129 Millionen Dollar: KI-Chefs rufen in der Buchhaltung an
Die US-Justiz klagt drei Beschuldigte an, die mit KI-Stimmen und teils KI-Bildern Chefs und Anwälte imitiert haben sollen. Tausende Firmen waren Ziel, rund 129 Millionen Dollar die Beute. Warum Rückruf und Vier-Augen-Prinzip jetzt wichtiger sind als jedes Bauchgefühl.
Erst kommt eine Mail vom Chef, dann ruft der Chef selbst an, und am Ende gibt ein Anwalt die Kontonummer durch. Echt ist in dieser Kette niemand. So soll eine internationale Betrugsmasche funktioniert haben, die US-Staatsanwälte in New York am 5. November 2026 öffentlich gemacht haben. Die Anklage spricht von Tausenden angegriffenen Unternehmen und rund 129 Millionen Dollar Beute. Der Fall zeigt, an welcher Stelle Unternehmen jetzt nachschärfen sollten.
Drei Stufen bis zur Überweisung
Nach Berichten von AP und The Record lief die Masche über mehr als eineinhalb Jahre, im Zeitraum 2024 bis 2026, und richtete sich vor allem gegen Buchhaltungsabteilungen. Der Ablauf hatte laut Anklage drei Stufen:
- Die Mail: Eine Nachricht, scheinbar vom CEO, bittet um Hilfe bei einer vertraulichen Finanztransaktion.
- Der Anruf: Es folgt ein Telefon- oder Videogespräch, in dem KI die Stimme und teilweise auch das Bild des CEOs nachahmt.
- Der Anwalt: Die Opfer werden an einen angeblichen Anwalt einer großen internationalen Kanzlei verwiesen, der die Überweisungen anweist.
Für diese Rolle soll es sogar ein eigenes Skript mit dem Titel „Lawyer Call“ gegeben haben. Das Geld floss auf Konten in den USA, Europa, den Vereinigten Arabischen Emiraten und China und wurde anschließend in Kryptowährung umgewandelt.
Der Trick ist psychologisch sauber gebaut. Die Vertraulichkeit erklärt, warum niemand im Haus gefragt werden darf. Der Anruf räumt die Zweifel an der Mail aus. Und der Anwalt gibt dem Ganzen einen offiziellen Anstrich.
Nicht nur kleine Firmen
Die öffentlich genannten Opfer zeigen, dass Größe und Branche kaum schützen:
- Technologieunternehmen in Großbritannien: mehr als 11 Millionen Dollar
- Tierfutterhersteller in Florida: 5,2 Millionen Dollar
- Krankenhaus in Missouri: knapp 5 Millionen Dollar
- Finanzunternehmen in Massachusetts: 4,6 Millionen Dollar
- Krankenhaus in Kalifornien: 2,9 Millionen Dollar
- Bank in Rhode Island: 2,6 Millionen Dollar
Dass eine Bank und ein Finanzunternehmen auf der Liste stehen, ist bemerkenswert. Beide gehören zu den Branchen, die Zahlungsbetrug täglich vor Augen haben.
Stand des Verfahrens
Angeklagt sind drei Beschuldigte, laut The Record aus Spanien und Israel, unter anderem wegen Betrugs per Telekommunikation, schweren Identitätsdiebstahls und Geldwäsche. Festgenommen wurden sie zwischen Juni und September 2026, zwei in Spanien, einer in Großbritannien. Die Auslieferung in die USA ist beantragt. Das Gericht hat noch nichts entschieden, es handelt sich um Vorwürfe aus der Anklage, für die Beschuldigten gilt die Unschuldsvermutung.
Das FBI bittet mögliche weitere Opfer, sich zu melden. Der leitende FBI-Beamte James C. Barnacle Jr. sagte dazu:
„As criminals continue to weaponize emerging technologies, the FBI remains committed to rapidly adapting our capabilities to identify, investigate, and disrupt those who seek to harm New Yorkers and businesses operating in our communities.“
Offen bleibt, wie groß der Anteil der KI am Erfolg tatsächlich war. Die Berichte beschreiben nachgeahmte Stimmen und teilweise Bilder, aber nicht, in wie vielen Fällen sie zum Einsatz kamen oder wie gut sie waren. Das Vorgehen selbst ist nicht neu, CEO-Betrug gibt es seit Jahren. Neu ist, dass der Anruf als bisher verlässlichste Rückversicherung wegfällt. Wie wenig Material dafür nötig ist, zeigt etwa Gemini 3.8 Flash TTS, das Stimmen aus 30 Sekunden Audio klont. Das Muster kennen wir auch von den KI-Erpressern, die über schwache Passwörter kamen: KI macht bekannte Angriffe billiger und überzeugender, die wirksame Gegenwehr bleibt erstaunlich klassisch.
Was das für Ihr Unternehmen heißt
- Stimme und Bild sind kein Beweis mehr: Weder ein Anruf noch ein Videocall bestätigen, wer am anderen Ende ist. Das sollte ausdrücklich so in Ihrer Zahlungsrichtlinie stehen.
- Immer zurückrufen, auf bekanntem Weg: Bei ungewöhnlichen Zahlungen legt die Buchhaltung auf und ruft unter der Nummer aus dem internen Verzeichnis zurück, nie unter einer Nummer aus der Mail oder dem Anruf. Das gilt auch für den angeblichen Anwalt.
- Vier Augen, zwei Kanäle: Größere Zahlungen und neue Empfängerkonten gibt eine zweite Person frei, und zwar in einem anderen Kanal als dem, über den der Auftrag kam.
- „Vertraulich“ ist ein Alarmsignal: Wer um Verschwiegenheit gegenüber Kollegen bittet, löst damit eine Prüfung aus, keine Ausnahme. Die Geschäftsführung sollte klar sagen, dass sie solche Anweisungen nie gibt.
- Rückendeckung vom Chef: Mitarbeitende müssen wissen, dass niemand Ärger bekommt, weil er die Geschäftsführung zurückgerufen hat. Ohne diese Zusage scheitert jede Regel am Zeitdruck.
- Auch die Bank einbinden: Fragen Sie nach Zahlungslimits, Zwei-Personen-Freigaben und nach dem Weg, eine Überweisung im Ernstfall schnell zu stoppen. Bei einem Betrugsverdacht zählt jede Stunde.
- Einmal durchspielen: Eine kurze Übung mit Buchhaltung und Assistenz bringt mehr als jede Folie. Sie zeigt schnell, ob die Rückrufregel im Alltag wirklich greift.
Fazit
Der Fall zeigt, dass der Reflex „Ich habe doch mit dem Chef gesprochen“ ausgedient hat. Das ist unangenehm, aber lösbar: Die wirksamsten Schutzmaßnahmen kosten kaum Geld, sie brauchen nur eine klare Regel und eine Geschäftsführung, die sie selbst einhält. Wenn Sie Ihre Freigabeprozesse und internen Abläufe einmal prüfen lassen möchten, sprechen Sie mich gern an.
