Cyberkriminelle nutzen neue Technologien wie Kรผnstliche Intelligenz (KI), was die klassischen Sicherheitsmechanismen รผberfordert. Ein Beispiel sind Deepfakes: Wรคhrend diese frรผher mit professioneller Software und nur von Personen mit einem spezialisierten Fachwissen erstellt werden konnten, benรถtigen Betrรผger heute nur wenige Minuten und ein Basis-Know-how im Umgang mit KI.
So kรถnnen Stimmen tรคuschend echt reproduziert werden. Dazu reicht bereits die Aufzeichnung eines Vortrags oder einer Podiumsdiskussion. Betrรผger kรถnnen die Stimme einer Person aus dem Top-Management nutzen, um Mitarbeitende per Telefonat zu beeinflussen und beispielsweise an geheime Daten zu gelangen (Social Engineering). Auf Kundenseite nutzen Betrรผger Deepfakes bei dem sogenannten biometrischen Spoofing dazu, Identitรคtsprรผfungen zu bestehen und so Zugang zu privaten Konten zu erhalten.
Die gute Nachricht: Auch Banken kรถnnen ihren Werkzeugkasten ausbauen und den Betrรผgern mit effektiven Gegenmaรnahmen die Stirn bieten.
Hybride Detektionssysteme vereinen KI mit klassischen Systemen
Klassische Detektionssysteme funktionieren nach festgelegten Regeln, die von Fraud-Experten bestimmt werden und bei verdรคchtigen Verhaltensmustern Alarm schlagen. Dabei nutzen sie Informationen wie Zugriffe von neuen Gerรคten, IP-Adressen aus neuen Orten, Zahlungen an neue Empfรคnger und รคhnliche Indikatoren. Der Haken dieser Systeme: Wenn Betrรผger ihre Methode verรคndern, mรผssen die Experten zunรคchst herausfinden, durch welche Muster sich die neue Methode verrรคt und im Anschluss neue Regeln aufsetzen.
Der Einsatz von KI kann diese Systeme deutlich verlรคsslicher machen. Zum einen kรถnnen Verhaltensmuster schneller analysiert werden, wodurch Lรผcken im System schneller geschlossen werden. Zum anderen ist KI in der Lage, komplexere Zusammenhรคnge zu erkennen, die menschliche Experten nie oder erst nach langer Zeit durchschauen wรผrden.
Collective Intelligence: Den Kampf gegen Fraud muss nicht jedes Institut fรผr sich fรผhren
Im Kampf gegen Cyber Fraud kann die Zusammenarbeit verschiedener Institute viel bewirken. Collective Intelligence beschreibt den Ansatz, in branchenรผbergreifenden Netzwerken Daten zu teilen, um gemeinsam die Betrugsprรคvention zu verbessern.
Die entsprechende Infrastruktur fรผr den gemeinsamen Datenaustausch wird durch die PSD3-Verordnung zukรผnftig Pflicht. Bereits heute gibt es jedoch gute Lรถsungen, welche die Daten vieler Banken verbinden, um ein besseres Bild auf die Betrรผger und ihre Methoden zu bekommen. Eine solche Initative ist der FPAD-Service (โFraud Pattern and Anomaly Detectionโ) der EBA CLEARING, der aus den Transaktionsdaten der Teilnehmer Risikoindikatoren und -scores entwickelt und an diese zurรผckgibt.
Session-based approach: Echtzeitbetrug muss in Echtzeit unterbunden werden
Der Session-based approach ist ein Ansatz zur Betrugsprรคvention im Online-Banking der Kunden. Dabei legen Banken nutzerspezifische Verhaltensprofile an, mit denen das รผbliche Verhalten der Kunden dokumentiert wird. Wie schnell tippt der Kunde? Wie korrigiert er fehlerhafte Eingaben? Wie navigiert er durch die Nutzeroberflรคche und wie bewegt er seine Maus dabei? In welchem Winkel hรคlt er sein Smartphone? Abweichungen von den รผblichen Verhaltensmustern kรถnnen Alarm auslรถsen.
Ein Machine-Learning Score entscheidet, ab welchem Punkt eine kritische Masse an Abweichungen vom Normverhalten erreicht ist. Wird Betrug vermutet, reagiert die KI automatisiert โ im Zeitalter von Instant Payments ist eine manuelle Freigabe ausgeschlossen. Doch welche Optionen stehen einem automatisierten System offen? Ein Beispiel:
- In der ersten Stufe (โSoft Interventionโ) wird der Vorgang genauer geprรผft. Eine in Auftrag gegebene Transaktion wird pausiert, beispielsweise durch dynamische Step-up-Authentifizierungen oder die Anforderung einer Push-Bestรคtigung. In der Zwischenzeit wird die Risikobewertung angereichert.
- Gelangt das System zu dem Schluss, dass eine Account-รbernahme vorliegt, folgt die zweite Stufe (โHard Interventionโ). Kritische Funktionen werden sofort eingefroren: die Session wird gesperrt, Auszahlungen blockiert und sensible Stammdaten geschรผtzt. In diesem Zustand kann beispielsweise die hinterlegte Mobilfunknummer nicht geรคndert werden.
- Die Wiederherstellung der Kontrolle durch den eigentlichen Besitzer des Kontos erfolgt รผber einen zweiten, nicht kompromittierten Kanal oder รผber einen persรถnlichen Besuch des Besitzers in einer Filiale.
KI-Systeme sind noch unzureichend im Einsatz
Die vorgestellten Technologien sind keine Zukunftsmusik. Die ersten Institute nutzen sie bereits oder erproben sie zumindest. Die PPI-Studie zeigt jedoch: Nur 10 Prozent der Banken setzen schon KI-gestรผtzte Anomalie-Erkennungssysteme ein. Hier besteht branchenweit noch Nachholbedarf.
Doch auch in anderen Kategorien tun sich noch Lรผcken auf: Ein Viertel der Banken hat keine internen Meldeprozesse fรผr verdรคchtige Aktivitรคten implementiert, nur circa die Hรคlfte analysiert das Nutzerverhalten bei Echtzeittransaktionen und gerade mal ein Drittel der Institute schult ihre Mitarbeitenden mit Fokus auf Social Engineering und Fraud-Erkennung.
Diese Lรผcken zu schlieรen ist zentral im Kampf der Branche gegen Cyber Fraud. Die gute Nachricht: Im Vergleich zur Vorgรคngerstudie scheint die Awareness in der Branche gestiegen zu sein. Von einer weiterhin positiven Entwicklung ist auszugehen.
Fรผr die PPI-Studie wurden im Juni und Juli 2025 103 Entscheider aus Banken und Versicherungen unter anderem zu den Themenย Cyberrisk, IT-Governanceย & IT-Strategie, Fraud, Business Continuity und Third Party Risk befragt. Interessierte Finanzinstitute kรถnnen sich die vollstรคndige Studie kostenlos unter Angabe ihrer Kontaktdaten auf derย Webseite der PPI AGย herunterladen.ย
Marc-Nicolas Glรถckner istย seit รผber 10 Jahren bei der PPI AG tรคtig und leitet die Business Unit mit Fokus auf Fraudย Detection. Er bringt umfangreiche Erfahrungen aus Projekten bei Banken mit. Zuletzt war er an einem wichtigen europaweiten Fraud-Projekt beteiligt und hat als Experte bereits zahlreiche Vortrรคge zu Fraud gehalten (z. B. FRAUDMANAGEMENTforBANKSย 2023 und 2024).ย