Identitätsbetrug: Die Praktikantin, die es nicht gab

Auf dem Papier war sie die ideale Praktikantin: Bachelor abgeschlossen, Master geplant, motiviert, gut vorbereitet und für drei Monate verfügbar. In Zeiten des War for Talents klingt so ein Profil fast zu gut, um es vorbeiziehen zu lassen.

Genau das wurde einem Beratungsunternehmen mit Standort in Wien zum Verhängnis. Drei Wochen lang arbeitete die junge Frau im Unternehmen. Dann tauchte sie plötzlich nicht mehr auf. Als die HR-Abteilung die Zugangsdaten sperren lassen wollte, kam die böse Überraschung: Die IT stellte fest, dass Daten abgeflossen waren. Nach Einschätzung der Ermittler waren nicht nur einzelne Datensätze betroffen, sondern Unternehmenswissen aus elf Jahren. Die Aufarbeitungskosten belaufen sich mittlerweile auf rund 280.000 Euro, der tatsächliche Gesamtschaden ist noch offen.

Schnell wurde klar, dass es dabei nicht nur um Datendiebstahl ging. „Unsere erste Frage war: Gab es diese Person überhaupt?“, sagt Franz Wulz, Geschäftsführer der auf Wirtschaftskriminalität und Personenschutz spezialisierten CST-Group. Er ermittelt in diesem Fall für das betroffene Unternehmen und kam zu einem erstaunlichen Befund: Die Identität der Praktikantin war künstlich erstellt. Lebenslauf und Dokumente waren gefälscht, die digitale Historie kaum nachvollziehbar.

Während sich viele Unternehmen gegen Cyberattacken schützen, lag hier die Sicherheitslücke nicht im Serverraum, sondern im Recruiting. Für Ermittler Wulz ist der Fall deshalb mehr als ein spektakulärer Einzelfall: „Das Spannende daran ist, dass es eben kein Hackerangriff war, sondern eine ganz normale Bewerbung.“ Der Fachterminus dafür lautet Identity Fraud, also Identitätsbetrug.

Identitätsbetrug gibt es schon lange. Doch KI verändert die Spielregeln. Eine glaubwürdige Person lässt sich heute aus digitalen Bausteinen zusammensetzen: ein Profilfoto, ein Lebenslauf, Zeugnisse, eine E-Mail-Adresse, ein Linkedin-Auftritt, eine plausible Geschichte. Was früher aufwendig war, wird professioneller und deutlich schwerer zu erkennen. Unternehmen blicken zu sehr auf technische Angriffe, unterschätzen dabei aber den menschlichen Faktor, meint Wulz: „Mit einem Klemmbrett und einer Warnweste kommt man in vielen Unternehmen bis zum Vorstand ins Büro.“ Heute brauche es dafür nicht einmal mehr das: Eine plausible digitale Identität kann reichen.

Wie stark KI Social Engineering – also die psychologische Manipulation von Menschen – verändert, zeigt auch der Blick auf aktuelle Bedrohungsanalysen. Die EU-Cybersicherheitsagentur ENISA bezeichnet KI in „Threat Landscape 2025“ als prägenden Faktor der Bedrohungslage. Laut dem Entrust Identity Fraud Report 2026 entfällt bereits rund jeder fünfte biometrische Betrugsversuch auf Deepfakes.

„KI senkt die Kosten für Identity Fraud und glaubwürdige Täuschung dramatisch“, sagt Josef Pichlmayr, Geschäftsführer des Wiener Cybersecurity-Unternehmens Ikarus. Früher habe man für solche Angriffe viel Zeit, Infrastruktur und Erfahrung gebraucht. Heute lasse sich vieles davon mit deutlich weniger Aufwand vorbereiten.

Für Pichlmayr verschiebt sich damit das Verhältnis zwischen Angreifern und Verteidigern. Nicht nur die Qualität steige, sondern auch die Menge möglicher Angriffe. KI könne Informationen über Arbeitgeber, Kollegen, Projekte und Interessen recherchieren und Angriffe darauf abstimmen: „KI automatisiert nicht nur technische Angriffe, sondern auch die Täuschung von Menschen.“

Unternehmen können nicht immer jede Kommunikation mehrfach verifizieren, ergänzt Pichlmayr. Wirtschaft funktioniere auf Basis von Vertrauen. Genau dieses Vertrauen werde angegriffen. Zeitdruck, Autorität, Hilfsbereitschaft, Routine und Stress seien klassische Hebel, mit denen Täter Menschen überlisten.

Auch das Bundeskriminalamt ordnet Identitätsmissbrauch vor allem als Teil größerer Betrugshandlungen ein: etwa bei Bestellungen unter falschem Namen, manipulierten Rechnungen oder Phishing. Fälle wie jener der falschen Praktikantin seien nicht die Masse, zeigen aber, wie breit Identität als Werkzeug für Betrug eingesetzt werden kann.

Die Täuschung im eingangs genannten Fall gelang nicht durch einen einzelnen Fehler, sondern durch eine Kette kleiner Nachlässigkeiten. So fand das erste Gespräch ohne Videoverbindung statt, weil die Kamera der Bewerberin angeblich defekt war – das Unternehmen akzeptierte das Gespräch trotzdem. Später wurden Reisepass und Zeugnisse nur in Form von Kopien geprüft, die Originale wurden nie vorgelegt. Das Profilfoto war laut Wulz mithilfe von KI so bearbeitet, dass es der real auftretenden Person ähnelt, gleichzeitig aber eine Nachverfolgung im Web unmöglich macht.

Auch für die Geschäftsführung war der Fall zunächst kaum vorstellbar. „Die Bewerbungsunterlagen wirkten professionell, die Person war freundlich und unauffällig. Genau das macht solche Fälle gefährlich. Sie nutzen Vertrauen als Eintrittskarte“, sagt der CEO des betroffenen Beratungsunternehmens, Robert K., der nur anonymisiert genannt werden möchte.

Rückblickend sei das nicht nur eine Täuschung einzelner Personen gewesen, sondern „eine Täuschung unseres gesamten Systems“. Seine Lehre daraus: „Vertrauen ist wichtig. Aber Vertrauen ohne Verifikation ist ein Risiko.“

Wenn eine Person mit falscher Identität erst einmal im Unternehmen ist, entscheidet nicht mehr nur die technische Abwehr über den Schaden. Wesentlich ist dann, welche Zugänge diese Person bekommt, wer diese Zugänge prüft und ob ungewöhnliches Verhalten auffällt.

Bei Metro Österreich beispielsweise setzt man deshalb auf restriktive Berechtigungen. Einen Fall wie jenen mit der gefälschten Praktikantin habe es dort zwar nicht gegeben, sagt Robert Spevak, Senior Department Manager für Revi­sion, Sicherheit, Arbeitsschutz und Gesundheitsmanagement. Doch das Grundrisiko kenne jedes große Handelsunternehmen: Es geht um Datenzugriffe, Lieferantendaten, manipulierte Kontoinformationen, Social Engineering und interne Kontrolllücken.

„Nicht jeder greift auf jede Datenbank zu, sondern ist in einem eingeschränkten Bereich unterwegs“, so Spevak. Wenn etwa ein Einkäufer plötzlich auf Finanzdaten zugreifen wolle, müssten intern die Alarmglocken läuten. Für Spevak ist klar: Unternehmen müssen ihre Zugriffsrechte so organisieren, dass neue Mitarbeitende,

Praktikanten oder externe Dienstleister nur das sehen, was sie für ihre konkrete Aufgabe brauchen. Spevak verweist zudem auf ein oft unterschätztes Risiko: externe Dienstleister. Reinigungskräfte oder Handwerker hätten häufig Zutritt zu Bereichen, in denen sie nicht auffallen. ­

Auch Daten des Handelsverbands, für den Spevak als Sicherheitssprecher tätig ist, zeigen die Bedeutung digitaler Betrugsformen. Laut einer Umfrage des Wirtschaftsinformationsdienstleisters CRIF waren 64 Prozent der befragten Online-und Versandhändler bereits von Betrug oder Betrugsversuchen betroffen. Häufig genannt werden verfälschte Namensund Adressdaten, Identitätsbetrug und ­gestohlene Zahlungsdaten.

Wulz erwartet, dass solche Fälle künftig zunehmen werden, allerdings nicht als reine Cyberangriffe: „Der Angriff der Zukunft wird ein Hybridmodell sein.“ Die KI konstruiert Identität, Geschichte und Glaubwürdigkeit, ein Mensch setzt den Angriffim Unternehmen um. Für Unternehmen bedeutet das: Nicht nur Systeme müssen geprüft werden, sondern auch Personen, Rollen und Zugänge.

Pichlmayr sieht dieselbe Entwicklung aus Cybersecurity-Sicht. Generative KI erleichtert Phishing, Fake-Profile, gefälschte Dokumente, Voice Cloning, Deepfakes und automatisierte Betrugskampagnen. Die gefährlichsten Angriffe sehen dann nicht mehr aus wie Angriffe, sondern wie alltägliche Routinen: eine Bewerbung, ein Anruf, eine E-Mail oder eine Freigabe.

Der Fall der falschen Praktikantin ist unterdessen noch nicht abgeschlossen. Laut Wulz sprechen Modus Operandi und E-Mail-Infrastruktur für eine Gruppe im Hintergrund. Aktuell werde vor allem überwacht, ob die entwendeten Daten im Netz auftauchen oder weiterverwendet werden. Genau darin liegt die bittere Lehre: Der Datendiebstahl ist nur der erste Schreckmoment. Der eigentliche Schaden kann erst Monate später entstehen.