Identitätsbetrug 2.0, Wie KI neue Risiken schafft

Bei der amerikanischen Firma KnowBe4, die anderen Unternehmen dabei hilft, sich vor Betrug und Hackerangriffen zu schützen, ging eine auf den ersten Blick ganz normale Bewerbung ein. Der Lebenslauf war überzeugend; viel Erfahrung, gute Ausbildung, sympathisches Profil.

Das professionelle Bewerbungsfoto zeigte einen Mann mittleren Alters. Er war perfekt ausgeleuchtet, hatte einen neutralen Gesichtsausdruck, einen smarten Blick und akkurat frisiertes Haar. Er wirkte wie jemand, den man einstellen kann. Auch das Online-Profil wirkte glaubwürdig. Es zeigte eine gut vernetzte Person mit einer beeindruckenden beruflichen Historie.

Beim Vorstellungsgespräch sass ein Mann vor der Kamera, der kompetent wirkte. Es gab keinen Grund zu zweifeln, und er erhielt den Job.

Das einzige Problem dabei war, dass seine gesamte Identität erfunden war.

Ihm wurde ein Firmenlaptop nach Hause geschickt, was bei Entwicklern, die von zu Hause aus arbeiten, üblich ist. Doch dann gingen im Security Operations Center interne Alarme los. Kaum hatte der neue Mitarbeiter den Computer in der Hand, begann er, Schadsoftware zu installieren. Diese Person war nicht, wer sie vorgab zu sein. Sie hatte das Profil eines echten Menschen gestohlen. Foto, Lebenslauf und Online-Spuren waren entweder erfunden oder stammten von anderen Personen.

Und wer steckte dahinter? Dieser Angriffsversuch konnte organisierten nord-koreanischen Hackergruppen zugeordnet werden. Glücklicherweise kam es zu keinem Schaden. Doch der Vorfall zeigt etwas Grundlegendes: Heute können Identitäten täuschend echt gefälscht werden.

Das nennt man synthetische Identitäten

Dabei handelt es sich um künstlich geschaffene Identitäten, die entweder vollständig aus fiktiven Daten bestehen oder aus einer Kombination realer und erfundener personenbezogener Informationen zusammengesetzt werden. Sie dienen unterschiedlichen Zwecken:

Technologie und KI-Training:

• Damit Programme lernen können, ohne echte Personen zu benutzen
• Um neue Systeme sicher zu testen
• Um Datenschutz und Fairness zu verbessern

Cyberkriminalität:

• Betrüger nutzen echte Daten wie Sozialversicherungsnummern und mischen sie mit Falschangaben
• So eröffnen sie Bankkonten, beantragen Kredite oder betreiben andere Formen von Betrug
• Oft dauert es lange, bis der Betrug bemerkt wird

Anders als beim Identitätsdiebstahl ist hier keine reale Person betroffen, sondern es wird eine völlig neue Identität geschaffen.

Warum ist das gefährlich?

Mit künstlichen Identitäten werden Unternehmen beispielsweise bei Bewerbungen, E-Mails oder Anrufen getäuscht. Da keine echte Person dahintersteht, bleiben sie länger unentdeckt. Niemand beschwert sich über eine falsche Rechnung oder eine unaufgefordert zugeschickte Kreditkarte.

Künstliche Intelligenz macht diese Identitäten nicht nur glaubwürdiger, sondern auch einfacher zu erstellen. Mögliche Gefahren für Unternehmen sind:

• Finanzielle Verluste durch Betrug
• Rufschädigung bei Betrugsfällen
• Schwierige Erkennung beim Onboarding
• Verzögerte Entdeckung des Betrugs

Unternehmen und Privatpersonen sind neuen Angriffsmethoden ausgesetzt. Traditionelle Schutzmechanismen wie Passwörter, PINs, dokumentenbasierte Verifizierungen (z. B. Ausweisprüfungen), persönliche Sicherheitsfragen oder Vor-Ort-Ident-Verfahren (wie das Post-Ident-Verfahren) reichen oft nicht aus, um moderne Betrugsversuche und den Missbrauch synthetischer Identitäten wirksam abzuwehren.

Was wird gefälscht?

Eine Fake-Identität wird wie aus dem Nichts erfunden. Dahinter steckt jedoch ein präzises Tetris mit einzelnen Bausteinen, die aus unterschiedlichen Quellen stammen können.

Gefälschte Fotos (Fake Headshots): Entweder werden Headshots mit modernen KI-Bildgeneratoren neu generiert oder, wie im eingangs erwähnten Fall von KnowBe4, aus lizenzfreien Bildtools wie „Canva“ ausgewählt. Sie werden für gefälschte Profile in sozialen Netzwerken, Bewerbungsunterlagen oder sogar für gefälschte Ausweisdokumente missbraucht.

Gefälschte Social-Media-Profile und Job-Historien (GPT- und LinkedIn-Fakes): Leistungsstarke Sprachmodelle wie GPT-4 können innerhalb kürzester Zeit authentisch wirkende Lebensläufe, detaillierte berufliche Werdegänge und komplette LinkedIn-Profile erstellen. Diese Profile enthalten oft stimmige Angaben zu früheren Positionen, Projekterfahrungen und sogar gefälschte Empfehlungen, wodurch sie auf den ersten Blick sehr glaubwürdig erscheinen.

Gefälschte Stimmen (Voiceprints): Erschreckenderweise genügen oft bereits sehr kurze Audio-Samples von wenigen Sekunden, beispielsweise aus Online-Meetings, Telefonaten, Podcasts oder öffentlichen YouTube-Videos, um die Stimme einer realen Person zu klonen.

Gefälschte Portfolios und Lebensläufe: Die oben genannten Elemente werden oft durch KI-generierte oder geschickt zusammenkopierte Arbeitsproben, Zeugnisse und Projektportfolios ergänzt, um das Bild einer realen, kompetenten Person abzurunden. 

Wie kann man Betrug mit synthetischen Identitäten erkennen und vermeiden?

Eine starke Identitätsprüfung von Kunden und beim Onboarding ist entscheidend:

Dabei sollte auf fortschrittliche Identitätsüberprüfungen gesetzt werden, beispielsweise auf biometrische Gesichtserkennung mit Echtheitsprüfung (Liveness Detection) und Dokumentenauthentifizierung. So lassen sich gefälschte oder synthetische Identitäten bereits bei der Kontoerstellung erkennen.

Zugriffsrechte sollten streng verwaltet werden:

Sie sollten nach dem Prinzip „Need-to-know“ vergeben werden und ungewöhnliche Zugriffsversuche oder Anfragen auf sensible Daten sollten überwacht werden. Die Mehrfaktor-Authentifizierung sollte standardmäßig aktiviert sein und eine starke Phishing-Abwehr sollte aktiviert werden.

Mitarbeitende sensibilisieren:

Teams sollten regelmässig zu den Themen Social Engineering, Identitätsbetrug und aktuellen Betrugsmaschen geschult werden. So können Auffälligkeiten schneller gemeldet werden. Sicherheitsvorfälle sollten als Lernchance genutzt und intern transparent kommuniziert werden. 

Möchten Sie herausfinden, wie gut Ihr Unternehmen gegen Betrug mit synthetischen Identitäten geschützt ist?

Dann vereinbaren Sie jetzt ein unverbindliches Beratungsgespräch mit unseren Experten! Wir analysieren Ihre Prozesse, zeigen mögliche Schwachstellen auf und geben Ihnen konkrete Empfehlungen, wie Sie Ihr Unternehmen wirksam schützen können.

Nehmen Sie jetzt Kontakt auf und schaffen Sie Sicherheit!

Quellen:

Sjouwerman, Stu. „How a North Korean Fake IT Worker Tried to Infiltrate Us“. Zugegriffen 12. Juli 2025. https://blog.knowbe4.com/how-a-north-korean-fake-it-worker-tried-to-infiltrate-us.

ComputerWeekly.de. „KI steigert die Gefahr des synthetischen Identitätsbetrugs | Computer Weekly“. Zugegriffen 29. Mai 2025. https://www.computerweekly.com/de/meinung/KI-steigert-die-Gefahr-des-synthetischen-Identitaetsbetrugs.

„Synthetische Identitäten: Die neue Gefahr - Onlineportal von IT Management“, 22. Februar 2022. https://www.it-daily.net/it-sicherheit/identity-access-management/synthetische-identitaeten-die-neue-gefahr.

 „Was ist synthetischer Identitätsbetrug? Wie können Sie ihn stoppen? [2025]“, 7. Juli 2023. https://www.iproov.com/de/blog/synthetic-identity-fraud-explained-with-biometric-solution/.

‍