Fraud braucht nicht zwingend eine gefälschte E-Mail oder einen manipulierten Beleg. Auch Stimme, Video oder vermeintliche Unternehmenskommunikation können zum Angriffswerkzeug werden. Generative KI ermöglicht es, innerhalb kurzer Zeit Inhalte zu erzeugen, die den Eindruck von Authentizität vermitteln: eine vertraute Stimme, ein scheinbar offizielles Video oder eine Nachricht im Tonfall des Managements.

Besonders gefährlich wird das dort, wo Kommunikation unmittelbar Prozesse steuert. Eine vermeintliche Anweisung des CEO kann beispielsweise dazu führen, dass Freigabewege verkürzt oder Zahlungen umgeleitet werden. In virtuellen Meetings kann ein synthetischer Gesprächspartner sensible Informationen erhalten oder eine ungewöhnliche Handlung legitimieren. Auch gefälschte Pressemitteilungen, Interviews oder Kundenbeiträge können genutzt werden, um Reputation und Marktvertrauen zu beeinträchtigen.

Die entscheidende Frage lautet deshalb nicht nur: Ist dieser Inhalt echt? Viel wichtiger ist: Kann die Information unabhängig verifiziert werden?

Unternehmen sollten sich insbesondere bei kritischen Entscheidungen nicht allein auf Stimme, Bild oder Absender verlassen. Für Zahlungen, Änderungen von Bankverbindungen, Zugriffserteilungen oder extern wirksame Aussagen braucht es klare Freigabe- und Verifikationsprozesse. Das Vier-Augen-Prinzip kann dabei ebenso helfen wie eine Bestätigung über einen zweiten, unabhängigen Kommunikationskanal.

Wichtig ist, dass diese Bestätigung nicht über Kontaktdaten aus der verdächtigen Nachricht erfolgt. Stattdessen sollten bekannte und intern gepflegte Kontaktdaten oder zuvor verifizierte Stammdaten genutzt werden. Auch ein ausdrückliches „Stop-the-line“-Recht kann helfen: Mitarbeiter müssen einen Vorgang bei Verdacht anhalten dürfen, ohne Sanktionen befürchten zu müssen. Denn gerade Zeitdruck ist ein zentraler Hebel von Deepfake-Fraud.

Auch technische Lösungen können unterstützen. Hinweise auf ungewöhnliche Kommunikationsmuster, neue Empfängerkonten, atypische Beträge oder ungewohnte Geräte können Anomalien frühzeitig sichtbar machen. Bei Audio- und Videoinhalten können zudem bestimmte Auffälligkeiten einen Verdacht auslösen. Sie sind allerdings nicht beweissicher.

Entscheidend ist daher das Zusammenspiel aus Technik, Organisation und menschlicher Prüfung. Unternehmen brauchen klare Regeln dafür, welche Kommunikationskanäle offiziell sind, wer nach außen sprechen darf und welche Inhalte freigabepflichtig sind. Ergänzend können Social Listening und Open Source Intelligence dabei helfen, auffällige Inhalte früh zu erkennen und in einen strukturierten Fact-Check-Prozess zu überführen.

Für die Wirtschaftsprüfung wird damit ein Risiko relevant, das über die IT-Sicherheit hinausgeht. Deepfakes und Desinformation können das Kontrollumfeld und wesentliche Geschäftsprozesse betreffen und sollten daher auch in der Risikoanalyse berücksichtigt werden. Für Prüfer gewinnt dabei ein Grundsatz an Bedeutung: Verifizieren statt Vertrauen.

Wie Unternehmen und Wirtschaftsprüfer mit diesen Herausforderungen umgehen können, steht auch beim Digital Summit des IDW am 13. November 2026 im Mittelpunkt. Unter dem Titel „Digitale Souveränität – Wie Unternehmen und Wirtschaftsprüfer Gestaltungsfreiheit und Innovation in Balance bringen“ geht es unter anderem um Governance, digitale Souveränität und die Rolle von Unternehmen und Wirtschaftsprüfung bei digitalen Entscheidungen.

Entscheidend bleiben klare Freigaberegeln, unabhängige Verifikation und menschliche Prüfung. Denn: Sehen und Hören allein ist kein Beweis mehr.