Betrugsgefahr durch Deepfakes

Im Juni dieses Jahres machte ein vermeintlicher Deepfake-Betrug Schlagzeilen: Die Berliner Oberbürgermeisterin Franziska Giffey sei von Vitali Klitschko angerufen worden, hieß es. Im Nachhinein entpuppte sich der angebliche Deepfake als reiner „Shallowfake“, bei dem die Inhalte nicht mithilfe von Algorithmen, sondern mit einfacher Videobearbeitung verändert werden. Dass Klitschko, der sehr gut Deutsch spricht, plötzlich in dem Fake nur noch Russisch sprechen wollte, half dabei, die Täuschung aufzudecken.

Experten zufolge sind Echtzeit-Gespräche via Deepfake noch sehr instabil und kompliziert. Dennoch weist Europol in einem Bericht darauf hin, dass die Technologie, bei der Inhalte wie Fotos, Audioaufnahmen oder Videos mithilfe von Künstlicher Intelligenz verändert oder verfälscht werden, Anlass zur Sorge gibt. Denn die Entwicklungen in diesem Bereich sind rasant, die Technologien verbessern sich zunehmend.

Laut dem Europol-Bericht können zudem auch Cyberkriminelle selbst die Bereitstellung entsprechender Software als Geschäftsmodell übernehmen: Bei „Crime as a Service“ (CaaS) wird der Zugang zu Tools, Technologien und Know-how an andere Betrüger verkauft. Die Experten von Europol gehen davon aus, dass sich CaaS parallel zu den technologischen Fortschritten weiterentwickeln wird, was zu einem Wettlauf der Behörden gegen die Kriminellen führt. Das gilt insbesondere für Betrugsversuche, die Fälschung von Online-Identitäten sowie für die Täuschung von Know-Your-Customer-Mechanismen (KYC). In falschen Händen kann die Deepfake-Technologie damit einen hohen finanziellen Schaden anrichten.

Gefälschte Identitäten und Push-Payment-Betrug

In den letzten Jahren wurde immer wieder berichtet, Betrüger hätten Deepfake-Voice-Technologien genutzt, um beispielsweise die Stimme eines Vorgesetzten nachzuahmen. So gelang es Kriminellen, einen führenden Manager einer deutsch-britischen Firma zu überzeugen, 220.000 Euro auf ein unbekanntes Konto zu überweisen. Der Anrufer hatte sich mithilfe von Deepfake die Stimme des Chefs der deutschen Muttergesellschaft angeeignet. Im Januar 2020 wurde ein Fall bekannt, bei dem ein Täter Deepfake Voice nutzte, um im Namen eines Unternehmens 35 Millionen Dollar an eine Bank in den Vereinigten Arabischen Emiraten zu überweisen.

Diese Art von Betrug ist auch unter dem Begriff CEO-Fraud bekannt. Anstelle einer E-Mail wird jedoch ein Anruf mit einer gefälschten Stimme oder Videoaufnahme genutzt, um das Opfer stärker unter Druck zu setzen. Denn während der Empfänger verdächtige Formulierungen in einer Mail erkennen kann, fehlt ihm beim Echtzeitbetrug schlicht die Zeit dazu.

Beim sogenannten Social-Engineering-Betrug in Echtzeit geht ein Anruf ein, der vermeintlich vom CEO oder einem leitenden Angestellten stammt. Der Angerufene wird aufgefordert, sofort eine bestimmte Summe zu überweisen. Die für solche Zwecke genutzten Personendaten lassen sich nicht nur im Dark-Web erwerben, auch auf öffentlichen Social-Media-Profilen sind sie leicht einsehbar. Mit ihrer Hilfe wirken die Kriminellen authentisch. Dadurch können sie ihr Opfer leichter manipulieren und dazu bringen, die geforderte Überweisung auszulösen. Die vorhandenen unternehmensinternen Sicherheitsprozesse werden dabei oft vernachlässigt.

Denn da es sich um einen echten Mitarbeiter handelt, der die Überweisung authentifiziert und auslöst, greifen die Sicherheitsprozesse der Bank nicht. Der Betrüger agiert nicht direkt mit der Plattform, sondern über sein Opfer, das ja autorisiert ist, Geld zu überweisen. Und weil sich der User vom eigenen Gerät und an einem validierten Standort anmeldet, schöpft die Bank meist zu spät Verdacht. Auch die Multifaktor-Authentifizierung (MFA) lässt sich dadurch umgehen.

Überwindung biometrischer Systeme: die potenzielle Bedrohung

Mithilfe von Deepfake können Cyberkriminelle also tatsächlich Identitäten manipulieren. Das BSI warnt vor allem vor Deepfake-Attacken bei Fernidentifikationsverfahren wie Spracherkennung oder Videoidentifikation. Laut Bericht des BSI sind solche Angriffe durchaus erfolgversprechend.

Um die Identität neuer Kunden im Finanzdienstleistungssektor nach geltenden Geldwäschevorschriften zu überprüfen, setzen Onlinebanken oder Krypto-Plattformen auf Know Your Customer (KYC). Damit sind Geldströme nachverfolgbar. Neukunden, die sich auf der jeweiligen Plattform registrieren wollen, halten ein Ausweisdokument in die Kamera ihres Computers oder Smartphones, um die Daten und Sicherheitsmerkmale des Dokuments überprüfen zu lassen. Anschließend zeigen sie verschiedene Ansichten ihres Gesichts.

Studien zufolge lassen sich solche Gesichtserkennungslösungen via Deepfake austricksen. So soll eine aus China stammende Gruppe von Cyberkriminellen KYC-Prozesse umgangen haben, indem sie Fake-Bilder von Gesichtern auf echte Ausweisdokumente legte.

Einsatz von Verhaltensbiometrie: Bedrohungen proaktiv erkennen

Abhilfe gegen diese Art von KI-gestützten Bedrohungsszenarien ermöglichen Technologien auf Basis von Verhaltensbiometrie. Damit lässt sich bei einem Social-Engineering-Betrug in Echtzeit via Deepfake die Identität von Personen während der gesamten Abwicklung der Transaktion verifizieren. Eine Technologie auf Basis von KI und ML (Machine Learning) analysiert dabei das digitale physische sowie kognitive Verhalten des Nutzers.

Auf diese Weise kann sie zwischen den Aktivitäten von legitimen Kunden und Cyberkriminellen unterscheiden und dabei auch erkennen, ob der Kunde unter dem Einfluss des Betrügers steht. Denn in einem solchen Fall legt der Nutzer ein anderes Verhaltensmuster während der Transaktion an den Tag. So lässt sich beispielsweise feststellen, dass eine Kontositzung länger als üblich dauert. Dies kann ein Anzeichen dafür sein, dass eine Person via Telefon auf die Anweisungen des Cyberkriminellen wartet.

Auch wenn das Handy immer wieder vom Ohr weg hin zum Gesicht bewegt wird und andersherum, wird die Wahrscheinlichkeit höher, dass der User das tut, weil er die Anordnungen des Hackers umsetzt. Zögerliches Tippen oder nervöse Mausbewegungen können ebenfalls ein Anzeichen sein, dass der Bankkunde unter Stress steht und zu einer Transaktion manipuliert wird.

Über solche datenbasierten Erkenntnisse lassen sich „echte“ von „betrügerischen“ Verhaltensmustern unterscheiden. Anhand von Risikomodellen kann auf diese Weise eine Vielzahl von Bedrohungen in Echtzeit erkannt und rechtzeitig gestoppt werden. Je mehr auffällige Verhaltensmuster ein Nutzer zeigt, desto höher ist der Alarm-Score bei der Bank. Die Bank kann dadurch in Echtzeit eingreifen, den Kunden warnen oder die Transaktion abbrechen.

Auch bei einer Online-Kontoeröffnung, bei der oftmals Fernidentifikationsverfahren zum Einsatz kommen, leistet die Verhaltensbiometrie wertvolle Dienste, bevor es zu einer Video-Manipulation kommen kann. Denn bereits Antragsstellung zur Eröffnung eines neuen Kontos unterscheidet sich das „echte“ Nutzerverhalten von betrügerischen Versuchen. So weist ein Cyberkrimineller ein weit höheres Maß an Vertrautheit mit dem Kontoeröffnungsprozess auf als der legitime Nutzer und navigiert entsprechend schnell durch die einzelnen Schritte. Umgekehrt verwendet er bei der Registrierung häufig Cut-and-Paste-Techniken oder automatisierte Tools. Dem „richtigen“ User sind seine persönlichen Daten dagegen bekannt, entsprechend intuitiv gibt er sie ein.

Ob es sich bei einer Kontoeröffnung um einen Cyberkriminellen handelt, lässt sich auch daran erkennen, dass die jeweilige Person im Umgang mit dem Computer versierter ist als der durchschnittliche Bankkunde. Beispiele hierfür ist die Nutzung erweiterter Shortcuts und Sondertasten oder das professionelle Umschalten zwischen Anwendungen.

Erkennen Banken und Finanzinstitute betrügerische Verhaltensweisen, wenn der Antrag gestellt wird und bevor es zu einer Manipulation des Fernidentifikationsverfahrens kommen kann, spart dies den Banken nicht nur Zeit, sondern auch wertvolle Ressourcen.

Risiken ernst nehmen

Ob ein Kunde mithilfe von Social Engineering manipuliert wurde, um eine Transaktion auszuführen oder Kontoeröffnungsbetrugsversucht stattfand – noch sind Täuschungen mithilfe von Deepfake nicht ausgefeilt genug, um „massentauglich“ zu sein. Allerdings sind die technologischen Möglichkeiten durchaus vorhanden. Und Cyberkriminelle entwickeln ihre Methoden immer weiter, um die erweiterten Sicherheitsmaßnahmen von Banken, Unternehmen und Finanzdienstleistern zu umgehen. Verhaltensbiometrie kann als zusätzliches Sicherheitstool dazu beitragen, Betrugsversuche proaktiv zu erkennen und dadurch Rufschädigung und finanziellen Verlusten vorbeugen – bevor es zu spät ist.