Synthetische Insider: KI-Deepfakes bedrohen die Cybersicherheit von Unternehmen

Das US-Justizministerium deckte im Juni vergangenen Jahres eine ausgeklügelte nordkoreanische Hacking-Kampagne auf. Nordkoreanische Staatsbürger hatten sich betrügerisch als Remote-Mitarbeiter bei US-Unternehmen anstellen lassen, um Geld zu verdienen und Daten für das Regime zu stehlen. Die Täter nutzten dabei gestohlene Identitäten von mehr als 80 US-Bürgern bei über 100 Unternehmen und generierten so mehr als 5 Millionen US-Dollar an illegalen Einnahmen für die Regierung der Demokratischen Volksrepublik Korea (DPRK).

Im Zuge des Durchgreifens wurden acht in den USA ansässige Personen verurteilt, weil sie sogenannte „Laptop-Farmen" betrieben hatten. Dabei handelt es sich um physische Ansammlungen von Laptops in US-Wohnhäusern, die es gefälschten Mitarbeitern ermöglichen, so zu erscheinen, als befänden sie sich in Amerika – während sie in Wirklichkeit vom Ausland aus agieren. Dieser Fall gilt als eines der bisher ausgefeiltesten Beispiele für Insider-Bedrohungen.

Was sind „synthetische Insider"?

Insider-Bedrohungen umfassen sowohl das unbeabsichtigte Durchsickern von Informationen als auch den vorsätzlichen Diebstahl von Daten oder Geldern. Laut einer Analyse des US-Mobilfunkanbieters Verizon aus dem Jahr 2026 wurden von rund 22.000 Vorfällen weltweit 12 Prozent von internen Akteuren durchgeführt. Alex Lisle, Chief Technology Officer bei der Deepfake-Erkennungsgruppe Reality Defender, betont: „Die vorsätzlichen Hacks waren schon immer die verheerendsten Angriffe und in der Regel die erfolgreichsten."

Lisle erklärt weiter: „Sie sind umso verheerender, weil diese Leute wissen, wo sich die Kronjuwelen befinden und wie man auf sie zugreift." Diese Art von gezielten Angriffen wird durch eine Flut von KI-Tools erleichtert, die es Hackern ermöglichen, überzeugende Deepfakes in großem Umfang und zu geringen Kosten zu erstellen – sogenannte „synthetische Insider". Dazu gehören nicht nur gefälschte Bilder, sondern auch Deepfake-Videos und -Audioaufnahmen, mit denen sich Angreifer als vertrauenswürdige Personen ausgeben können.

Unternehmen müssen Einstellungsprozesse neu denken

Adam Finkelstein, Managing Director für Streitigkeiten und Ermittlungen beim Beratungsunternehmen Alvarez & Marsal, sagt, dass Unternehmen reagieren, „indem sie die Verbindung zwischen Personalabteilung, Sicherheit, Recht, Compliance und IT enger knüpfen". Er stellt fest, dass die Einstellung von Mitarbeitern in der Vergangenheit hauptsächlich als HR-Prozess behandelt wurde – und ergänzt: „Das reicht für risikoreiche technische Remote-Positionen nicht mehr aus."

Tom Hegel, leitender Bedrohungsforscher beim Cybersicherheitsunternehmen SentinelOne, empfiehlt eine genaue Überwachung des gesamten Einstellungsprozesses. „Unternehmen sollten Tools zur Identitätsprüfung und Deepfake-Erkennung einsetzen, die Metadaten, IP-Adressen und Geräte-Fingerabdrücke bereits in der Bewerbungsphase prüfen", sagt er. Arbeitgeber sollten zudem auf Anzeichen achten, dass ein Kandidat KI-Software verwendet, um sein Gesicht und seine Stimme in Echtzeit zu verändern.

Hegel weist darauf hin, dass auch einfache Methoden wirksam sein können: „Low-Tech-Methoden funktionieren immer noch, wie etwa die Aufforderung an einen Kandidaten, den Kopf zu drehen oder mit der Hand zu winken." Sobald eine Person eingestellt wurde, müssen Unternehmen außerdem prüfen, ob sie keine Geräte an Laptop-Farmen senden, und Verhaltensanalysen nutzen, um ungewöhnliche Aktivitäten zu erkennen.

Menschliches Versagen bleibt größtes Risiko

Dave Spillane, Systems Engineering Director beim Cybersicherheitsunternehmen Fortinet, relativiert die Bedrohungslage: „Während Geschichten wie die Machenschaften nordkoreanischer IT-Mitarbeiter die Schlagzeilen beherrschen, ist es viel wahrscheinlicher, dass Insider-Bedrohungen versehentlich auftreten." Laut einem Fortinet-Bericht aus dem Jahr 2025 resultierten 62 Prozent der Vorfälle aus menschlichem Versagen oder kompromittierten Konten.

Spillane nennt konkrete Beispiele für solche versehentlichen Bedrohungen: „Dies kann alles sein, von der Eingabe sensibler Informationen in nicht genehmigte GenAI-Tools bis hin zum Versenden der falschen Datei per E-Mail." Für Unternehmen bedeutet das: Die Abwehr von Insider-Bedrohungen erfordert sowohl technische Lösungen gegen hochentwickelte KI-Angriffe als auch grundlegende Schulungen zur Sensibilisierung der eigenen Belegschaft.