Deepfakes als Fraud-Risiko: Wenn Anweisungen, Belege und Bestätigungen nicht mehr verlässlich sind

Digitalisierung & Innovation

30. Juni 2026

Deepfakes sind längst kein Randphänomen mehr. Während die öffentliche Diskussion die Gefahren für das Privatleben in den Fokus stellt – etwa wenn Personen in manipulierten Bildern oder Videos in kompromittierenden Situationen erscheinen –, gewinnt das Thema auch für Unternehmen und deren Abschlussprüfer stark an Bedeutung. Denn Deepfakes stellen ein reales Risiko für die Integrität von Geschäftsprozessen, für Vermögenswerte sowie für die Verlässlichkeit prüferischer Nachweise dar. Um diesen Risiken zu begegnen, brauchen Unternehmen angepasste Kontrollansätze – etwa durch mehrstufige Verifizierungen, unabhängige Bestätigungen und eine konsequente Sensibilisierung von Mitarbeiter*innen.

Deepfakes sind kein Kommunikationsthema, sondern ein Nachweisproblem

Unter Deepfakes versteht man KI-generierte oder KI-manipulierte Medien, die authentisch wirken, tatsächlich aber gefälscht sind. Dazu zählen nicht nur manipulierte Bilder, Videos oder Audioaufnahmen, sondern zunehmend auch täuschend echt wirkende Dokumente, E-Mails und Kommunikationsspuren. Gerade durch die rasanten Fortschritte von KI-Systemen hat sich die Qualität dieser Fälschungen so weit entwickelt, dass sie kaum noch von echten Inhalten zu unterscheiden sind.

Die besondere Gefahr von Deepfakes liegt aber nicht allein in ihrer Qualität, sondern auch in ihrer Skalierbarkeit. KI ermöglicht es, Fälschungen in kurzer Zeit und in großer Anzahl zu erzeugen. Dabei sind die Einstiegshürden deutlich gesunken: Entsprechende Anwendungen sind weit verbreitet und oft ohne tiefgehende technische Kenntnisse nutzbar. So steigt allein durch die Masse die Wahrscheinlichkeit, dass einzelne Deepfakes erfolgreich sind – selbst bei grundsätzlich funktionierenden Kontrollsystemen.

Wo Deepfakes das Rechnungswesen und IKS konkret angreifen

Für Wirtschaftskriminelle eröffnen Deepfakes vielfältige Einsatzmöglichkeiten. Gemeinsam ist den Ansätzen, dass Anweisungen, Autorisierungen, Dokumente und Bestätigungen gefälscht werden – also genau die Elemente, auf die Finanzprozesse und Kontrollen angewiesen sind. Besonders relevant sind dabei unter anderem folgende Szenarien:

CEO-Fraud und Social Engineering
Führungskräfte werden in Telefonaten, Videokonferenzen oder Sprachnachrichten täuschend echt imitiert, um Mitarbeiter*innen zu Überweisungen, zur Preisgabe sensibler Informationen oder zur Umgehung interner Kontrollen zu bewegen. Dabei wird insbesondere sogenanntes Social Engineering angewandt, also die gezielte Manipulation von Personen durch psychologischen Druck, etwa durch Zeitdruck oder die Autorität des CEOs, um so die freigebende menschliche Instanz zu manipulieren. Aufgrund des Manipulationsverfahrens und der täuschend echten Anweisung, ist das Risiko hoch.
Angriffe auf Verifizierungs- und Autorisierungsverfahren
Deepfakes können eingesetzt werden, um biometrische Authentifizierungsmechanismen (z. B. Stimm- oder Gesichtserkennung) zu umgehen und unbefugten Zugriff auf Systeme oder Daten zu erlangen.
Manipulierte Rechnungen und Leistungsnachweise
Durch realistisch wirkende Dokumentenfälschungen können nicht erbrachte Leistungen abgerechnet oder Zahlungsströme gezielt umgeleitet werden.
Gezielte Desinformation („Fake News“) im Unternehmenskontext
Manipulierte oder bewusst falsche Informationen können Entscheidungsprozesse von Mitarbeiter*innen beeinflussen, etwa bei der Aufnahme von Geschäftsbeziehungen oder bei Risiko- und Reputationsbeurteilungen.

Angriffe dieser Art führen regelmäßig zu erheblichen finanziellen Schäden und können die Reputation eines Unternehmens nachhaltig beeinträchtigen.

Folgen und Schutz für bestehende Kontrollsysteme

Vor dem Hintergrund der dargestellten Risiken stellt sich die Frage, wie bestehende Kontrollsysteme an die neue Bedrohungslage angepasst werden können. Deepfakes erfordern dabei weniger punktuelle technische Gegenmaßnahmen als vielmehr eine grundlegende Weiterentwicklung von Kontroll- und Nachweislogiken.

Zentrale Ansatzpunkte ergeben sich vor allem aus bewährten Grundprinzipien: der konsequenten Funktionstrennung, der Nutzung unabhängiger Informationsquellen sowie der Etablierung mehrstufiger Verifizierungsprozesse. Kritische Freigaben – insbesondere im Zahlungsverkehr oder bei sensiblen Stammdatenänderungen – sollten nicht mehr ausschließlich auf einer Kommunikationsform (z. B. E-Mail oder Videoanruf) beruhen, sondern stets durch zusätzliche, voneinander unabhängige Bestätigungsschritte abgesichert werden („Multi Channel Verification“). Ergänzend gewinnt ein stärker „Zero Trust“-geprägter Ansatz an Bedeutung, bei dem auch scheinbar vertraute Kommunikationspartner*innen systematisch hinterfragt werden. Um für einen solchen Fall schnell handlungsfähig zu sein, sollten Unternehmen die konkreten Wege klar definieren und ihre Mitarbeiter*innen entsprechend schulen.

Denn deren Sensibilisierung für Deepfake-Risiken stellt eine zentrale Rolle als Präventionsmaßnahme gegen Deepfakes dar. Dabei sollten die Mitarbeiter*innen über die unterschiedliche Risiken und Deepfake-Szenarien informiert und hierfür sensibilisiert werden. Die Erfahrung zeigt häufig, dass ein rein kontrollbasierter Ansatz nicht ausreichend ist, insbesondere wenn die Kontrollen nicht angemessen durchgeführt oder aufgrund von Unkenntnis bestimmte Verifizierungsverfahren nicht eingeleitet werden.

Aus Sicht von Unternehmensleitung und Compliance-Funktion ergeben sich daraus u. a. folgende Leitfragen:

Werden kritische Anweisungen und Freigaben durch unabhängige, zusätzliche Verifikationsschritte abgesichert?
Sind IT-Systeme implementiert, die eine Erkennung von Deepfakes durch Algorithmen oder KI ermöglichen?
Bestehen Prozesse, die eine alleinige Authentifizierung über Audio-, Video- oder E-Mail-Kommunikation verhindern?
Ist das IKS darauf ausgelegt, gezielte Manipulationen von Kommunikations- und Dokumentationsnachweisen zu erkennen oder zumindest zu hinterfragen?
Werden Mitarbeiter*innen regelmäßig für Social Engineering- und Deepfake-Szenarien sensibilisiert?
Gibt es etablierte Verfahren zum Umgang mit Verdachtsfällen oder ungewöhnlichen Anweisungen?

Die Weiterentwicklung bestehender Kontrollsysteme im Umgang mit Deepfakes bedeutet damit nicht nur die Einführung neuer Maßnahmen, sondern vor allem eine Anpassung des zugrunde liegenden Kontrollverständnisses: weg vom Vertrauen in einzelne Nachweise, hin zu einer stärker vernetzten, unabhängigen und kritisch hinterfragenden Absicherung wesentlicher Geschäftsprozesse.

Bedeutung für die Abschlussprüfung und Prüfungssicherheit

Auch für die Abschlussprüfung ist das Thema von besonderer Bedeutung und stellt diese vor einige Herausforderungen. So muss im Rahmen der Abschlussprüfung das rechnungslegungsbezogene IKS aufgenommen und die Angemessenheit und Wirksamkeit geprüft werden. Aber auch auf das Prüfungsrisiko haben Deepfakes wesentliche Auswirkungen.

Die zunehmende Qualität von Fälschungen – etwa bei Rechnungen oder Leistungsnachweisen – erschwert deren Identifikation erheblich. Das betrifft insbesondere das Risiko einer Bilanzmanipulation im Rahmen eines sogenannten „Management Overrides“, also der gezielten Umgehung bestehender Kontrollen, was erhebliche Auswirkungen auf die Prüfung hat. Unterlagen können leicht und auf einem qualitativ hohen Niveau gefälscht werden und sind oft nur schwer als eigenerstellte Dokumente erkennbar.

Prüfungsansätze, die auf formale Plausibilität oder äußere Merkmale abstellen, reichen allein nicht mehr aus. Vielmehr ist es essenziell, dass der Abschlussprüfer auf Risiken im Unternehmen oder Anzeichen auf Management Override entsprechend reagiert und in seinem Prüfungsansatz berücksichtig. Möglichkeiten sind unter anderem ein stärkerer Fokus auf externe Prüfungsnachweise bspw. von Saldenbestätigungen oder unabhängigen Drittbestätigungen. Aber auch der zugrundeliegende Prozess des Versands und Empfangs werden wichtiger. So müssen diese durch den Abschlussprüfer gesteuert und z. B. auch die Adressprüfung entsprechend von diesem durchführt werden. In der Vergangenheit haben Sonderuntersuchungen bereits gezeigt, dass Unregelmäßigkeiten durch konsequente externe Bestätigungsmaßnahmen hätten früher erkannt werden können.

Zugleich ist die kritische Grundhaltung des Abschlussprüfers und der Prüfungsgehilfen (§  43 Abs. 4 WPO i.  V.  m. § 37 BS WP/vBP) konsequent zu wahren. Zwar darf grundsätzlich von der Echtheit erlangter Prüfungsnachweise ausgegangen werden, solange keine gegenteiligen Hinweise vorliegen. Angesichts der technologischen Entwicklungen ist jedoch eine noch stärkere Sensibilisierung für potenzielle Manipulationen erforderlich.

Im Rahmen der Risikobeurteilung nach ISA DE 315 (Revised) sind Deepfakes als potenzieller Fraud Risk-Faktor zu berücksichtigen. Relevante Fragestellungen für den Abschlussprüfer sind dabei unter anderem:

Besteht ein erhöhtes Risiko für Management Override?
Wie ist der „Tone from the top“ ausgeprägt?
Gibt es externe oder interne Hinweise auf gezielte Desinformationskampagnen?
Sind öffentlich zugängliche Informationen über das Unternehmen oder das Management verlässlich?

Fazit: Mit robusten Strukturen gegen Deepfakes

Deepfakes markieren einen technologischen Wendepunkt mit weitreichenden Konsequenzen für Unternehmen und die Wirtschaftsprüfung. Während heutige Fälschungen teilweise noch an Unstimmigkeiten in Mimik, Betonung oder Darstellung erkennbar sind, ist davon auszugehen, dass diese Merkmale zunehmend verschwinden.

Unternehmen sollten sich daher frühzeitig um angemessene und wirksame Anpassungen bei Prozessen und Kontrollen kümmern und ihre Mitarbeiter*innen frühzeitig hinsichtlich der Gefahren schulen, um das Risiko wirksam zu mindern. Deepfakes sind damit kein isoliertes IT-Thema, sondern ein integraler Bestandteil der Fraud-Risikolandschaft, das für Unternehmen von erheblicher Relevanz ist.

Aber auch für die Abschlussprüfung stellen Deepfakes ein hohes Risiko dar. Die Verantwortung des Wirtschaftsprüfers liegt weiterhin nicht in der technischen Detektion von Deepfakes, sondern in der konsequenten Beibehaltung der kritischen Grundhaltung, einer risikoorientierten Prüfungsplanung und der Einholung angemessener und geeigneter Prüfungsnachweise.

Deepfakes angemessen zu begegnen bedeutet, bestehende Kontrollannahmen kritisch zu prüfen und Prüfungsansätze weiterzuentwickeln – im Interesse der Prüfungsqualität und der Verlässlichkeit von Abschlüssen. Somit stehen sowohl Unternehmen, als auch die Abschlussprüfung vor der Anpassung der Prozesse, um auf die aus Deepfake resultierenden Risiken angemessen zu reagieren.

Für weitere Themen rund um die Wirtschaftsprüfung und Forvis Mazars folgen Sie uns auch auf LinkedIn.