Deepfakes als Risikofaktor für Arbeitgeber

 Typische Angriffsmuster

Am häufigsten missbraucht werden gefälschte Auftritte von Vorgesetzten, um Beschäftigte zu riskanten Handlungen zu bewegen – etwa zur Freigabe von Zahlungen, zur Weitergabe vertraulicher Unterlagen oder zur Umgehung interner Kontrollen. Aus der Praxis bekannt gewordene Fälle bei großen Unternehmen belegen, dass hierdurch Schäden in zweistelliger Millionenhöhe entstehen können. Darüber hinaus lassen sich mit gefälschten Video- oder Audioinhalten falsche Äußerungen der Unternehmensleitung in Umlauf bringen, Social-Media-Kanäle für Desinformation nutzen oder Verfahren zur Identitätsprüfung austricksen. Gemeinsam ist diesen Angriffen, dass sie selten technische Schwachstellen ausnutzen, sondern gezielt auf menschliches Verhalten setzen: Zeitdruck, hierarchischer Respekt und der Eindruck von Dringlichkeit sorgen dafür, dass Auffälligkeiten seltener hinterfragt werden.

Rechtliche Ausgangslage seit August 2026

Mit Wirkung zum 2. August 2026 verpflichtet Art. 50 Abs. 4 der KI-Verordnung Anbieter und Betreiber entsprechender Systeme, künstlich erzeugte oder veränderte Inhalte klar erkennbar zu kennzeichnen. Ergänzend fordert Art. 4 KI-VO, dass Unternehmen ihre Belegschaft im Umgang mit KI-Systemen hinreichend qualifizieren – in der Praxis vor allem durch zielgruppengerechte Schulungsangebote. Für Arbeitgeber besonders relevant ist die Haftungsfrage, wenn Beschäftigte einer Täuschung erliegen und dem Unternehmen dadurch ein Schaden entsteht. Nach den arbeitsrechtlichen Grundsätzen zum betrieblichen Schadensausgleich trifft Arbeitnehmende bei leichter Fahrlässigkeit keine Haftung, bei mittlerer Fahrlässigkeit wird der Schaden anteilig verteilt, und erst grobe Fahrlässigkeit führt zur vollen Haftung. Je überzeugender und schwerer erkennbar ein Deepfake ist, desto geringer das Verschulden des Beschäftigten, auf den Deepfake hereingefallen zu sein. Zudem muss sich ein Arbeitgeber, der keine oder unzureichende Präventionsmaßnahmen getroffen hat, ein eigenes organisatorisches Versagen entgegenhalten lassen.

Was Arbeitgeber konkret tun sollten

Um das eigene Haftungsrisiko zu begrenzen und Schadensfälle zu vermeiden, sollten Deepfake-Risiken systematisch in bestehende Compliance-, Sicherheits- und Krisenstrukturen eingebunden werden. Dazu gehören insbesondere:

• Wiederkehrende, auf die jeweilige Zielgruppe zugeschnittene Schulungen – vor allem für Beschäftigte in Finanzabteilung, IT, Personalwesen und Unternehmenskommunikation –, die typische Erkennungsmerkmale von Fälschungen vermitteln, etwa unstimmige Mimik, ruckartige Bewegungen oder eine versetzte Lippensynchronisation.
• Feste Freigabeprozesse für Zahlungen, Datenweitergaben und ungewöhnliche Anweisungen: ein Vier-Augen-Prinzip, eine Rückbestätigung über einen zweiten, unabhängigen Kommunikationsweg sowie vorher festgelegte Codewörter oder spontane Kontrollfragen im Gespräch.
• Eine wiederkehrende, dokumentierte Analyse besonders gefährdeter Prozesse, Personen und Kommunikationswege, die bei technischen oder organisatorischen Veränderungen aktualisiert wird.
• Den ergänzenden, aber nicht alleinigen Einsatz technischer Erkennungssoftware, deren Treffergenauigkeit je nach eingesetzter Fälschungstechnik erheblich schwanken kann.
• Eine transparente Kennzeichnung, wenn das Unternehmen selbst Deepfake-Technologie einsetzt – etwa in Marketing- oder Schulungsvideos –, sowie die Prüfung geeigneter vertraglicher Vereinbarungen, um persönlichkeits-, datenschutz- und urheberrechtliche Risiken abzusichern.

Fazit und Hinweis für die Praxis

Deepfakes sind längst im Unternehmensalltag angekommen und lassen sich mit überschaubarem Aufwand deutlich besser beherrschen. Wer erst reagiert, wenn der Schaden bereits eingetreten ist, riskiert neben unmittelbaren Vermögenseinbußen auch einen nachhaltigen Vertrauensverlust bei Kunden und Geschäftspartnern. Angemessene technische und organisatorische Schutzmaßnahmen liegen daher nicht nur im betrieblichen Interesse, sondern können die Geschäftsführung zugleich vor persönlicher Haftung nach § 43 GmbHG bzw. § 93 AktG bewahren. Machen Sie Deepfake-Risiken daher zum Bestandteil der Internen Kontrollsysteme. Führen Sie systematisch Risikoanalysen durch, welcher Geschäftsbereich im Unternehmen wie stark von Deepfake-Risiken betroffen ist. Und passen Sie die Strukturen und Prozesse entsprechend an.

Bei Fragen rund um Deepfake-Risiken unterstützt Sie unser Team gerne mit einem interdisziplinären Ansatz aus Arbeitsrecht sowie IT/IP- und Datenschutzrecht.

Autor: Dr. Andreas Eckhardt