Glossareintrag
Wir denken. KI tippt mit.
Ein Deepfake ist ein Bild, ein Video oder eine Tonaufnahme, die mit künstlicher Intelligenz so erzeugt oder verändert wurde, dass eine reale Person darin etwas sagt oder tut, was nie stattgefunden hat. Der Name ist ein Kofferwort aus Deep Learning und Fake und geht auf einen Reddit-Nutzer zurück, der Ende 2017 unter dem Pseudonym „deepfakes“ manipulierte Videos veröffentlichte. Die häufigsten Spielarten heißen Face Swap (getauschtes Gesicht), Face Reenactment (ferngesteuerte Mimik) und Voice Cloning oder Stimmklon (nachgebaute Stimme).
Für Deepfake bei KI-Systemen gilt in Europa seit 2024 eine gesetzliche Definition, und zwar in der KI-Verordnung. Artikel 3 Nummer 60 der KI-Verordnung nennt so einen „durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde“. Nicht die Technik entscheidet also, sondern die Täuschungseignung.
Damit ist nicht jedes KI-Bild ein Deepfake. Ein Comic, ein offensichtlich unmögliches Motiv oder eine Grafik ohne erkennbare Person fällt nicht darunter. Eine fotorealistische, frei erfundene Person dagegen schon, denn die Definition verlangt nur Ähnlichkeit mit wirklichen Personen und keine bestimmte. Die Wettbewerbszentrale rechnet in ihrem Leitfaden zur Kennzeichnung KI-generierter Werbung vom Februar 2026 deshalb auch AI Models, also komplett am Rechner entstandene Werbegesichter, zu den kennzeichnungspflichtigen Deepfakes.
Etwas anderes ist ein Cheapfake, teils auch Shallowfake genannt. Dabei arbeitet niemand mit KI, sondern ein echtes Video wird verlangsamt, beschnitten, neu vertont oder falsch untertitelt. Die Wirkung auf den Zuschauer ist oft dieselbe, die rechtliche Bewertung eine andere.
Die erste Deepfake-Welle ab 2017 arbeitete mit Autoencodern. Zwei neuronale Netze lernen je ein Gesicht. Beim Zusammensetzen tauschen sie ihre Decoder, und so wandert das Gesicht der Zielperson auf die Bewegungen eines Darstellers. Später kamen GANs (Generative Adversarial Networks) dazu, bei denen ein erzeugendes und ein prüfendes Netz gegeneinander trainieren. Seit 2023 und 2024 führen Diffusionsmodelle das Feld an, heute meist als Diffusion Transformer gebaut. Dieser Generationswechsel erklärt einen großen Teil der heutigen Erkennungsprobleme, weil vorhandene Detektoren weiter nach den Spuren der GAN-Generation suchten.
Typische Verfahren:
Das BSI in seiner Übersicht zu Deepfakes und Gegenmaßnahmen nennt als benötigtes Ausgangsmaterial wenige Videominuten in hoher Qualität und für überzeugende Stimmen mehrere Stunden Audio. Mit großen Datenbanken anderer Sprecher schrumpft der Bedarf an Material der Zielperson laut BSI auf wenige Minuten. Die Anbieter der Werkzeuge nennen noch niedrigere Werte. ElevenLabs empfiehlt für seinen schnellen Stimmklon ein bis zwei Minuten störungsfreies Audio und schreibt in der Dokumentation zum Instant Voice Cloning, dass Nutzer bereits mit Proben von 30 Sekunden ausgezeichnete Ergebnisse erzielen. Microsoft Research zeigte mit VALL-E, einem Sprachmodell für Sprachsynthese, dass sogar drei Sekunden Aufnahme einer fremden Stimme als Vorlage genügen.
Das ebenfalls von Microsoft Research vorgestellte Verfahren VASA-1 erzeugt aus einem einzigen Porträtfoto und einem Audioclip ein sprechendes Video in Echtzeit. Wer Fotos auf der Firmenwebsite und Sprachnachrichten in Messengern hat, liefert damit genug Material für eine brauchbare Fälschung.
Deepfakes erkennen funktioniert deutlich schlechter, als die verbreiteten Checklisten vermuten lassen. Ein Forschungsteam um TrueMedia.org, die University of Washington und das Allen Institute for AI hat für Deepfake-Eval-2024 echte, im Netz kursierende Fälschungen gesammelt. Zusammen kamen rund 45 Stunden Video und 56,5 Stunden Audio von 88 Websites in 52 Sprachen, auf die das Team dann die gängigen Detektoren losließ. Gegenüber den üblichen Laborbenchmarks brach deren Leistung um 45 bis 50 Prozent ein. Frei verfügbare Video-Detektoren landeten bei einem AUC-Wert von höchstens 0,63, bei Bildern zwischen 0,52 und 0,56, wobei 0,5 dem Münzwurf entspricht. Die besten kommerziellen Werkzeuge kamen bei Video auf 78 Prozent Trefferquote, bei Audio auf 89 Prozent. Die Arbeit erschien 2026 auf einem Workshop der Fachkonferenz CVPR.
Menschen schneiden nicht besser ab. In einer Studie mit 529 Teilnehmenden zur Erkennung von Sprach-Deepfakes lag die Trefferquote bei 73 Prozent, in Englisch wie in Mandarin, und ein vorheriges Training mit Beispielen verbesserte das Ergebnis nur geringfügig. Die klassischen Merkmale taugen kaum noch. Der Rat, auf fehlendes Blinzeln zu achten, geht auf eine Arbeit von 2018 zurück, und schon die nächste Modellgeneration hatte diesen Fehler nicht mehr. Verwaschene Gesichtsränder, metallischer Klang und monotone Betonung verraten heute nur noch einfache Fälschungen. Ein Erkennungswerkzeug liefert damit ein Indiz, mehr nicht.
Deshalb verschiebt sich die Antwort von der Fälschungssuche zum Echtheitsnachweis. Die Industrie-Initiative C2PA hängt Aufnahmen ein kryptografisch signiertes Protokoll an, das Herkunft, Bearbeitungsschritte und KI-Einsatz festhält, sichtbar für den Betrachter als Content Credentials. Der C2PA-Explainer zur Spezifikation 2.4 benennt die Grenzen selbst und hält fest, dass Herkunftsangaben allein nichts darüber sagen, ob ein Inhalt wahr, zutreffend oder sachlich richtig ist. Ein Screenshot erzeugt außerdem eine neue Datei ohne dieses Protokoll, und viele Plattformen rechnen Bilder beim Hochladen neu durch. Ergänzend arbeiten Anbieter mit unsichtbaren KI-Wasserzeichen wie Googles SynthID, das direkt in den Pixeln oder im Tonsignal steckt. Deren Detektor liest allerdings nur die eigene Markierung. Fehlt sie, ist damit nichts bewiesen.
Die großen Anbieter solcher Werkzeuge arbeiten dafür mit nachgewiesener Einwilligung. HeyGen verlangt für einen digitalen Zwilling laut Dokumentation zum Avatar-Consent ein per Webcam aufgenommenes Einverständnis, in dem dieselbe Person mit klar sichtbarem Gesicht einen vorgegebenen Satz spricht. ElevenLabs lässt für den professionellen Stimmklon vorgegebene Sätze mit derselben Aufnahmetechnik nachsprechen und vergleicht sie mit dem Trainingsmaterial. Synthesia gleicht Gesichtsgeometrie und Stimmeigenschaften zwischen Einwilligungsvideo und Trainingsaufnahme ab und stützt das auf die ausdrückliche Einwilligung für biometrische Daten.
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung, und Absatz 4 verpflichtet den Betreiber eines KI-Systems, das ein Deepfake erzeugt oder manipuliert, offenzulegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Betreiber ist jeder, der ein solches Werkzeug beruflich einsetzt, vom Konzern bis zum Soloselbstständigen. Eine Ausnahme gibt es nur für gesetzlich zugelassene Strafverfolgung. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken schrumpft die Pflicht auf einen Hinweis, der das Werk nicht stört, sie entfällt aber nicht. Welche Stufe des Gesetzes wann greift, steht im Artikel EU AI Act 2026: Alle Regeln, Fristen und Strafen erklärt.
Für die Anbieter der Werkzeuge gilt daneben Absatz 2, der eine maschinenlesbare Markierung der Ausgaben verlangt. Hier hat die im Juli 2026 beschlossene Digital-Omnibus-Verordnung (EU) 2026/1744 eine Übergangsfrist eingeführt. Systeme, die vor dem 2. August 2026 auf dem Markt waren, müssen die Markierung erst zum 2. Dezember 2026 nachliefern. Die Offenlegungspflicht des Betreibers blieb davon unberührt. Verstöße gegen Artikel 50 kosten laut Artikel 99 bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Im deutschen Strafrecht gibt es dagegen bis heute keinen eigenen Deepfake-Paragrafen. Der Sachstand der Wissenschaftlichen Dienste des Bundestags zu den straf- und zivilrechtlichen Folgen von Deepfakes ordnet die Fälle den allgemeinen Normen zu. In Betracht kommen Beleidigung, üble Nachrede und Verleumdung nach den §§ 185 bis 187. Zusätzlich kommen der Bildnisschutz aus § 201a Abs. 2 und § 33 des Kunsturhebergesetzes hinzu. Wer mit einem Stimmklon Geld erschleicht, begeht daneben Betrug nach § 263. Die Strafbarkeit beginnt regelmäßig erst beim Zugänglichmachen, nicht schon beim Herstellen. Zwei Gesetzentwürfe für einen neuen § 201b liegen vor: eine Initiative des Bundesrats und ein Referentenentwurf des Bundesjustizministeriums vom April 2026 zum Schutz vor digitaler Gewalt. Keiner davon ist beschlossen (Stand: 11. September 2026).
Das Oberlandesgericht Frankfurt am Main entschied am 4. März 2025 im Verfahren 16 W 10/25, dass eine Plattform nach einem Hinweis auf ein rechtsverletzendes Deepfake-Werbevideo auch sinngleiche Fälschungen von sich aus suchen und löschen muss. Eckart von Hirschhausen hatte gegen Meta geklagt, nachdem gefälschte Videos ihn für Abnehmprodukte hatten werben lassen. Das Landgericht Berlin II sprach am 20. August 2025 im Verfahren 2 O 202/24 einem Synchronsprecher 4.000 EUR zu, dessen Stimme ein YouTuber per KI nachgebaut hatte. Eine KI-erzeugte Stimme ist demnach rechtlich nicht anders zu behandeln als die Nachahmung durch einen menschlichen Stimmenimitator.
Für einen Betrieb hat das Thema zwei Seiten. Sie können selbst zum Ersteller werden, sobald Sie KI-Werbung mit Menschen produzieren, und Sie können zum Ziel werden, wenn jemand Ihre Stimme oder die Ihres Chefs nachbaut. Die erste Seite ist seit August 2026 eine Pflichtenfrage, die zweite eine Frage Ihrer Abläufe.
Fangen wir bei der eigenen Werbung an. Ein Malermeister, der für die Website fotorealistisch wirkende Kunden aus dem Bildgenerator holt, erzeugt kennzeichnungspflichtige Inhalte. Comicfiguren, Illustrationen und einfache Bildfilter bleiben draußen. Dieselbe Abgrenzung macht die Deutsche Handwerks Zeitung zu den neuen KI-Transparenzpflichten im Handwerk, für die ein Berater der Handwerkskammer Region Stuttgart die Fälle durchgegangen ist. Eine Größengrenze gibt es nicht. Die Ausnahme gilt nur für die rein private Nutzung, und die hört beim Firmenprofil auf.
Die Form der Kennzeichnung schreibt das Gesetz nicht vor, es verlangt nur eine klare und eindeutige Offenlegung, und zwar spätestens dann, wenn der Betrachter den Inhalt sieht. Bei Zielgruppen, die Social-Media-Formate gewohnt sind, kann laut Wettbewerbszentrale ein Hinweis wie #KIgeneriert genügen. Bei weniger technikaffinen Adressaten hält sie eine auffälligere Kennzeichnung für nötig, und sie rät zu einer deutschsprachigen Fassung, wenn Sie deutsche Kunden ansprechen. Ein Vermerk im Impressum oder in den AGB reicht nicht. Bei einem Video gehört der Hinweis an den Anfang.
Heikler wird es, sobald eine echte Person ins Spiel kommt. Ein Avatar Ihres Monteurs oder ein KI-Video, in dem eine Kundin Ihre Badsanierung lobt, benötigt zusätzlich deren Einwilligung nach § 22 des Kunsturhebergesetzes und nach Datenschutzrecht. Die Kennzeichnung ersetzt diese Einwilligung nicht, und die Einwilligung ersetzt nicht die Kennzeichnung. Holen Sie sie schriftlich und getrennt vom Arbeitsvertrag ein, mit Zweck, Medium und Dauer, denn im Streitfall muss Ihr Betrieb beweisen, dass sie vorlag. Die geklonte Stimme zählt mit, seit das Landgericht Berlin II das Recht an der eigenen Stimme auf KI-Nachbauten erstreckt hat.
Die Angriffsseite trifft Unternehmen längst. Im Wirtschaftsschutz-Bericht von Bitkom und Verfassungsschutz vom August 2026 nennen 8 Prozent der befragten Unternehmen Deepfakes als erlebte Angriffsmethode, doppelt so viele wie im Jahr davor. Befragt wurden 1.003 Unternehmen ab zehn Beschäftigten und einer Million Euro Jahresumsatz. Das Muster beginnt harmlos. Erst kommt eine Nachricht des Chefs von einer unbekannten Nummer über WhatsApp, dann der Anruf mit seiner Stimme, dann die eilige Überweisung, die niemand sonst wissen darf. So lief auch der Versuch bei Ferrari im Juli 2024, bei dem sich Angreifer als Vorstandschef Benedetto Vigna ausgaben. Die angerufene Führungskraft fragte nach dem Titel eines Buches, das Vigna ihr Tage zuvor empfohlen hatte, und der Anrufer legte auf. Die Aufarbeitung des Ferrari-Falls in der MIT Sloan Management Review beschreibt den Ablauf im Detail.
Daraus ergeben sich Regeln, die in jedes Unternehmen passen und nichts kosten:
Rechnen Sie außerdem damit, dass Ihre Kunden betroffen sind. Eine Frau aus Mittelsachsen überwies nach einem gefälschten Ausschnitt der ZDF-Sendung „Markus Lanz“ über eine Million Euro an eine angebliche Anlageplattform. Die Anzeige ging Anfang Juli 2026 bei der Kriminalpolizei Chemnitz ein. Die Verbraucherzentrale sammelt solche Maschen in ihrer Übersicht zu Deepfakes mit Prominenten in Fake-Werbung und warnt ausdrücklich davor, sich auf unnatürliche Mimik oder Stimmklang als Erkennungsmerkmal zu verlassen. Die verlässlicheren Zeichen sind das fehlende Impressum, die frisch registrierte Domain und die Zahlungsaufforderung außerhalb üblicher Wege.
Wird Ihr Gesicht oder Ihre Stimme selbst gefälscht, sichern Sie zuerst Beweise mit Screenshot, Adresse und Zeitpunkt. Danach melden Sie den Inhalt bei der Plattform, die nach dem Digital Services Act ein Meldeverfahren vorhalten muss. Passiert nichts, ist die Bundesnetzagentur als deutsche Plattformaufsicht die nächste Stelle. Parallel laufen Unterlassungs- und Schadensersatzansprüche sowie eine Strafanzeige. Auf die Entscheidung des Oberlandesgerichts Frankfurt können Sie sich berufen, wonach die Plattform nach Ihrem Hinweis auch sinngleiche Kopien selbst aufspüren muss. Der Bundesgerichtshof hat darüber allerdings noch nicht entschieden.
Beim Versicherungsschutz lohnt ein Blick in den eigenen Vertrag, bevor der Fall eintritt. Fachleute weisen darauf hin, dass eine Cyberpolice bei einer per Stimmklon erschlichenen Überweisung oft nicht greift, weil kein Angriff auf die Netzwerksicherheit vorliegt und der Mitarbeiter die Zahlung selbst auslöst. Für diesen Schaden springt je nach Vertrag die Vertrauensschadenversicherung ein, und Social-Engineering-Bausteine in Cyberpolicen haben häufig ein niedriges Sublimit. Prüfen Sie, welcher der beiden Verträge bei Ihnen zahlt und mit welcher Summe.
Für Deepfake-Angriffe speziell auf Handwerksbetriebe im Kundengeschäft, z. B. gefälschte Videobewertungen, gibt es bisher keine belegten Fälle. Die einfachere Vorstufe läuft dagegen längst. Betrüger kopieren Handwerker-Websites unter ähnlicher Domain und geben sich Kunden gegenüber als beauftragtes Subunternehmen aus, was die betroffenen Betriebe meist erst über Kundenbeschwerden erfahren. Für gefälschte Bewerbungsgespräche per Video gibt es Fälle. Sie stammen bisher aus dem Umfeld von Remote-Stellen in der IT.
