Ich arbeite seit Jahrzehnten mit Unternehmenssoftware und ihrer Einführung. Programmierer bin ich aber nicht, und ich hatte auch nie vor, ein Sicherheitsprodukt zu bauen.
Angefangen hat es mit einem Video. Anfang 2025, wenige Wochen nachdem OpenAI sein Videomodell Sora für die Öffentlichkeit freigegeben hatte, sah ich Clips von Menschen, die es nie gegeben hat, und ich konnte sie nicht von echten Aufnahmen unterscheiden. Mein erster Gedanke war, dass man schon sehr bald niemandem mehr trauen kann, dem man online begegnet. Weder dem Gesicht im Videoanruf noch der Stimme am Telefon.
Dieser Gedanke wurde zum Kern von Trusted Codes. Dass aus der Idee ein Produkt wurde, lag an zwei Betrugsfällen in meinem eigenen Umfeld. Sie bewiesen, dass die Gefahr real war, und sie zeigten mir, dass sie weit über Online-Meetings hinausreichte.
Zwei Fälle, ein Muster
Der eine traf die Firma meiner Frau. Eine gefälschte geschäftliche E-Mail führte dazu, dass fast 100.000 Euro an Kriminelle überwiesen wurden. Das Geld war weg und kam nie zurück. In der Statistik heißt so etwas Business E-Mail Compromise. Für die Beteiligten ist es ein Schock, der nicht endet, wenn die Bücher geschlossen sind.
Der andere Fall war auf andere Weise schlimmer. Eine befreundete Mutter bekam einen Anruf von ihrer Tochter. Es war unverkennbar die Stimme der Tochter, die sagte, sie habe einen Unfall gehabt und brauche Geld. Die Mutter war bereit zu zahlen und zögerte nur aus einem Grund: Der Betrag war für einen Unfall ungewöhnlich hoch. Dieser kleine Zweifel rettete das Geld.
Die Tochter hatte nie angerufen. Ihre Stimme war aus Videos geklont worden, die sie auf Instagram gepostet hatte. Die Mutter war noch Tage danach erschüttert. Sie hatte ihr eigenes Kind gehört und konnte nicht glauben, dass der Anruf vollständig erfunden war.
Beide Fälle haben dieselbe Schwachstelle. Die E-Mail sah echt aus, die Stimme klang richtig, und doch bewies keines von beiden, wer auf der anderen Seite war. Keiner der beiden Fälle spielte sich außerdem in einem Videoanruf ab: Der eine kam per E-Mail, der andere per Telefon. Eine Prüfung, die nur in Online-Meetings funktioniert, hätte hier niemanden geschützt.
Vor der KI gab es dieses Problem nicht
Betrug ist alt. Neu ist der Preis. Noch vor wenigen Jahren konnte ein Krimineller nicht einfach kaufen, was nötig ist, um die Stimme eines bestimmten Menschen so gut nachzuahmen, dass dessen eigene Mutter darauf hereinfällt. Heute genügen dafür eine kurze Aufnahme und ein kommerzielles Werkzeug. Bei Videoanrufen ist es nicht anders: 2024 überwies ein Mitarbeiter des Ingenieurbüros Arup in Hongkong rund 25 Millionen US-Dollar nach einer Videokonferenz, in der jeder andere Teilnehmer, auch der Finanzvorstand, ein Deepfake war.
Dieses Problem hat also die KI geschaffen. Die naheliegende Reaktion ist, es mit noch mehr KI zu bekämpfen, etwa mit Erkennungssoftware, die einen Anruf mithört und schätzt, ob die Stimme synthetisch ist. Ich verstehe den Gedanken, vertraue ihm aber nicht. Ein Detektor liefert eine Wahrscheinlichkeit, und er tritt gegen Generatoren an, die jeden Monat besser werden. Jede Verbesserung des Detektors ist Trainingsmaterial für den nächsten Generator. Menschen sind auch nicht besser: In einer 2023 in PLOS ONE veröffentlichten Studie erkannten Zuhörer synthetische Sprache nur in 73 Prozent der Fälle, und Training half kaum.
Codewörter sind älter als Computer
Die Antwort, die ich gefunden habe, ist alt. Armeen benutzen Losungen, seit es Wachposten gibt. Am D-Day 1944 erkannten sich alliierte Fallschirmjäger in der Normandie im Dunkeln an Losung und Gegenlosung: Der eine rief "Flash" (Blitz), der andere antwortete "Thunder" (Donner). Aus demselben Grund vereinbaren viele Familien ein Codewort für den Notfall.
Ein Codewort funktioniert, weil es nicht davon abhängt, wie etwas aussieht oder klingt, sondern davon, was der andere weiß. Eine geklonte Stimme kann alles sagen, außer dem Wort, das ihr nie verraten wurde.
Das Familien-Codewort hat allerdings Schwächen. Es ändert sich nie, und sobald es jemand mitgehört hat oder es in einem Chat steht, ist es verbrannt. Niemand denkt daran, ein neues zu vereinbaren. Außerdem deckt es nur die Familie ab, nicht die Kollegin, die um eine Überweisung bittet, und nicht den Lieferanten mit neuer Bankverbindung.
Was Trusted Codes macht
Trusted Codes behält das Prinzip bei und beseitigt diese Schwächen. Zwei Menschen oder ein Team verbinden sich einmal. Danach zeigen ihre Telefone dieselben drei Wörter, und die Wörter wechseln in einem festen Abstand. Wenn ein Anruf, eine Nachricht oder eine E-Mail etwas Ungewöhnliches verlangt, fragst du: "Wie lautet unser Code?" Stimmen die Wörter überein, ist es der Mensch, mit dem du verbunden bist. Stimmen sie nicht, legst du auf.
Entscheidend ist, wie die Wörter entstehen. In diesem Schritt steckt keine KI. Ein gemeinsames Geheimnis und die aktuelle Uhrzeit gehen in einen standardisierten, öffentlich dokumentierten Algorithmus (TOTP, derselbe, den Authenticator-Apps verwenden), und heraus kommen drei Wörter. Das Ergebnis ist deterministisch: Dasselbe Geheimnis und dieselbe Uhrzeit ergeben auf jedem Gerät immer dieselben Wörter. Nichts wird geschätzt, nichts ist wahrscheinlich oder unwahrscheinlich. Die Wörter stimmen überein oder eben nicht.
Das ist Absicht. Eine Prüfung gegen KI-Betrug sollte nicht von einem Modell abhängen, das der Angreifer studieren, nachahmen oder mit eigenem Training übertreffen kann. Sie sollte von einem Geheimnis abhängen, das der Angreifer nicht hat.
Mit KI gebaut, von jemandem, der keinen Code schreibt
Jetzt kommt der Teil, der wie ein Widerspruch klingen mag: Ich habe Trusted Codes mit KI gebaut.
Als ich beschloss, etwas gegen diese Betrugsmaschen zu unternehmen, hätte ich ein Konzept schreiben und ein Entwicklungsteam suchen können. Stattdessen habe ich gelernt, mit einem KI-Coding-Agenten zu arbeiten, Claude Code, und ich setze ihn in jeder Phase des Produkts ein, nicht nur beim Schreiben von Code.
Wir beginnen mit der Strategie: Welche Betrugsmaschen lassen sich mit welcher Art von Prüfung stoppen, und wie muss eine Lösung dafür aussehen? Dann kommt das Design, also was ein Nutzer sieht, wie eine Einladung funktioniert und was passiert, wenn ein Telefon verloren geht. Danach folgen Umsetzung, Tests, Prüfung und Dokumentation. Ein großer Teil der Arbeit besteht darin, das eigene Produkt anzugreifen. Ich lasse die KI in den Code einbrechen, den sie selbst geschrieben hat, damit sie die Schwachstelle findet, bevor ein Krimineller es tut, und ich lasse sie jede Sicherheitsaussage am Code belegen, bevor wir sie öffentlich machen.
Herausgekommen ist vollständige Unternehmenssoftware: mobile Apps, eine Desktop-App, ein Server, Portale für Unternehmen und Administratoren. Jede Zeile davon hat eine KI geschrieben. Jede Entscheidung darüber, was die Software tun muss und was sie niemals tun darf, hat ein Mensch getroffen, der weiß, wie Unternehmenssoftware gekauft, eingeführt und betrieben wird, und der gesehen hatte, was diese Maschen mit Menschen machen.
Einen Widerspruch sehe ich darin nicht. KI ist ein Werkzeug. Kriminelle fälschen damit Stimmen, und ich baue damit etwas, das gefälschte Stimmen nutzlos macht. Der Unterschied liegt darin, wo sie sitzt: Die KI hat die Software geschrieben, aber im entscheidenden Moment, wenn du wissen musst, ob der Mensch am Telefon echt ist, ist keine KI beteiligt. (Die App hat zwar einen Assistenten, der dir hilft, dich zurechtzufinden. An der Prüfung ist er nicht beteiligt.)
Was das für dich bedeutet
Um anzufangen, brauchst du Trusted Codes nicht. Vereinbare noch heute mit deiner Familie ein Codewort. Sag deinen Eltern, dass ein Anruf mit deiner Stimme, in dem du um Geld bittest, kein Beweis dafür ist, dass du es bist.
Wenn du ein Unternehmen führst, sieh dir an, wie eine Zahlungsanforderung bestätigt wird. Lautet die Antwort "Die E-Mail kam von der richtigen Adresse" oder "Die Stimme klang wie die des Chefs", dann ist das dieselbe Schwachstelle, die die Firma meiner Frau fast 100.000 Euro gekostet hat. Trusted Codes macht das Codewort für Unternehmen brauchbar: Es wechselt von selbst, es funktioniert am Telefon, in Videoanrufen und im Chat, und in den Business-Tarifen sehen Administratoren, wer wen wann verifiziert hat.
Quellen
- Deepfake-Videokonferenz bei Arup, Hongkong, 2024: AI Incident Database, incident 634
- Mai, K. T. et al., "Warning: Humans cannot reliably detect speech deepfakes", PLOS ONE, 2. August 2023: journals.plos.org
- TOTP: RFC 6238