KI-Stimmenbetrug und WhatsApp-Betrug: So schützt du dich
Ein Anruf von der eigenen Tochter, die angeblich dringend Geld benötigt. Eine WhatsApp-Nachricht von einem vertrauten Kontakt mit einer ungewöhnlichen Bitte. Solche Betrugsversuche können sehr überzeugend wirken. Künstliche Intelligenz ermöglicht es Betrügern, Stimmen nachzuahmen. Gleichzeitig werden Messenger-Konten gezielt übernommen, um das Vertrauen von Freunden und Angehörigen auszunutzen.
Doch wie gross ist die Gefahr tatsächlich? Woran erkennt man einen Betrugsversuch, wenn selbst die Stimme oder das WhatsApp-Profil vertraut erscheint?
Darüber haben wir mit Markus Bergthaler gesprochen. Der österreichische Experte verfügt über mehr als 17 Jahre internationale Erfahrung in der Betrugsprävention und war unter anderem bei Amazon und Wizards of the Coast sowie beim Merchant Risk Council tätig. Im Interview erklärt er, welche Betrugsmaschen besonders gefährlich sind, weshalb ein Familien-Codewort helfen kann und was Betroffene im Ernstfall tun sollten.
Betrugsprävention: Was Unternehmen und Privatpersonen voneinander lernen können
TechNovice: Du hast unter anderem bei Amazon, Wizards of the Coast und im Merchant Risk Council Erfahrungen gesammelt. Welches Erlebnis hat deinen Blick auf Onlinebetrug besonders geprägt?
Markus Bergthaler: Mich haben zwei Erfahrungen besonders geprägt. Bei einem Fälschungsfall habe ich über viele Monate mit einer staatlichen Ermittlungsbehörde zusammengearbeitet. Dabei wurde mir deutlich, wie wertvoll eine gute Zusammenarbeit zwischen Unternehmen und Behörden ist. Beide Seiten haben Wissen und Möglichkeiten, die der jeweils anderen fehlen. Entscheidend ist, dass sie diese Stärken zusammenbringen.
Ein anderes Projekt mit einem grossen Onlineanbieter hat meinen Blick auf das Kundenerlebnis verändert. Wir haben die Kosten der Betrugsprävention und die Folgen sogenannter «False Positives» betrachtet: ehrliche Kunden, die fälschlich als Betrugsrisiko eingestuft und abgewiesen werden.
Bei diesem Projekt lagen die Kosten solcher Fehlentscheidungen deutlich über den Betrugsschäden. Es geht dabei um mehr als einen entgangenen Einkauf. Ein verärgerter Kunde kommt womöglich nicht zurück und erzählt Freunden und Familie von der Erfahrung. Damit können auch weitere potenzielle Kunden verloren gehen.
Seitdem beschäftigt mich besonders, wie sich Betrug verhindern lässt, ohne ehrliche Kunden unnötig auszubremsen. Schon kleine Verbesserungen können hier viel bewirken.
TechNovice: Welche Methoden aus der professionellen Betrugsprävention helfen auch Privatpersonen im Alltag?
Markus Bergthaler: Ich würde zuerst einen Passwortmanager einrichten. Er kann für jedes Konto ein eigenes langes Passwort erzeugen und speichern, statt dass man dasselbe Passwort immer wieder verwendet.
Dazu gehört die Mehrfaktor-Anmeldung, kurz MFA: ein weiterer Nachweis bei der Anmeldung, etwa über eine Authenticator-App.
Wenn ein Dienst Passkeys anbietet, würde ich diese bevorzugen. Dabei gibt man einen digitalen Schlüssel beispielsweise per Fingerabdruck oder Geräte-PIN frei. Ein Passwort muss man nicht auf einer Webseite eintippen. Das hilft gerade gegen gefälschte Anmeldeseiten.
Anfangen würde ich beim E-Mail-Konto. Darüber lassen sich oft auch andere Zugänge zurücksetzen. Und bei der Einrichtung sollte man gleich klären, wie man nach einem Handyverlust wieder hineinkommt.
KI-Stimmenbetrug: Wenn die Stimme eines Angehörigen gefälscht wird
TechNovice: Wie läuft ein Betrugsversuch mit einer KI-generierten Stimme ab?
Markus Bergthaler: Die Mutter hört am Telefon: «Mama, ich hatte einen Unfall, ich brauche Hilfe.» Die Stimme klingt wie die ihrer Tochter. Dann übernimmt jemand anderes und verlangt Geld. Sie soll sofort zahlen und niemanden anrufen.
Das ist ein Beispielszenario, kein Fall aus meiner eigenen Praxis.
Eine nachgeahmte Stimme kann einer solchen Geschichte Glaubwürdigkeit geben. Ob tatsächlich KI dahintersteckt, weiss die Angerufene zunächst nicht.
Sie kann versuchen, ihre Tochter über deren bekannte Nummer zu erreichen. Ist das Handy wirklich verloren, hilft dieser Rückruf natürlich nicht.
Deshalb würde ich vorher ein Familien-Codewort vereinbaren, nach dem man auch bei einem Anruf von einem fremden Telefon fragen kann. Es ist eine zusätzliche Prüfung, keine Zahlungsfreigabe.
TechNovice: Reichen tatsächlich wenige Sekunden einer Sprachaufnahme aus, um eine Stimme überzeugend zu imitieren?
Markus Bergthaler: Öffentliche Videos oder Interviews können Sprachmaterial liefern, aus dem sich eine Stimme nachahmen lässt. Die Software kann sie dann Sätze sagen lassen, die die Person nie gesprochen hat.
Wie überzeugend das gelingt, hängt unter anderem vom Ausgangsmaterial und vom verwendeten Werkzeug ab. Pauschale Aussagen nach dem Muster «ein paar Sekunden reichen immer» finde ich deshalb wenig hilfreich.
Aus meiner Sicht muss eine Fälschung auch gar nicht perfekt sein, um gefährlich zu werden. Wenn jemand glaubt, sein Kind sei in Not, wird er kaum in Ruhe die Tonqualität beurteilen.
Ich würde die Stimme daher nicht als ausreichende Bestätigung ansehen, dass die Geschichte stimmt.
TechNovice: Angenommen, die eigene Tochter ruft scheinbar in einer Notlage an und verlangt dringend Geld. Wie sollte man reagieren?
Markus Bergthaler: Ich würde sagen: «Ich rufe dich zurück», und dann auflegen.
Den Rückruf starte ich selbst über die Nummer, die ich schon vorher gespeichert hatte. Keine Ersatznummer nehmen, die mir der Anrufer gerade nennt.
Wenn niemand abhebt, ist die Lage damit noch nicht geklärt. Vielleicht kann ein anderer Angehöriger oder ein Freund die Person erreichen oder persönlich nachsehen.
In dieser Zeit würde ich weder Geld überweisen noch Anmelde- oder Zahlungsfreigaben bestätigen.
Gerade wenn sich alles dringend anfühlt, ist es schwer, sich diese Zeit zu nehmen. Bei Anzeichen für eine tatsächliche akute Gefahr würde ich die Polizei über den örtlichen Notruf einschalten.
Wie sinnvoll ist ein Familien-Codewort gegen KI-Stimmenbetrug?
TechNovice: Oft wird ein geheimes Familien-Codewort empfohlen. Wie zuverlässig ist diese Methode?
Markus Bergthaler: Das Codewort sollte vorher besprochen werden und nur dem vereinbarten Personenkreis bekannt sein. Der öffentlich bekannte Name des Familienhundes eignet sich dafür schlecht.
Man kann zusätzlich ein zweites Wort vereinbaren, das bedeutet: «Ich bin in Gefahr und kann nicht frei sprechen.»
Wer unter Zwang das normale Codewort nennen müsste, könnte damit stattdessen ein Hilfssignal geben.
Zur Absprache gehört unbedingt, was die anderen dann tun sollen: Hilfe über die Polizei holen und das Signal im Gespräch nicht offenlegen.
Verlassen sollte man sich darauf aber nicht. Das Wort kann bekannt werden, vergessen oder missverstanden werden. Auch unbemerktes Signalisieren ist nicht garantiert.
Eine Geldforderung bleibt trotzdem zu prüfen.
WhatsApp-Betrug: Warum auch bekannte Kontakte gefährlich sein können
TechNovice: Die Nachricht «Hallo Mama, das ist meine neue Nummer» kennen inzwischen viele. Welche Betrugsmaschen funktionieren trotzdem noch?
Markus Bergthaler: Das neue Handy ist nur eine mögliche Geschichte. Genauso kann jemand behaupten, sein Online-Banking funktioniere gerade nicht und eine Rechnung müsse dringend bezahlt werden.
Oder die Nachricht kommt tatsächlich aus dem bekannten Konto, nachdem dieses übernommen wurde.
Der Einstieg muss dabei noch gar nichts mit Geld zu tun haben. Eine vermeintliche Abstimmung kann dazu dienen, einen Anmeldecode zu erfragen oder ein fremdes Gerät mit WhatsApp zu verbinden.
Anschliessend werden über diesen Zugang echte Freunde und Angehörige angeschrieben.
Wer nur nach dem bekannten Satz «Hallo Mama, neue Nummer» Ausschau hält, übersieht solche Varianten leicht.
Ich würde auf die ungewöhnliche Bitte achten, auch im vertrauten Chat.
TechNovice: An welchen Warnsignalen erkennt man einen möglichen Betrugsversuch, selbst wenn die Nachricht von einem bekannten Kontakt stammt?
Markus Bergthaler: «Bitte sag niemandem etwas» würde mich bei einer überraschenden Geldforderung stutzig machen.
Ebenso, wenn jemand einen Rückruf abwehrt, plötzlich eine andere Bankverbindung nennt oder unbedingt einen Anmeldecode von mir braucht. Mit diesem Code kann unter Umständen mein Konto übernommen werden.
Dass ich das Profilbild und den Namen kenne, hilft mir dann wenig: Auch ein vertrautes Konto kann in falschen Händen sein.
Ein anderer Schreibstil kann auffallen, ist aber keine Voraussetzung für einen Betrugsversuch.
Ich würde also auch bei einer völlig normal klingenden Nachricht nachfragen, wenn die Bitte ungewöhnlich ist. Vor allem dann, wenn ich zahlen oder einen Zugang freigeben soll.
TechNovice: Wie lässt sich eine verdächtige WhatsApp-Nachricht zuverlässig überprüfen?
Markus Bergthaler: Bei einer angeblich neuen Nummer rufe ich zuerst die alte an.
Kommt die Nachricht aus dem bekannten WhatsApp-Chat, würde ich die Person über ihre gespeicherte Mobilnummer ganz normal telefonisch anrufen.
Ein Rückruf innerhalb desselben Messengers ist keine unabhängige Prüfung, wenn gerade dieses Konto übernommen wurde.
Ich bleibe also nicht einfach im gleichen Chat und frage: «Bist du das wirklich?» Darauf kann auch der Betrüger mit Ja antworten.
Falls ich die Person anders nicht erreiche, kann ich einen gemeinsamen Kontakt fragen. Wichtig ist, dass ich diesen Weg selbst auswähle.
Die Ersatznummer oder den Kontaktlink aus der verdächtigen Nachricht würde ich dafür nicht verwenden.
Opfer eines Onlinebetrugs: Was jetzt zu tun ist
TechNovice: Was sollten Betroffene unmittelbar tun, wenn sie bereits Geld überwiesen, ein Passwort eingegeben oder einen Bestätigungscode weitergegeben haben?
Markus Bergthaler: Entscheidend ist, möglichst schnell zu reagieren. Die nächsten Schritte hängen davon ab, was passiert ist.
Geld überwiesen: Sofort die Bank oder den Zahlungsdienst über einen bekannten Kontaktweg anrufen. Fragen, ob die Zahlung noch gestoppt oder zurückgeholt werden kann. Versprechen kann das niemand.
Passwort eingegeben: Den betroffenen Dienst direkt öffnen, das Passwort ändern, andere Anmeldungen beenden und Wiederherstellungsdaten prüfen. Dasselbe Passwort auch anderswo verwendet? Diese Konten ebenfalls sichern. Bei Bankzugängen sofort die Bank einschalten und den Zugang sperren lassen.
Bestätigungscode weitergegeben: War er für eine Zahlung, sofort die Bank anrufen. War es ein Messenger-Anmeldecode, die offizielle Kontowiederherstellung nutzen, verknüpfte Geräte prüfen und bei Missbrauch Kontakte warnen.
Ausserdem sollte man Belege sichern und Anzeige erstatten: in der Schweiz bei der Kantonspolizei, in Deutschland und Österreich bei der Polizei.
Eine Meldung beim Schweizer Bundesamt für Cybersicherheit ersetzt keine Strafanzeige.
TechNovice: Viele Betrugsopfer schämen sich und sprechen mit niemandem über den Vorfall. Was möchtest du ihnen und ihren Angehörigen mitgeben?
Markus Bergthaler: Bitte warten Sie nicht damit, jemandem davon zu erzählen. Auch nicht, weil Sie sich schämen oder den Ablauf noch nicht ganz verstehen.
Man kann schon gemeinsam die Bank anrufen, während man noch herausfindet, was passiert ist.
Angehörigen würde ich raten, zuerst zuzuhören. «Gut, dass du mich angerufen hast» macht es leichter, über den Vorfall zu sprechen.
Vorwürfe können dazu führen, dass die Person wichtige Einzelheiten verschweigt oder sich beim nächsten Mal gar nicht meldet.
Wir können vorher in der Familie vereinbaren, dass man nach einem solchen Vorfall Hilfe bekommt. Auch wenn man selbst etwas angeklickt, bestätigt oder überwiesen hat.
Drei Schutzmassnahmen, die jeder sofort umsetzen kann
TechNovice: Welche drei konkreten Massnahmen empfiehlst du unseren Leserinnen und Lesern? Und welchen verbreiteten Sicherheitstipp hältst du für wenig hilfreich?
Markus Bergthaler: Nehmen Sie Ihr Bauchgefühl ernst. Wenn etwas nicht stimmt, müssen Sie nicht erst erklären können, was genau Sie stört. Sie dürfen auflegen, die Zahlung unterbrechen und nachfragen.
Drei Dinge würde ich heute erledigen:
Familienregeln festlegen: In der Familie eine Rückrufregel und ein geheimes Codewort vereinbaren.
Wichtige Konten schützen: Zuerst das E-Mail-Konto absichern. Möglichst mit Passkeys, sonst mit einem eigenen Passwort aus dem Passwortmanager und Mehrfaktor-Authentifizierung.
WhatsApp absichern: Die Verifizierung in zwei Schritten einschalten und kontrollieren, welche Geräte mit dem Konto verknüpft sind.
Wenig hilfreich finde ich, sich auf Rechtschreibfehler als Erkennungsmerkmal zu verlassen.
Ein fehlerfreier Text kann genauso betrügerisch sein. Auch ein gutes Bauchgefühl ersetzt deshalb die Prüfung einer ungewöhnlichen Forderung nicht.
Fazit: Vertrauen ist gut, unabhängige Überprüfung ist besser
KI-Stimmen und übernommene Messenger-Konten machen deutlich, weshalb vertraute Stimmen, Profilbilder und Telefonnummern allein kein ausreichender Identitätsnachweis mehr sind.
Die wichtigste Erkenntnis aus dem Gespräch mit Markus Bergthaler: Nicht die technische Perfektion eines Betrugsversuchs entscheidet über seinen Erfolg. Oft genügt es, Menschen durch Angst, Zeitdruck oder eine persönliche Notlage zu einer vorschnellen Handlung zu bewegen.
Wer bei ungewöhnlichen Geldforderungen konsequent einen unabhängigen Kontaktweg nutzt, seine Konten absichert und mit Angehörigen klare Regeln vereinbart, kann das Risiko deutlich reduzieren.
Über den Experten: Markus Bergthaler
Markus Bergthaler verfügt über mehr als 17 Jahre internationale Erfahrung in der Betrugsprävention. Er ist Inhaber von Secure Strategies in Graz, berät Unternehmen und hält Vorträge zu Betrugsprävention und digitaler Sicherheit.
Sein Ratgeber «Digital Fortress» vermittelt alltagstaugliche Schritte zum Schutz von Konten, Geld und Identität.
Dieses Interview wurde schriftlich geführt und für die Veröffentlichung redaktionell aufbereitet.
