Deepfakes im Unternehmen: Wenn Stimme und Video nicht mehr beweisen

Deepfakes verändern die Beweis- und Vertrauensgrundlagen in der digitalen Kommunikation. Täuschend echte Stimmen, Videos und Bilder lassen sich heute mit deutlich weniger Aufwand erzeugen als noch vor wenigen Jahren. Für Unternehmen ist das nicht nur ein Kommunikationsproblem, sondern ein Risiko für Zahlungsprozesse, Incident Response, Datenschutz und Reputationsschutz. Wer audiovisuelle Inhalte weiter als automatisch verlässlich behandelt, macht Angreifern die Arbeit leicht.

Täuschung wird zum Geschäftsrisiko

Die Technik erzeugt nicht nur gefälschte Bilder. Sie schafft scheinbar authentische Situationen: eine vertraute Stimme am Telefon, eine kurze Videobotschaft der Geschäftsführung oder ein angeblicher Mitschnitt aus einem vertraulichen Gespräch. Gerade diese Nähe zum Gewohnten macht Deepfakes so gefährlich. Sie wirken nicht abstrakt, sondern unmittelbar glaubwürdig.

Im Unternehmensalltag ist vor allem Deepfake-gestützter CEO-Fraud relevant. Mitarbeiter erhalten vermeintliche Audioanweisungen oder Videoimpulse von Vorgesetzten und sollen Zahlungen auslösen, Zugangsdaten weitergeben oder vertrauliche Informationen bereitstellen. Auch interne Untersuchungen und behördliche Verfahren können belastet werden, wenn manipuliertes Material als angeblicher Beleg auftaucht. Im politischen Raum kommt hinzu, dass künstlich erzeugte Inhalte sehr schnell verbreitet werden und klassische Faktenchecks oft erst greifen, wenn der erste Vertrauensschaden bereits eingetreten ist.

Bestehende Regeln greifen, aber nicht immer passgenau

Deepfakes fallen nicht in einen rechtsfreien Raum. Je nach Einsatz kommen verschiedene Regelungen in Betracht, etwa Betrug, Fälschung beweiserheblicher Daten, Verletzungen des allgemeinen Persönlichkeitsrechts, üble Nachrede oder Verleumdung. Auch das Recht am eigenen Bild kann betroffen sein, wenn erkennbare Personen ohne Einwilligung dargestellt oder verbreitet werden.

Das Recht ist deshalb nicht machtlos. Es arbeitet aber mit Tatbeständen, die auf nachweisbare Handlungen, konkrete Verantwortliche und abgrenzbare Schäden zugeschnitten sind. Genau hier entstehen die praktischen Probleme. Wer hat den Deepfake erstellt, wer hat ihn verbreitet, welche Plattform war beteiligt und in welchem Staat sitzt der Anbieter des KI-Systems? Hinzu kommen Geschwindigkeit, Pseudonymität und globale Verbreitung. Für betroffene Unternehmen ist die Durchsetzung häufig schwieriger als die abstrakte rechtliche Einordnung.

Datenschutzrechtlich genau hinsehen

Datenschutzrechtlich ist außerdem zu unterscheiden. Verwendet ein Deepfake das Gesicht, die Stimme oder andere Merkmale einer identifizierbaren Person, liegt regelmäßig eine Verarbeitung personenbezogener Daten nahe. Werden solche Merkmale mit speziellen technischen Verfahren verarbeitet, um eine Person eindeutig zu identifizieren oder die Identifizierung zu bestätigen, können biometrische Daten im Sinne von Art. 4 Nr. 14 DSGVO betroffen sein. Die strengeren Anforderungen des Art. 9 Abs. 1 DSGVO greifen insbesondere, wenn biometrische Daten zum Zweck der eindeutigen Identifizierung verarbeitet werden.

Für Unternehmen bedeutet das: Synthetische Inhalte sind nicht schon deshalb datenschutzrechtlich neutral, weil sie künstlich erzeugt wurden. Entscheidend ist, ob ein Bezug zu einer identifizierten oder identifizierbaren natürlichen Person besteht und zu welchem Zweck die Daten verarbeitet werden. Das gilt nicht nur für die Erstellung eines Deepfakes, sondern auch für dessen Analyse, Speicherung, Weiterleitung und interne Untersuchung.

Verifikation wird zur Pflichtaufgabe der Organisation

Organisationen müssen deshalb Prozesse so gestalten, dass eine Stimme oder ein Video nicht allein als ausreichender Nachweis gilt. Besonders sensible Vorgänge sollten über unabhängige Kanäle bestätigt werden. Dazu gehören Rückrufe über bekannte Telefonnummern, dokumentierte Freigabewege, das Vier-Augen-Prinzip bei Zahlungen und klare Regeln für Änderungen von Kontodaten oder Zahlungszielen.

Technische Hilfsmittel bleiben wichtig. Forensische Analysewerkzeuge, Verfahren zur Erkennung von Wasserzeichen, Provenance-Informationen und Monitoring von Social-Media-Kanälen können Hinweise liefern. Sie ersetzen aber keine organisatorischen Schutzmaßnahmen. Mitarbeiter müssen wissen, wann sie misstrauisch werden sollen und an wen sie einen Verdacht melden. Außerdem braucht es vorbereitete Kommunikationslinien, damit ein kursierender Deepfake schnell eingeordnet, rechtlich bewertet und nach außen adressiert werden kann.

Warum 2026 für Unternehmen besonders wichtig ist

Die Eintrittsbarrieren für generative KI sind stark gesunken. Manipulierte Stimmen, Bilder und Videos lassen sich heute schneller und günstiger erstellen als früher. Gleichzeitig verschiebt sich der regulatorische Rahmen. Ab dem 2. August 2026 werden für Unternehmen auch die Transparenzpflichten der KI-Verordnung wichtiger. Art. 50 der Verordnung sieht unter anderem Kennzeichnungspflichten für Deepfakes sowie für bestimmte KI-generierte oder KI-manipulierte Inhalte vor.

Diese Pflichten lösen das Grundproblem aber nicht. Sie verhindern nicht jede Täuschung, klären nicht automatisch die Verantwortlichkeit und helfen nur begrenzt, wenn Inhalte anonym oder aus Drittstaaten verbreitet werden. Unternehmen sollten Deepfakes daher nicht als technisches Randthema behandeln. Es geht um belastbare Verifikationsprozesse, Datenschutz- und Sicherheitskonzepte, Krisenkommunikation und die Fähigkeit, auch unter Zeitdruck handlungsfähig zu bleiben.