Kapitel 61: Stimmimitation und Deepfake: Die unfassbare Identitätstäuschung

Über Jahrtausende hinweg war das menschliche Gehör der letzte Kompass für die Wahrheit. Wir konnten unseren Augen misstrauen – schließlich sind uns optische Täuschungen durch Licht und Schatten seit der Antike bekannt. Wir konnten schriftlichen Texten gegenüber misstrauisch sein, da jeder eine Unterschrift oder einen Schreibstil fälschen kann. Aber die Stimme? Die Stimme war der Fingerabdruck der Seele. Die einzigartige Frequenz des Sohnes, das leichte Heisersein des Ehemanns am Morgen, die präzise Intonation der besten Freundin – das waren Inseln der Gewissheit in einem Meer der Ungewissheit. Bis die künstliche Intelligenz kam und die Karten neu mischte.

Im Laufe seiner beruflichen Tätigkeit wurde Rechtsanwalt Zion Behalul Zeuge der Trümmer, die Deepfake-Angriffe hinterlassen. Dies ist nicht einfach nur ein weiterer Finanzbetrug; es ist ein schwerer Schlag gegen unser grundlegendstes Vertrauen. Wenn ein Mensch die Stimme seines Angehörigen um Hilfe rufen hört, brechen alle rationalen Schutzmechanismen zusammen. Dieses Kapitel widmet sich der komplexen Technologie, die in das Arsenal der Cyberkriminellen eingezogen ist, der Art und Weise, wie sie funktioniert, und den rechtlichen sowie praktischen Werkzeugen, die uns zur Verfügung stehen, um uns dagegen zu schützen.

Das folgende Szenario ist ein Lehrbeispiel, das auf verbreiteten Betrugsmustern basiert. Die Personen und Ereignisse dienen lediglich der Veranschaulichung.

Der Anruf, der das Blut gefrieren ließ: Der Fall Miriam

Donnerstag, zehn Uhr morgens. Miriam, eine 72-jährige pensionierte Lehrerin aus Ramat Gan, saß in der Küche und trank ihren zweiten Kaffee. Ihr ältester Sohn, Noam, ein Softwareingenieur, befand sich zu dieser Zeit auf einer Geschäftsreise in Berlin. Miriam war an seine täglichen WhatsApp-Nachrichten gewöhnt, doch an jenem Morgen klingelte das Telefon mit einer unbekannten Nummer.

"Mama? Mama, hörst du mich?" Die Stimme war die von Noam. Es gab keinen Zweifel daran. Es war der gleiche leicht tiefe Tonfall, die gleiche Verwendung des Kosenamens "Mama'le", den nur er benutzte, und sogar die leichte Tendenz zum Stottern, wenn er unter Stress stand.

"Noam? Was ist passiert? Warum rufst du von einer komischen Nummer an?", fragte Miriam, während ihr Herz anfing, schnell zu schlagen.

"Ich hatte eine schreckliche Komplikation, Mama", sagte die Stimme am anderen Ende der Leitung, klang zittrig, beinahe weinend. "Ich war in einen leichten Autounfall verwickelt, aber die Polizei hier... sie sagen, meine Versicherung sei nicht gültig und sie halten mich in Gewahrsam. Sie haben mir mein Handy abgenommen, ich spreche vom Telefon des Anwalts, den sie mir zugewiesen haben. Ich muss sofort eine Kaution von 5.000 Euro hinterlegen, sonst bleibe ich das Wochenende in Haft, und das ist ein schrecklicher Ort, Mama. Ich habe Angst."

Miriam wurde schwindelig. "Was muss ich tun? Wie überweist man Geld nach Berlin?"

"Mein Anwalt ist hier, er wird mit dir sprechen. Bitte Mama, sag Papa nichts, er wird gestresst sein und sein Herz ist nicht stark. Ich kümmere mich darum und melde mich wieder bei dir. Bitte, hilf mir nur, hier herauszukommen."

Ein Mann mit einem schweren europäischen Akzent kam an die Reihe. Er stellte sich als "Rechtsanwalt Schmidt" vor und erklärte in fließender, aber dringlicher juristischer Sprache, wie sie das Geld über einen Express-Überweisungsdienst überweisen solle. Er betonte, dass die Zeit dränge und der Richter in einer Stunde in die Pause gehe.

Miriam, voller Adrenalin und mütterlicher Angst, hielt nicht inne, um nachzudenken. Sie fuhr zur nächsten Filiale, hob ihre Ersparnisse ab und tätigte die Überweisung gemäß den genauen Anweisungen, die sie per Textnachricht vom "Anwalt" erhalten hatte. Erst nachdem das Geld versandt war und sie in ihr leeres Haus zurückgekehrt war, setzte sie sich auf den Stuhl und fing an zu zittern. Sie versuchte, die Identifikationsnummer erneut anzurufen. Keine Antwort. Sie schickte eine Nachricht an Noam über sein normales WhatsApp. Fünf Minuten später antwortete er: "Hi Mama, bin gerade aus einem Meeting gekommen. Alles gut? Warum fragst du, ob bei mir alles in Ordnung ist?"

In diesem Moment begriff Miriam, dass sie Opfer von etwas geworden war, von dem sie nicht einmal wusste, dass es existierte. Sie hatte ihren Sohn gehört. Sie hatte sein Atmen erkannt. Aber Noam war überhaupt nicht dort gewesen.

Die Anatomie des Deepfake: Wie Ihre Stimme zur Waffe wird

Um zu verstehen, wie ein solcher Betrug gelingt, lohnt es sich, die dahinterstehende Technologie zu betrachten. Ein "Deepfake" für Stimmen basiert auf Algorithmen des maschinellen Lernens, die in der Lage sind, eine kurze Stimmprobe zu analysieren und daraus ein vollständiges Modell zu erstellen. Früher waren stundenlange Aufnahmen und hochmoderne Studios erforderlich, um eine Stimme glaubhaft zu fälschen. Heute kann dies mit kurzen Proben geschehen, die man gelegentlich in sozialen Netzwerken oder in verbreiteten Sprachnachrichten finden kann.

Die Software lernt die Frequenzmerkmale des Sprechers, das Sprechtempo, die Intonation und die sprachlichen Manierismen. Nach der Erstellung des Modells kann ein Text mit der Stimme des Opfers "vorgelesen" werden. In einigen Fällen ermöglicht die Technologie eine Echtzeit-Stimmveränderung, sodass ein Betrüger in ein Mikrofon sprechen kann und seine Stimme wie die der Person klingt, für die er sich ausgibt.

Es handelt sich um eine Kombination aus Technologie und Social Engineering. Die Betrüger erzeugen eine Situation "kritischer Dringlichkeit" (Critical Urgency). Wenn ein Mensch unter extremem emotionalen Stress steht – wie dem Wissen, dass sein Kind in Not ist – kann das Gehirn in einen Überlebensmodus schalten, in dem es schwieriger ist, Fakten logisch und kühl zu prüfen.

In solchen Szenarien führen die Betrüger vorab eine Informationsbeschaffung durch. Sie wissen möglicherweise über Auslandsaufenthalte durch soziale Netzwerke Bescheid, kennen die Namen von Familienmitgliedern und nutzen Isolierungstechniken, wie die Bitte um Verschwiegenheit, um das Opfer davon abzuhalten, andere Personen zu konsultieren.

Die rechtliche Haftung: Kann die Verantwortung der Bank geprüft werden und gibt es Möglichkeiten der Rückerstattung?

Eine häufige Frage von Personen, die rechtlichen Beistand suchen, ist, ob die Bank eine Haftung bei Fällen von Betrug an älteren Menschen übernimmt – Verantwortung von Bank und Familie – und ob sie die Transaktion hätte verhindern müssen.

Der zentrale normative Rahmen in Israel ist das Zahlungsdienstegesetz von 2019. Abschnitt 20 des Gesetzes befasst sich mit dem "Missbrauch" von Zahlungsmitteln, ein Thema, das auch bei Situationen wie einer unautorisierten Banküberweisung – Haftung der Bank und Rechte des Kunden – relevant ist. Dennoch ist in den meisten Deepfake-Fällen das Opfer selbst diejenige Person, die die Transaktion durchführt, die Formulare unterschreibt oder die Überweisung genehmigt. Aus Sicht der Bankensysteme handelt es sich hierbei oft um eine "autorisierte Transaktion" (Authorized Transaction), da der Kunde seine Zustimmung gegeben hat, auch wenn diese durch Täuschung erlangt wurde.

Dennoch kann bei einer allgemeinen Analyse rechtlicher Möglichkeiten das Konzept der "erhöhten Sorgfaltspflicht" der Bank geprüft werden. Wenn eine Kundin kommt, die einen beträchtlichen Betrag an ein ungewöhnliches Ziel oder in ein als Hochrisiko eingestuftes Land überweisen möchte, kann geprüft werden, ob vom Bankangestellten erwartet wurde, zusätzliche Fragen zu stellen, Risiken zu erklären oder Anzeichen für außergewöhnliche Notlagen zu erkennen.

Die Prüfung der Haftung erfolgt nach den Umständen des jeweiligen Einzelfalls. Wenn sich herausstellt, dass die Bank klare Warnsignale ignoriert hat, könnte eine Haftung aufgrund fahrlässigen Handelns geprüft werden. Es ist jedoch wichtig zu betonen, dass der Nachweis von Bankenfehlern bei Social Engineering eine juristische Herausforderung darstellt und Banken argumentieren könnten, dass die Verantwortung für die Transaktion beim Kunden liegt, der diese bewusst durchgeführt hat.

Auf rechtlicher Ebene kann auch das Verbraucherschutzgesetz geprüft werden, insbesondere wenn ein außerbancärer Zahlungsdienstleister involviert war, um dessen Aufklärungs- und Warnpflichten zu untersuchen. In Fällen, in denen die Betrüger aus dem Ausland oder mit anonymen Mitteln agieren, kann die Möglichkeit, sie direkt in Regress zu nehmen, äußerst komplex sein.

"Warnsignale" – Wie man Identitätstäuschungsversuche erkennen kann

Trotz der technologischen Fortschritte gibt es wiederkehrende Muster, auf die man achten kann:

• Dringende Bitte um Geld: Notrufe, die mit einer Bitte um eine schnelle Geldüberweisung enden, müssen eine Alarmglocke läuten lassen.
• Unbekannte Nummer: Der Empfang eines Anrufs von einer nicht gespeicherten Nummer, auch wenn die Stimme bekannt klingt, ist ein Zeichen, das Vorsicht erfordert. Geschichten von einem "kaputten Telefon" sind ein gängiges Muster.
• Ungewöhnlicher Überweisungsweg: Bitten um Überweisungen über Bargelddienste, digitale Währungen oder ausländische Konten von Dritten sind klare Anzeichen für ein Risiko.
• Bitte um Geheimhaltung: Der Versuch, das Opfer zu isolieren und es zu bitten, keine anderen Familienmitglieder einzubeziehen, ist ein Instrument, das dazu dienen soll, eine zusätzliche Urteilsbildung zu verhindern.
• Technische Anzeichen: Gelegentlich kann man eine leichte "Robotik", ein Fehlen natürlicher Atemgeräusche oder eine leichte Verzögerung bei den Reaktionen bemerken, die aus der Verarbeitungszeit der Software resultiert.

Was ist bei einem ersten Verdacht sofort zu tun?

Im Falle eines Betrugsverdachts wird empfohlen, folgende Schritte zu unternehmen:

1. Auflegen und direkten Kontakt aufnehmen: Es ist ratsam, das Gespräch zu beenden und zu versuchen, das Familienmitglied über die normale, gespeicherte Telefonnummer zu erreichen oder Kontakt zu dessen engem Umfeld aufzunehmen, um den Aufenthaltsort zu bestätigen.
2. Verifizierungsfrage: Man kann eine Frage stellen, die nur das echte Familienmitglied beantworten könnte, wie z.B. eine persönliche oder familiäre Information, die nicht öffentlich zugänglich ist.
3. Bankgeschäfte stoppen: Falls eine Überweisung getätigt wurde, sollte man sich dringend an die Notfall-Hotline der Bank oder des Überweisungsdienstes wenden, um zu versuchen, die Transaktion vor Abhebung des Geldes zu stoppen.
4. Meldung an die Behörden: Die Erstattung einer Anzeige bei der Cyber-Einheit der Polizei ist für die Dokumentation des Falls und die Prüfung zukünftiger Möglichkeiten unerlässlich.
5. Dokumentation: Speicherung aller relevanten Informationen – Telefonnummern, Nachrichten und Details der Überweisung.

Rechtlicher Aspekt und Ausblick

Rechtlich befinden wir uns in einer Phase der regulatorischen Konsolidierung angesichts der sich entwickelnden Technologie. Im Laufe der Jahre wurden Gerichte und der Gesetzgeber mit Fragen konfrontiert, wie etwa der Pflicht der Banken, fortschrittliche technische Schutzmaßnahmen zu implementieren, und der Rechtsgültigkeit einer Zustimmung, die unter technologischer Manipulation erteilt wurde.

In einer juristischen Analyse könnte sich das Prinzip des "günstigsten Schadensverhinderers" ergeben. Manchmal kann argumentiert werden, dass das Finanzinstitut bessere Werkzeuge zur Erkennung ungewöhnlicher Muster besitzt. Andererseits wird immer die Frage des "Mitverschuldens" des Kunden und das Maß der von ihm zu erwartenden Sorgfalt geprüft.

Als fachliche Empfehlung wird Familien geraten, ein gemeinsames "Codewort" für Notfälle festzulegen, das im Falle eines verdächtigen Anrufs als einfaches und effektives Verifizierungsmittel dienen kann.

Zusammenfassend lässt sich sagen, dass die Deepfake-Technologie eine nicht einfache Herausforderung darstellt. Der Schlüssel zur Bewältigung liegt in der Steigerung des Bewusstseins und einer gesunden Skepsis in Drucksituationen. In einem möglichen Szenario könnten die Parteien nach Prüfung der Beweise und der Umstände des Falls Möglichkeiten zur Einigung oder zur Rückerstattung von Geldern prüfen, je nachdem, welches Maß an Verantwortung sich herausstellt.

Es kommt demnach auf die Verfolgung der sich bildenden Rechtsprechung auf diesem Gebiet an, die es den Betroffenen ermöglicht zu prüfen, ob in ihrem spezifischen Fall die Sorgfaltspflichten der Finanzinstitute verletzt wurden. Der Weg zum Versuch der Geldrückerstattung hängt von den Umständen ab und beginnt mit der korrekten Identifizierung der Realität gegenüber der technologischen Manipulation.