Wie gefährlich sind Deepfake-Videocalls für Ihr Vertrauen wirklich?

Videokonferenzen gehören für Unternehmen, Behörden und Privatpersonen längst zum Alltag. Gleichzeitig entwickeln sich sogenannte Deepfake-Technologien rasant weiter. Künstliche Intelligenz kann Stimmen und Gesichter inzwischen so realistisch nachbilden, dass selbst erfahrene Gesprächspartner Schwierigkeiten haben, Fälschungen zu erkennen. Dadurch entstehen neue Risiken für Betrug, Datenschutz und IT-Sicherheit.

Doch welche rechtlichen Folgen können Deepfake-Videocalls haben? Wer haftet, wenn ein Unternehmen aufgrund eines gefälschten Videoanrufs Geld überweist oder vertrauliche Informationen preisgibt? Und welche Maßnahmen helfen dabei, Schäden möglichst zu vermeiden?

Dieser Beitrag erläutert die rechtlichen Grundlagen in Deutschland, zeigt typische Fallkonstellationen auf und erklärt, wann eine rechtliche Prüfung sinnvoll sein kann.

Was sind Deepfake-Videocalls?

Ein Deepfake ist eine mithilfe künstlicher Intelligenz erzeugte oder manipulierte Audio- oder Videoaufnahme. Ziel ist es häufig, eine Person möglichst glaubwürdig nachzuahmen.

Bei einem Deepfake-Videocall werden beispielsweise

• Gesichtsausdruck,
• Lippenbewegungen,
• Stimme,
• Mimik und
• Sprechweise

einer realen Person nahezu in Echtzeit künstlich erzeugt oder verändert.

Dadurch entsteht für Gesprächspartner häufig der Eindruck, tatsächlich mit der bekannten Person zu sprechen.

Warum werden Deepfake-Videocalls immer gefährlicher?

Die technische Entwicklung schreitet schnell voran. Während frühere Deepfakes oft noch leicht erkennbar waren, ermöglichen moderne KI-Systeme inzwischen erstaunlich realistische Ergebnisse.

Besonders problematisch ist dabei die Kombination verschiedener Faktoren:

• öffentlich verfügbare Fotos und Videos aus sozialen Netzwerken,
• Sprachaufnahmen aus Podcasts oder Interviews,
• leistungsfähige KI-Modelle,
• Echtzeit-Bild- und Sprachsynthese.

Je mehr öffentliches Material über eine Person verfügbar ist, desto einfacher kann ein täuschend echter Deepfake entstehen.

Typische Betrugsmaschen mit Deepfake-Videocalls

Deepfake-Videocalls dienen häufig nicht der Unterhaltung, sondern verfolgen wirtschaftliche oder kriminelle Ziele.

CEO-Fraud mit KI

Besonders betroffen sind Unternehmen.

Mitarbeiter erhalten einen Videoanruf, in dem vermeintlich die Geschäftsführung kurzfristig eine Überweisung anordnet oder sensible Unternehmensdaten anfordert.

Da Stimme und Erscheinungsbild authentisch wirken, werden interne Kontrollmechanismen teilweise umgangen.

Social Engineering

Kriminelle nutzen psychologischen Druck aus.

Im Gespräch wird beispielsweise behauptet,

• ein Kunde müsse sofort bezahlt werden,
• eine vertrauliche Transaktion dürfe niemand erfahren,
• ein technischer Notfall erfordere schnelles Handeln.

Die eigentliche Täuschung liegt weniger in der Technik als in der gezielten Manipulation des Vertrauens.

Identitätsmissbrauch

Deepfakes können außerdem genutzt werden, um

• Verträge anzubahnen,
• Bankgeschäfte vorzunehmen,
• Zugangsdaten zu erlangen,
• Video-Ident-Verfahren anzugreifen oder
• vertrauliche Informationen zu erhalten.

Je nach Einzelfall können mehrere Straftatbestände gleichzeitig verwirklicht sein.

Welche Straftaten kommen bei Deepfake-Betrug in Betracht?

Die rechtliche Bewertung hängt stets vom konkreten Sachverhalt ab.

Je nach Vorgehensweise können unter anderem folgende Straftatbestände relevant sein:

• Betrug (§ 263 StGB),
• Computerbetrug (§ 263a StGB),
• Ausspähen von Daten (§§ 202a ff. StGB),
• Urkundenfälschung oder Fälschung beweiserheblicher Daten, soweit die gesetzlichen Voraussetzungen erfüllt sind,
• Erpressung (§ 253 StGB),
• Verletzung des höchstpersönlichen Lebensbereichs oder Persönlichkeitsrechts in besonderen Fallkonstellationen.

Nicht jeder Deepfake ist automatisch strafbar. Entscheidend sind insbesondere der Verwendungszweck, die Täuschungshandlung und der eingetretene Schaden.

Welche zivilrechtlichen Ansprüche können Betroffene haben?

Deepfakes können erhebliche Auswirkungen auf das allgemeine Persönlichkeitsrecht haben.

Betroffene können – abhängig vom Einzelfall – unter anderem Ansprüche auf

• Unterlassung,
• Beseitigung,
• Schadensersatz,
• Geldentsschädigung bei schwerwiegenden Persönlichkeitsrechtsverletzungen sowie
• Auskunft über Verantwortliche

prüfen lassen.

Auch datenschutzrechtliche Ansprüche nach der Datenschutz-Grundverordnung (DSGVO) können in Betracht kommen, wenn personenbezogene Daten unzulässig verarbeitet wurden.

Ob und in welchem Umfang solche Ansprüche bestehen, hängt jedoch stets von den konkreten Umständen ab.

Wer haftet, wenn Unternehmen auf einen Deepfake hereinfallen?

Eine pauschale Antwort gibt es nicht.

Entscheidend sind unter anderem:

• bestehende interne Sicherheitsrichtlinien,
• Freigabeprozesse,
• organisatorische Schutzmaßnahmen,
• Sorgfaltspflichten der handelnden Personen,
• mögliche Pflichtverletzungen.

Insbesondere bei hohen Vermögensschäden stellt sich regelmäßig die Frage, ob interne Kontrollmechanismen ausreichend waren.

Auch Versicherungsfragen – etwa im Zusammenhang mit Cyberversicherungen oder Vertrauensschadenversicherungen – können eine wichtige Rolle spielen.

Datenschutz: Welche Rolle spielt die DSGVO?

Deepfakes verarbeiten regelmäßig personenbezogene Daten.

Hierzu gehören beispielsweise:

• Gesichtsbilder,
• Sprachaufnahmen,
• biometrische Merkmale,
• Namen,
• Videoaufnahmen.

Wer solche Daten ohne Rechtsgrundlage verarbeitet oder veröffentlicht, kann gegen die DSGVO verstoßen.

Je nach Fall können Ansprüche auf Schadensersatz oder aufsichtsbehördliche Maßnahmen in Betracht kommen.

Besonders sensibel sind biometrische Daten, deren Verarbeitung häufig strengeren gesetzlichen Anforderungen unterliegt.

Beweisprobleme: Wie lässt sich ein Deepfake nachweisen?

Gerade Deepfake-Fälle sind häufig durch schwierige Beweisfragen geprägt.

Wichtige Beweismittel können sein:

• Aufzeichnungen des Videocalls,
• Chatverläufe,
• E-Mails,
• Log-Dateien,
• IP-Daten,
• Serverprotokolle,
• interne Freigabedokumentationen,
• IT-forensische Gutachten.

Je früher digitale Spuren gesichert werden, desto größer ist regelmäßig die Chance, den Sachverhalt später nachvollziehen zu können.

Eigenmächtige Veränderungen an Dateien oder Geräten sollten möglichst vermieden werden, um Beweismittel nicht zu beeinträchtigen.

Welche Fristen sollten Betroffene beachten?

Die maßgeblichen Fristen unterscheiden sich je nach Anspruch.

Beispielsweise können relevant sein:

• zivilrechtliche Verjährungsfristen,
• Fristen für Versicherungsmeldungen,
• datenschutzrechtliche Meldepflichten,
• interne Compliance-Vorgaben,
• strafprozessuale Besonderheiten.

Versäumte Fristen können dazu führen, dass Ansprüche erschwert oder nicht mehr durchgesetzt werden können.

Gerade nach einem größeren Vermögensschaden empfiehlt sich daher eine zeitnahe rechtliche Prüfung.

Typische Fehler nach einem Deepfake-Vorfall

In der Praxis treten häufig ähnliche Fehler auf:

• vorschnelles Löschen von Chatverläufen oder Dateien,
• verspätete Sicherung digitaler Beweise,
• unterlassene Information der IT-Abteilung,
• fehlende Dokumentation des Vorfalls,
• eigenständige Kommunikation mit unbekannten Tätern,
• verspätete Information von Versicherern.

Ein strukturiertes Vorgehen erleichtert später sowohl die technische Aufklärung als auch die rechtliche Bewertung.

Wie können Unternehmen und Privatpersonen sich schützen?

Absolute Sicherheit gibt es nicht. Das Risiko lässt sich jedoch deutlich reduzieren.

Sinnvolle Maßnahmen sind insbesondere:

• Mehr-Augen-Prinzip bei Zahlungsanweisungen,
• verbindliche Rückrufverfahren über bekannte Telefonnummern,
• interne Freigabeprozesse,
• regelmäßige Mitarbeiterschulungen,
• technische Authentifizierungsverfahren,
• Sensibilisierung für Social-Engineering-Angriffe,
• aktuelle IT-Sicherheitskonzepte.

Gerade ungewöhnliche Anweisungen sollten niemals allein aufgrund eines überzeugenden Videoanrufs umgesetzt werden.

Wann ist eine anwaltliche Prüfung sinnvoll?

Eine anwaltliche Einordnung kann insbesondere dann sinnvoll sein, wenn

• erhebliche Vermögensschäden entstanden sind,
• personenbezogene Daten betroffen sind,
• strafrechtliche Vorwürfe im Raum stehen,
• Versicherungsleistungen geprüft werden sollen,
• Schadensersatzansprüche bestehen könnten,
• Unternehmen Compliance- oder Haftungsfragen klären müssen.

Da Deepfake-Fälle häufig mehrere Rechtsgebiete gleichzeitig betreffen – etwa Strafrecht, Datenschutzrecht, IT-Recht, Zivilrecht und Versicherungsrecht –, ist eine umfassende rechtliche Bewertung oft nur anhand des konkreten Einzelfalls möglich.

Fazit: Wie gefährlich sind Deepfake-Videocalls für Ihr Vertrauen wirklich?

Deepfake-Videocalls stellen eine ernstzunehmende Herausforderung für Unternehmen und Privatpersonen dar. Die technische Qualität künstlich erzeugter Stimmen und Bilder nimmt kontinuierlich zu und erschwert die Unterscheidung zwischen echten und manipulierten Gesprächen. Damit steigen sowohl die Risiken für Betrug als auch für Datenschutzverletzungen und Identitätsmissbrauch.

Rechtlich kommt es stets auf den konkreten Sachverhalt an. Je nach Einsatz der Deepfake-Technologie können strafrechtliche, zivilrechtliche und datenschutzrechtliche Fragen gleichzeitig relevant werden. Wer von einem Deepfake betroffen ist oder aufgrund eines manipulierten Videocalls einen Schaden erlitten hat, sollte digitale Beweise frühzeitig sichern und die rechtliche Situation sorgfältig prüfen lassen. Eine individuelle Bewertung hilft dabei, mögliche Ansprüche, Haftungsfragen und weitere Handlungsmöglichkeiten realistisch einzuordnen.

FAQ

Sind Deepfake-Videocalls in Deutschland verboten?

Nicht jeder Deepfake ist rechtswidrig. Entscheidend ist der Zweck der Nutzung. Werden Personen getäuscht, geschädigt oder Persönlichkeitsrechte verletzt, können straf-, zivil- oder datenschutzrechtliche Konsequenzen folgen.

Kann ich Schadensersatz verlangen, wenn mein Gesicht für einen Deepfake verwendet wurde?

Unter bestimmten Voraussetzungen kommen Unterlassungs-, Beseitigungs- oder Schadensersatzansprüche in Betracht. Ob ein Anspruch besteht, hängt von der Art der Nutzung, dem entstandenen Schaden und den konkreten Umständen ab.

Welche Beweise sollte ich nach einem Deepfake-Betrug sichern?

Sinnvoll sind insbesondere Videoaufzeichnungen, Chatverläufe, E-Mails, Screenshots, Log-Dateien sowie eine möglichst genaue Dokumentation des Vorfalls. Veränderungen an digitalen Beweismitteln sollten möglichst vermieden werden.

Welche Unternehmen sind besonders gefährdet?

Vor allem Unternehmen mit hohen Zahlungsströmen, internationaler Kommunikation oder sensiblen Daten sind häufig Ziel sogenannter CEO-Fraud- oder Social-Engineering-Angriffe. Grundsätzlich kann jedoch jedes Unternehmen betroffen sein.

Wann sollte ich einen Rechtsanwalt einschalten?

Eine anwaltliche Prüfung empfiehlt sich insbesondere bei Vermögensschäden, Datenschutzverletzungen, Identitätsmissbrauch, strafrechtlichen Fragestellungen oder wenn Ansprüche gegen Dritte oder Versicherungen geprüft werden sollen.