Aktualisiert 29. Oktober 2026

Deepfakes erkennen: Merkmale, Betrugsmaschen und was wirklich schützt

Deepfakes erkennen gelingt nur mit Vorbehalt: Verwaschene Konturen an Zähnen und Augen, eine metallisch klingende Stimme oder Verzögerungen im Gespräch können auf eine Fälschung hindeuten, fehlen sie, beweist das aber nicht, dass ein Inhalt echt ist. BSI und Polizei raten deshalb zur Prüfung auf einem zweiten Weg: auflegen, die Person über ihre gespeicherte Nummer zurückrufen oder eine Frage stellen, die nur sie beantworten kann. Fordert jemand Geld oder Daten, sollte eine Stimme oder ein Gesicht allein nie genügen.

Als Deepfakes bezeichnet man KI-gestützte Fälschungen von Bild, Ton und Video, weil dafür tiefe neuronale Netze zum Einsatz kommen. Das Fraunhofer AISEC beschreibt auf seiner Themenseite zu Deepfakes täuschend echt wirkende Video- und Audiomanipulationen, die nur mit KI herstellbar sind. Das BSI unterscheidet bei Gesichtern das Face Swapping, bei dem das Gesicht einer Zielperson in das eines Angreifers eingefügt wird, vom Face Reenactment, das Mimik und Kopfbewegung steuert. Manche Modelle für den Gesichtstausch arbeiten laut BSI teilweise und mit geringem Zeitversatz in Echtzeit, ein Videoanruf kommt damit als Angriffsweg infrage.

Welche Arten von Deepfakes es gibt

Laut Verbraucherseite des BSI reichen mitunter schon ein einziges Bild oder wenige Sekunden Stimmaufnahme. Grundsätzlich ratsam sei es daher, nur wenige solcher Aufnahmen öffentlich zu teilen.

Typische Betrugsmaschen

Von Schockanrufen oder Enkeltrick mit KI-erzeugter Stimme hatten 54 % der 3.060 Befragten des Cybersicherheitsmonitors 2026 von BSI und Polizei schon gehört (Befragung im Januar 2026). Das Fraunhofer AISEC schildert den Chef eines britischen Energieunternehmens, der einen sechsstelligen Betrag überwies, weil er den Vorstandsvorsitzenden der deutschen Muttergesellschaft zu hören glaubte. Es war eine maschinell geklonte Stimme.

Einen Videofall beschreibt die Regierung von Hongkong: Ein Mitarbeiter erhielt eine Phishing-Mail eines angeblichen Finanzchefs der britischen Zentrale, wurde zu einer Videokonferenz eingeladen und autorisierte Überweisungen auf fünf Konten. Laut CNN war es Arup, rund 25,6 Millionen US-Dollar in 15 Überweisungen. Die Polizei geht von einer vorab aufgezeichneten Konferenz aus öffentlichen Videos und Stimmen aus, es gab keine Interaktion. Auf eine unerwartete Frage kann eine Aufzeichnung nicht reagieren.

Erkennungsmerkmale und ihre Grenzen

Das BSI nennt diese Anzeichen:

• Bild und Video: sichtbare Übergänge zwischen Gesicht und Hintergrund mit wechselnder Hautfarbe oder -textur, auffällig verwaschene Konturen an Zähnen und Augen, begrenzte Mimik, unstimmige Beleuchtung sowie Bildfehler, wenn eine Hand das Gesicht teilweise verdeckt oder der Kopf stark gedreht wird.
• Stimme: falsch ausgesprochene Fremd- oder englische Wörter, Akzent oder Betonung, die von der gewohnten Sprechweise abweichen, metallischer Klang, monotone Betonung und Verzögerungen im Telefonat.

Die Polizei ergänzt Lippenbewegungen, die nicht perfekt zum Ton passen. Bei Echtzeitanwendungen kann ein Angreifer fehlerhaftes Material laut BSI nicht von Hand bereinigen. Die Polizei in Hongkong rät, Personen im Videoanruf den Kopf nach oben, unten, links und rechts drehen zu lassen.

Diese Merkmale sind Indizien, keine Garantie. Liegt keines davon vor, lässt sich laut BSI trotzdem nicht ausschließen, dass es sich um eine Fälschung handelt, und die manuelle Erkennung wird mit besserer Technik schwieriger.

Auch die automatische Erkennung hat Grenzen. Das BSI weist auf mangelhafte Generalisierbarkeit hin: In der Deepfake Detection Challenge von 2020 erreichte selbst das beste Modell im Durchschnitt 65,18 % Genauigkeit, bei 50 % durch bloßes Raten. Das Fraunhofer AISEC verweist dagegen auf eigene Methoden, die Manipulationen deutlich verlässlicher aufdecken als Menschen, auch mit Übung erreichten Nutzer nicht die Trefferquoten von KI-Sicherheitssystemen.

Was schützt: Rückruf, Codewort, Vier-Augen-Prinzip

Polizei und BSI setzen auf Prüfwege, die unabhängig davon funktionieren, ob die Fälschung auffällt:

1. Rückruf über eine bekannte Nummer. Im Zweifel die Verbindung trennen und die Person über ihre normale, gespeicherte Telefonnummer zurückrufen, bei E-Mails nicht über die dort angegebene Nummer.
2. Persönliche Frage. Eine Frage stellen, die nur die echte Person beantworten kann und die weder öffentlich bekannt ist noch leicht recherchiert werden kann.
3. Codewort. In der Familie ein Codewort für echte Notfälle vereinbaren, das eine KI nicht kennen kann.
4. Vier-Augen-Prinzip. Ungewöhnliche Zahlungen stets von mehreren Personen prüfen lassen. Firmen empfiehlt die Polizei außerdem interne Sicherheitscodes oder Rückrufregeln und regelmäßig geschulte Mitarbeitende.
5. Tempo herausnehmen. Auch bei bekannten Stimmen innehalten, wenn plötzlich und dringend Geld verlangt wird.

Kennzeichnungspflicht nach der EU-KI-Verordnung (Stand: 29.10.2026)

Die Verordnung (EU) 2024/1689 definiert ein Deepfake in Artikel 3 Nummer 60 als durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde. Artikel 50 sieht für solche Inhalte zwei Pflichten vor:

Die Information muss nach Absatz 5 spätestens bei der ersten Interaktion oder Aussetzung klar und eindeutig bereitgestellt werden. Die Verordnung gilt nach Artikel 113 ab dem 2. August 2026, Artikel 50 gehört nicht zu den Teilen mit späterem Datum. Die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026 gibt Anbietern von Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, bis zum 2. Dezember 2026 Zeit für Absatz 2. Die Übergangsfrist nennt nur diesen Absatz. Verstöße gegen Artikel 50 können nach Artikel 99 Absatz 4 mit bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 3 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Als EU-Verordnung gilt sie unmittelbar in jedem Mitgliedstaat, also in Deutschland und Österreich, nicht aber als Recht der Schweiz. Sie erfasst jedoch auch Anbieter und Betreiber in Drittländern, wenn die Ausgabe des KI-Systems in der Union verwendet wird. Das BSI sieht in gesetzlichen Regeln eine mögliche Hürde für das ungekennzeichnete Verbreiten von Deepfakes, Gegenmaßnahmen bieten laut BSI aber in der Regel keinen vollständigen Schutz.