Es ist Freitagnachmittag. Die Buchhalterin eines Wiener Bauträgers bekommt einen Videoanruf. Am Bildschirm: der Geschäftsführer und der CFO. Eine diskrete Akquisition, 2,3 Millionen Euro auf ein Treuhandkonto in Singapur, bis Montag muss es durch sein. Die vertrauten Gesichter, die vertrauten Stimmen. Sie überweist. Am Montag ist das Geld weg – und weder Geschäftsführer noch CFO wissen von dem Gespräch.
Kennen Sie den Fall Arup?
Wie billig Phishing und Deepfake 2026 geworden sind
Arup ist kein Finanzkonzern. Arup ist ein britisches Ingenieur- und Planungsbüro mit 18.500 Mitarbeitern, Architekten der Sydney Opera und des Pekinger Vogelnestes. Im Januar 2024 überwies ein Hongkonger Finanzmitarbeiter nach einer Deepfake-Videokonferenz 25,6 Millionen US-Dollar. CFO und Kollegen waren vollständig per KI rekonstruiert – aus LinkedIn-Clips und Meeting-Aufnahmen.
Das Werkzeug dahinter ist 2026 trivial geworden. Phishing-as-a-Service-Plattformen wie SheByte mieten Kriminelle für rund 200 US-Dollar im Monat – inklusive KI-generierter Mail-Templates, täuschend echter Markenlogos, Sprachadaption ins Österreichische und fertiger Landing-Pages. Früher brauchte ein Angreifer technisches Handwerk. Heute genügt ein Abo. Für einen Deepfake-Voice-Anruf reichen dreißig Sekunden Audio aus einem Podcast oder Messevortrag. Der WEF Global Cybersecurity Outlook 2026 hält fest: KI-gestütztes Phishing und Deepfake-Betrug haben Ransomware erstmals als Top-Sorge von CEOs weltweit abgelöst. 81 Prozent aller dokumentierten KI-Betrugsfälle 2025 enthielten Deepfake-Komponenten.
Fünf Schwachstellen, die Phishing und Deepfake in der Branche wirksam machen
Erstens: Sechs- bis achtstellige Einzelbeträge sind in Bau und Immobilien Alltag. Anzahlungen auf Grundstücke, Kaufpreise, Abschlagsrechnungen an Generalunternehmer – eine Überweisung über zwei Millionen Euro löst keinen Alarm aus. In einem IT-Systemhaus wäre sie die Jahresauffälligkeit.
Zweitens: Die Lieferkette ist bis in die fünfte Stufe fragmentiert. Generalunternehmer, Sub, Sub-Sub, Einmann-GmbH. Jeder Knoten ist ein Einfallstor. Der Verizon Data Breach Investigations Report 2025 dokumentiert, dass sich Dritt-Anbieter-Angriffe verdoppelt haben. Der typische Phishing-Angriff 2026 beginnt nicht im Darknet, sondern in einem gekaperten Mail-Account eines bekannten Subunternehmers.
Drittens: Baustellenkommunikation läuft über WhatsApp, SMS und Anrufe ohne technische Verifikation. Genau hier setzt Deepfake-Voice an – der Polier unterscheidet die Chefstimme akustisch nicht vom Klon.
Viertens: Die IT-Landschaft ist historisch gewachsen. iX-Haus, RELion, SAP RE-FX, dazu FM- und Zutrittssysteme, selten integriert. Die KPMG/ZIA-Studie zeigt: 93 Prozent der Immobilienunternehmen halten Cybersicherheit für wichtig, nur 20 Prozent besitzen eine Strategie zum Schutz der Gebäudetechnik.
Fünftens: Strukturell herrscht Zeitdruck. Closings am Freitag, Due-Diligence-Fristen um Mitternacht, Baustellen mit fünfstelliger Tagespönale. Genau der Druckmodus, für den CEO-Fraud konstruiert ist.
Die Zahlen, die Geschäftsführer kennen müssen
Die KPMG Cybersecurity-Studie Austria 2025 dokumentiert: Jeder siebte Angriff in Österreich ist erfolgreich. Zehn Prozent aller Social-Engineering-Versuche nutzen bereits Deepfake-Komponenten. Die Bitkom-Wirtschaftsschutzstudie 2025 beziffert den deutschen Gesamtschaden auf 289,2 Milliarden Euro pro Jahr – vier Prozent aller Unternehmen haben bereits konkreten Deepfake-Schaden erlitten. Grant Thornton: 45 Prozent der deutschen Immobilienunternehmen verzeichnen pro Jahr mindestens einen erfolgreichen Cyberangriff.
Der Fall FACC bleibt der österreichische Referenzfall für klassisches Phishing: 52,8 Millionen Euro Schaden 2016, nur 10,9 Millionen zurückgeholt, zwei Vorstände entlassen. Damals brauchte der Angreifer handwerkliches Mailschreiben. Heute genügt ein Klick in einem Voice-Cloning-Tool.
Was jetzt zu tun ist
Rückruf vor Firewall. Jede ungewöhnliche Zahlungsanweisung, jede IBAN-Änderung, jede Videokonferenz mit Eilcharakter wird über einen Out-of-Band-Rückruf auf einer archivierten Nummer verifiziert – nicht auf der aus Anruf oder Mail. Fünfzehn Sekunden Aufwand, 2026 die wirksamste Einzelmaßnahme gegen Phishing und Deepfake-Betrug.
Schwellenwerte mit Vier-Augen-Prinzip. Ab 10.000 Euro bei Neu-Empfängern, ab 50.000 Euro generell, ab 250.000 Euro zwei Unterschriften plus Hausbank-Rückruf.
Codewort mit der Hausbank. Für Unternehmen ab zehn Millionen Jahres-Zahlungsvolumen. Zwei Personen kennen es, nirgendwo digital abgelegt.
Technisch das Minimum. DMARC, DKIM, SPF zur E-Mail-Authentifizierung. MFA oder Passkeys statt Passwörter. E-Mail-Gateway mit KI-Phishing-Erkennung.
Awareness mit Branchenbezug. SoSafe, IKARUS Security, Hornetsecurity bieten Phishing-Simulationen mit Bau-relevanten Szenarien – Subunternehmer-Rechnungen, Grundbuchs-Mahnungen, Notar-Dringlichkeiten. Alle sechs bis acht Wochen, nicht einmal pro Jahr.
Versicherung genau lesen. Nur 22 Prozent der österreichischen Unternehmen haben eine Cyber-Police. Wer eine hat, prüft die Klauseln zu Social-Engineering und Deepfake-induzierten Fehlüberweisungen – die werden gerne auf Sublimits beschränkt.
Weiter gedacht
Der Unterschied zwischen defensiver und offensiver KI ist eine Frage der Zeit. Die defensive Einführung im eigenen Haus darf warten. Die offensive KI des Angreifers wartet nicht. Phishing kostet 2026 zweihundert Dollar im Monat. Deepfake kostet dreißig Sekunden Stimmprobe.
Der Optimist sagt: Es wird uns nicht treffen. Der Realist sagt: Haben Sie einen dokumentierten Rückrufprozess?