Deepfakes unter Kennzeichnungspflicht: Was sich ab heute für Unternehmen und Ermittlungen ändert
Seit dem 2. August 2026 gelten neue Transparenzpflichten des europäischen AI Act. Besonders relevant sind sie bei Deepfakes, KI-generierten oder manipulierten Inhalten sowie bei bestimmten Interaktionen zwischen Menschen und künstlicher Intelligenz. Für Unternehmen bedeutet das mehr als eine neue Compliance-Vorgabe. Denn künstlich erzeugte Stimmen, Videos, Bilder und Identitäten entwickeln sich zunehmend zu einem ernst zu nehmenden Faktor bei Betrug, Wirtschaftskriminalität und internen Ermittlungen.
Ein Video zeigt angeblich den Geschäftsführer. Eine Sprachnachricht klingt exakt wie ein langjähriger Geschäftspartner. Auf einem Foto scheint eine bestimmte Person eindeutig an einem bestimmten Ort zu stehen.
Doch ist das Material tatsächlich echt?
Diese Frage wird für Unternehmen, Rechtsanwälte, Ermittler und Sicherheitsverantwortliche zunehmend relevant. Moderne KI-Systeme können Stimmen imitieren, Gesichter austauschen, Personen in Situationen darstellen, die nie stattgefunden haben, und digitale Identitäten erzeugen, die bei oberflächlicher Betrachtung kaum von echten Personen zu unterscheiden sind.
Seit dem 2. August 2026 setzt die Europäische Union hier mit Artikel 50 des AI Act neue Transparenzanforderungen.
Neue Transparenzregeln für künstlich erzeugte Inhalte
Die Europäische Kommission hat kurz vor dem heutigen Stichtag konkrete Leitlinien zu den Transparenzpflichten veröffentlicht.
Artikel 50 des AI Act betrifft unter anderem Anbieter und Betreiber bestimmter KI-Systeme. Anbieter müssen beispielsweise bestimmte KI-generierte oder manipulierte Inhalte technisch so kennzeichnen, dass ihre künstliche Herkunft maschinenlesbar erkannt werden kann.
Bei Deepfakes bestehen zudem für bestimmte Nutzer beziehungsweise Betreiber entsprechender KI-Systeme Offenlegungspflichten. Personen sollen grundsätzlich erkennen können, wenn Bild-, Audio- oder Videoinhalte künstlich erzeugt oder manipuliert wurden.
Auch beim direkten Kontakt mit bestimmten KI-Systemen sieht der AI Act Informationspflichten vor.
Die Regelungen gelten seit dem 2. August 2026, wobei Ausnahmen und Übergangsregelungen zu beachten sind. Insbesondere bedeutet der AI Act nicht, dass ab sofort jeder mit künstlicher Intelligenz erstellte Text, jedes Bild oder jede Grafik pauschal sichtbar mit dem Hinweis „KI-generiert“ versehen werden muss. Entscheidend sind Art des Systems, Inhalt, Verwendung und die jeweilige Rolle des Anbieters oder Betreibers.
Für Unternehmen ist jedoch noch eine andere Entwicklung wesentlich wichtiger:
Die Frage nach der Echtheit digitaler Informationen wird zunehmend zu einer Sicherheitsfrage.
Deepfakes sind längst mehr als manipulierte Videos
Beim Begriff Deepfake denken viele zunächst an täuschend echte Videos prominenter Personen.
Aus Sicht der Wirtschaftskriminalität ist das Problem erheblich größer.
Künstliche Intelligenz kann mittlerweile unter anderem eingesetzt werden, um:
- Stimmen von Geschäftsführern oder Mitarbeitern nachzuahmen,
- Videokonferenzen mit vermeintlich realen Personen zu simulieren,
- gefälschte Profile und digitale Identitäten aufzubauen,
- Fotos oder Videos gezielt zu manipulieren,
- fingierte Dokumente und Korrespondenzen glaubwürdiger erscheinen zu lassen,
- Social-Media-Profile künstlich mit Inhalten zu füllen,
- falsche Geschäftsbeziehungen vorzutäuschen,
- Unternehmensvertreter oder Geschäftspartner zu imitieren,
- Identitäten im Rahmen von Betrugs- oder Social-Engineering-Angriffen zu missbrauchen.
Damit verändert künstliche Intelligenz auch die klassische Ermittlungsarbeit.
CEO-Fraud 2.0: Wenn der Chef tatsächlich zu sprechen scheint
Ein klassischer CEO-Fraud basiert häufig auf psychologischer Manipulation.
Ein Mitarbeiter erhält beispielsweise eine vermeintliche Nachricht des Geschäftsführers. Eine dringende Zahlung müsse durchgeführt werden. Absolute Vertraulichkeit sei erforderlich. Aufgrund einer angeblichen Unternehmensübernahme oder vertraulichen Transaktion dürfe niemand sonst informiert werden.
Bislang konnten aufmerksame Mitarbeiter solche Angriffe oftmals anhand ungewöhnlicher Formulierungen, falscher E-Mail-Adressen oder anderer Auffälligkeiten erkennen.
KI verändert dieses Angriffsszenario grundlegend.
Die Nachricht kann sprachlich exakt dem Kommunikationsstil einer bestimmten Person entsprechen. Eine zusätzliche Sprachnachricht kann mit einer künstlich erzeugten Stimme versehen werden. Im nächsten Schritt ist sogar eine manipulierte Videoübertragung denkbar.
Damit verschiebt sich eine entscheidende Grenze:
Sehen und Hören allein sind kein verlässlicher Echtheitsbeweis mehr.
Für Unternehmen bedeutet das, dass interne Kontrollmechanismen zunehmend wichtiger werden. Zahlungsfreigaben, Identitätsprüfungen und sensible Anweisungen sollten nicht ausschließlich von einem digitalen Kommunikationskanal abhängig sein.
Fake-Profile werden professioneller
Auch bei Hintergrundprüfungen und OSINT-Recherchen gewinnt das Thema an Bedeutung.
Ein professionell aufgebautes Fake-Profil besteht heute nicht mehr zwangsläufig aus einem offensichtlich gestohlenen Foto und wenigen zusammenkopierten Informationen.
Mit generativer KI lassen sich innerhalb kurzer Zeit komplette digitale Identitäten erzeugen.
Dazu können gehören:
- realistisch wirkende Profilbilder,
- unterschiedliche Fotos derselben vermeintlichen Person,
- berufliche Beschreibungen,
- Kommentare und Beiträge,
- Geschäftskommunikation,
- Lebensläufe,
- Firmenbeschreibungen und
- künstlich erzeugte Referenzen.
Je mehr solcher Informationen miteinander kombiniert werden, desto glaubwürdiger erscheint die vermeintliche Identität.
Genau hier bleibt professionelle OSINT-Arbeit wichtig.
Entscheidend ist nicht nur, welche Informationen gefunden werden, sondern ob unterschiedliche Quellen tatsächlich unabhängig voneinander bestätigen, dass eine Person, ein Unternehmen oder ein behaupteter Sachverhalt real ist.
Digitale Beweise müssen kritischer bewertet werden
Fotos, Screenshots, Audiodateien und Videos spielen in Ermittlungen regelmäßig eine Rolle.
Die technische Entwicklung macht jedoch eine differenziertere Bewertung erforderlich.
Ein einzelnes digitales Dokument kann einen Sachverhalt möglicherweise stützen – seine Existenz allein beweist jedoch nicht automatisch dessen Authentizität.
Professionelle Ermittlungen müssen deshalb stärker auf Zusammenhänge achten.
Dazu gehören beispielsweise:
- Herkunft und ursprüngliche Quelle einer Datei,
- zeitliche Plausibilität,
- Metadaten, soweit vorhanden und rechtmäßig auswertbar,
- Vergleich mit unabhängigen Quellen,
- mögliche Manipulationsindikatoren,
- Widersprüche zwischen digitaler und tatsächlicher Realität,
- zeitliche Entstehung von Profilen und Inhalten sowie
- Verbindungen zwischen verschiedenen Personen, Accounts und Unternehmen.
Der Ermittler der Zukunft muss deshalb nicht nur Informationen finden.
Er muss zunehmend feststellen, welchen Informationen überhaupt noch vertraut werden kann.
Ein KI-Hinweis ersetzt keine Prüfung
Die neuen Transparenzanforderungen des AI Act können dabei helfen, künstlich erzeugte Inhalte besser erkennbar zu machen.
Sie lösen das Problem jedoch nicht vollständig.
Wer bewusst betrügen, täuschen oder eine Identität verschleiern möchte, wird sich kaum allein deshalb davon abhalten lassen, weil eine gesetzliche Kennzeichnungspflicht besteht.
Kriminelle Akteure befinden sich häufig außerhalb der Europäischen Union, verwenden kompromittierte Accounts, manipulieren Inhalte nachträglich oder versuchen bewusst, technische Kennzeichnungen zu entfernen.
Für Ermittlungen gilt deshalb weiterhin:
Die fehlende Kennzeichnung eines Inhalts ist kein Beweis dafür, dass dieser Inhalt authentisch ist.
Umgekehrt muss ein KI-generierter Bestandteil auch nicht zwangsläufig bedeuten, dass eine Information falsch ist.
Es kommt auf den Kontext und die Verifizierung an.
Unternehmen brauchen neue Verifikationsprozesse
Für Unternehmen entsteht daraus eine neue Aufgabe im Bereich Corporate Security und Compliance.
Besonders sensible Vorgänge sollten durch zusätzliche Verifikationsschritte geschützt werden.
Das betrifft insbesondere:
Zahlungsanweisungen:
Ungewöhnliche oder besonders hohe Transaktionen sollten über einen zweiten, unabhängigen Kommunikationsweg bestätigt werden.
Änderungen von Bankverbindungen:
Neue Kontodaten von Lieferanten oder Geschäftspartnern sollten niemals ausschließlich anhand einer E-Mail übernommen werden.
Geschäftsführer- und Vorstandsweisungen:
Dringlichkeit, Geheimhaltung und außergewöhnliche Zahlungsanforderungen sind klassische Social-Engineering-Muster – auch wenn Stimme oder Video authentisch wirken.
Neue Geschäftspartner:
Eine professionell wirkende Internetpräsenz oder ein überzeugendes LinkedIn-Profil ersetzen keine Background-Prüfung.
Digitale Beweismittel:
Bei wirtschaftlich oder rechtlich relevanten Sachverhalten sollte die Authentizität wichtiger Dateien und Kommunikationsinhalte kritisch geprüft werden.
Corporate Intelligence wird zur Echtheitsprüfung
Die Entwicklung zeigt, wie sehr sich wirtschaftliche Ermittlungen verändern.
Früher bestand eine zentrale Herausforderung darin, überhaupt Informationen über Personen oder Unternehmen zu finden.
Heute existieren häufig enorme Mengen an Informationen.
Die schwierigere Frage lautet zunehmend:
Welche davon sind echt?
Corporate Intelligence, Background Checks und OSINT-Recherchen entwickeln sich deshalb immer stärker von der reinen Informationsbeschaffung hin zur strukturierten Verifikation.
Dabei können unterschiedliche Informationsquellen miteinander abgeglichen werden. Unternehmensstrukturen, Personenbeziehungen, öffentliche Registerinformationen, digitale Spuren und tatsächliche Aktivitäten müssen ein plausibles Gesamtbild ergeben.
Je professioneller künstliche Identitäten werden, desto wichtiger wird genau diese Verbindung unterschiedlicher Ermittlungsansätze.
Deepfakes verändern die Arbeit von Ermittlern
Für Detekteien und private Ermittlungsdienstleister entstehen dadurch ebenfalls neue Anforderungen.
Ein Screenshot ist kein Sachverhalt.
Ein Profil ist keine Identität.
Eine Stimme ist kein sicherer Identitätsnachweis.
Und ein Video ist nicht zwangsläufig die dokumentierte Realität.
Professionelle Ermittlungsarbeit muss digitale Erkenntnisse deshalb mit weiteren Informationen verknüpfen und Widersprüche erkennen.
Gerade bei komplexen wirtschaftlichen Sachverhalten können sich klassische Ermittlungsarbeit, OSINT, Background Checks, Corporate Intelligence und digitale Analyse gegenseitig ergänzen.
Das Ziel bleibt dasselbe:
Aus einzelnen Informationen ein belastbares und möglichst objektives Gesamtbild zu entwickeln.
Der 2. August 2026 markiert einen wichtigen Wendepunkt
Mit den seit heute geltenden Transparenzpflichten nach Artikel 50 des europäischen AI Act reagiert die Europäische Union auf eine technologische Entwicklung, deren Auswirkungen weit über klassische KI-Anwendungen hinausgehen.
Für Unternehmen geht es dabei nicht ausschließlich um die Frage, ob eigene KI-Anwendungen korrekt gekennzeichnet werden.
Mindestens genauso wichtig ist die andere Seite:
Wie schützt man ein Unternehmen davor, dass künstliche Intelligenz zur Täuschung eingesetzt wird?
Deepfake-Stimmen, manipulierte Videos, synthetische Identitäten und professionell aufgebaute Fake-Profile werden die Anforderungen an Compliance, Betrugsprävention und wirtschaftliche Ermittlungen dauerhaft verändern.
Die entscheidende Fähigkeit wird deshalb zunehmend nicht mehr darin bestehen, Informationen zu finden.
Sie wird darin bestehen, Authentizität von Inszenierung unterscheiden zu können.
Privat Investigation Service Detegere – Ermittlungen im digitalen Zeitalter
Privat Investigation Service Detegere unterstützt Unternehmen, Kanzleien und private Auftraggeber bei komplexen Sachverhalten unter anderem durch OSINT-Recherchen, Background Checks, Corporate Intelligence und strukturierte Sachverhaltsaufklärung.
Gerade wenn digitale Identitäten, widersprüchliche Informationen, mögliche Täuschungshandlungen oder wirtschaftliche Hintergründe überprüft werden müssen, ist die Kombination verschiedener Informationsquellen entscheidend.
Denn im Zeitalter künstlicher Intelligenz lautet die entscheidende Frage nicht mehr nur: Was finden wir? Sondern: Was davon ist tatsächlich echt?
Bild: KI generiert
