt, dass 70 % der Menschen nicht sicher sind, ob sie den Unterschied zwischen einer geklonten Stimme und einer echten Stimme erkennen könnten – was deutlich macht, wie glaubwürdig diese Angriffe mittlerweile geworden sind.
Die Organisationen, die effektiv reagieren, sind diejenigen, die eine Unternehmenskultur schaffen, in der Überprüfungen zur Routine gehören, in der die Mitarbeiter sich sicher fühlen, ungewöhnliche Anfragen zu hinterfragen, und in der Sensibilisierungsschulungen genau jene Bedrohungen thematisieren, denen die Mitarbeiter am ehesten ausgesetzt sind.
Wenn das Hören einer vertrauten Stimme kein Identitätsnachweis mehr ist, muss Vertrauen erst verdient und darf nicht als selbstverständlich vorausgesetzt werden.
Erfahren Sie mehr über die Cyberpolizei
„Cyber Police“ nutzt dramatische Darstellungen, um reale Cyberbedrohungen anschaulich zu machen, Diskussionen anzuregen und gängige Annahmen zu hinterfragen. Jede Staffel befasst sich mit den Bedrohungen, denen Mitarbeiter am ehesten ausgesetzt sind – von Phishing über Ransomware bis hin zu Deepfakes – und setzt diese in Form packender Episoden um. Indem die Mitarbeiter die Bedrohungen aus der Perspektive der Betroffenen betrachten, entwickeln sie ein klareres Bewusstsein und das Selbstvertrauen, effektiv darauf zu reagieren.
Erfahren Sie mehr über Cyber Police und entdecken Sie, wie storybasierte Sensibilisierungsschulungen Ihren Mitarbeitern helfen, moderne Cyberbedrohungen zu erkennen, verdächtiges Verhalten zu hinterfragen und in realen Situationen souverän zu reagieren.