Deepfake-Betrug im Bewerbungsgespräch: Checkliste zur Verifikation

Ein Bildfehler ist ein Prüfhinweis, kein Deepfake-Beweis

Schwache Bandbreite, virtuelle Hintergründe, Rauschunterdrückung, Belichtung und Bedienungshilfen können Gesicht oder Stimme ungewöhnlich wirken lassen. Eine eingefrorene Mundpartie, verzögerter Ton oder glatte Haut reicht nicht aus, um eine bewerbende oder rekrutierende Person eines Deepfakes zu beschuldigen.

Das FBI warnt vor gestohlenen Identitätsdaten, Stimmenspoofing und Deepfakes bei Bewerbungen auf Remote-Stellen — auch bei Rollen mit Zugriff auf Kunden-, Finanz-, IT- oder Unternehmensdaten. Die passende Antwort ist ein wiederholbarer Identitäts- und Zugriffsprozess, nicht das Erraten technischer Artefakte.

Die Person außerhalb des Interviewkanals verifizieren

Eine Bewerbungsadresse, ein Plattformkonto oder ein Lebenslauf ist noch kein unabhängiger Identitätsnachweis. Unternehmen sollten ein freigegebenes Verfahren nutzen, das Nachweise anhand maßgeblicher oder glaubwürdiger Quellen prüft und der vorlegenden Person zuordnet. Bewerbende sollten Stelle und Recruiter über die offizielle Unternehmenswebsite und selbst ermittelte Kontaktdaten bestätigen.

NIST unterscheidet die eindeutige Zuordnung einer Identität, die Validierung von Nachweisen und Angaben sowie die Prüfung, ob diese zur antragstellenden Person gehören. Das sind Leitlinien für digitale Identität, keine Zertifizierung einer Personalprüfung. Ein Livebild allein reicht nicht; Kontrollen müssen verhältnismäßig sein und eine menschliche Prüfung sowie eine rechtmäßige, zugängliche Alternative ermöglichen.

• Rolle und Gesprächspartner über einen bekannten Unternehmensweg bestätigen
• Identitätsnachweise validieren statt ein Foto ungeprüft zu übernehmen
• Prüfen, ob die vorlegende Person rechtmäßige Inhaberin des Nachweises ist
• Ausnahmen dokumentieren und eine menschliche Prüfung anbieten

Checkliste für Arbeitgeber vor und während des Gesprächs

Versenden Sie die Einladung aus einem kontrollierten System und halten Sie Rolle, erwartete Teilnehmende und bestätigte Kontaktdaten im Vorgang fest. Stellen Sie strukturierte, berufsbezogene Fragen mit Rückfragen, die sich aus der Antwort ergeben. Verlangen Sie nicht improvisiert, dass jemand das Gesicht berührt oder den Kopf in bestimmter Weise bewegt.

Bleibt die Identität unklar, pausieren Sie und wechseln Sie in den genehmigten Identitätsprüfungsprozess. Eine Lebenderkennung kann ein Signal beitragen, aber eine Bewegung kann weitergegeben werden und echte Personen können wegen Behinderung, Gerät oder Verbindung scheitern. Sie darf nicht allein über Beschäftigung entscheiden.

• Unternehmenskonto für Einladung und Teilnehmerliste nutzen
• Einheitliche fachliche Fragen mit natürlichen Rückfragen stellen
• Nur notwendige Identitätsdaten erheben
• Unsicherheit eskalieren, ohne ein technisches Urteil zu verkünden
• Menschliche Prüfung und alternative Verifikation vorsehen

Checkliste für Bewerbende bei verdächtigen Recruitern

Ein professioneller Videoanruf beweist weder die Stelle noch die Identität des Recruiters. Prüfen Sie die Ausschreibung auf der offiziellen Website, die Absenderdomain und einen unabhängig gefundenen Unternehmenskontakt. Vorsicht ist geboten, wenn das Verfahren sofort in einen privaten Messenger wechselt oder ohne ernsthafte Prüfung eine Zusage verspricht.

Seriöse Arbeitgeber verlangen keine Zahlung für Geräte, Schulungen, Hintergrundprüfungen oder die Freigabe des Gehalts über Gutscheine, Kryptowährung oder ein Privatkonto. Installieren Sie keine Fernwartungssoftware und teilen Sie keine Einmalcodes oder Bankzugänge aufgrund eines Videoanrufs.

Medienerkennung als ein Signal einsetzen

Wenn Richtlinie und Recht die Analyse erlauben, sichern Sie die früheste verfügbare Aufnahme und dokumentieren Sie ihre Herkunft. Betrachten Sie Video-, Gesichts- und Stimmsignale getrennt. Kompression, Bildschirmaufzeichnung, Übersetzung oder schlechter Ton können die Aussagekraft mindern. Ein hoher Wert stützt weitere Prüfung; ein niedriger Wert bestätigt keine Identität.

Halten Sie Quellenprüfung und Prozessabweichungen neben dem Modellergebnis sichtbar. Eine echte Aufnahme kann von einem Betrüger abgespielt werden, ein kompromittiertes Firmenkonto kann ein echtes Foto zeigen. Entscheidend ist, ob Identität, Organisation und verlangte Handlung unabhängig bestätigt wurden.

Einstellung, Systemzugriff und Zahlung trennen

Das Gespräch selbst darf keinen Zugriff auf Quellcode, Kundendaten, Lohnabrechnung oder Zahlungssysteme autorisieren. Schließen Sie Identitätsprüfung, Referenzen und Vertragsprozess ab, bevor Konten ausgegeben werden. Nutzen Sie minimale Rechte, Mehrfaktor-Authentisierung und stufenweisen Zugriff.

Bankdaten und Lieferadressen für Geräte gehören in den genehmigten Onboarding-Prozess. Eine späte Bitte um Umleitung eines Laptops, Änderung eines Gehaltskontos oder Umgehung der Geräteverwaltung ist ein neues Risikoereignis und muss separat geprüft werden.

Beweise schützen und den Vorfall melden

Dokumentieren Sie behauptete Identität, Konto, Kontaktdaten, Gesprächszeit, gewünschte Handlung und abgeschlossene Prüfungen. Bewahren Sie nur rechtlich und organisatorisch zulässige Daten auf, beschränken Sie den Zugriff und legen Sie eine Löschfrist fest. Biometrisches Material gehört nicht in informelle Gruppen-Chats.

Bei Betrugsverdacht sichern Sie Originale, informieren Plattform sowie Sicherheits- oder Betrugsteam und nutzen den zuständigen nationalen Meldeweg. Beschreiben Sie Beobachtungen und fehlgeschlagene Verifikationen, statt ein automatisiertes Ergebnis als endgültige Anschuldigung zu präsentieren.