Man kann Banken vieles vorwerfen. Zu viele Formulare. Zu wenig Zinsen. Warteschleifen mit Musik, die vermutlich selbst nach Basel III verboten gehört.
Aber dass einmal 95 Millionen Euro per WhatsApp, Telefon und geklonter Anwaltsstimme auf Weltreise gehen, ist selbst für die Finanzbranche eine neue Qualität.
Genau das soll bei der italienischen Privatbank Fideuram passiert sein, der Private-Banking-Tochter von Intesa Sanpaolo. Der Fall spielte sich bereits im Februar 2026 ab und wurde nun durch Berichte über die Ermittlungen öffentlich. Nach Angaben von Reuters und italienischen Medien wurden insgesamt rund 95 Millionen Euro überwiesen. Ein erheblicher Teil konnte später eingefroren oder zurückgeholt werden. Rund 36 Millionen Euro gelten weiterhin als verschwunden.
Erst WhatsApp, dann der „Anwalt“
Die Masche war offenbar erstaunlich simpel und gleichzeitig technisch ziemlich ausgefeilt.
Der damalige Fideuram-Chef Paolo Molesini soll zunächst eine WhatsApp-Nachricht erhalten haben, die so wirkte, als stamme sie von Intesa-Sanpaolo-Chef Carlo Messina. Darin ging es angeblich um eine dringende Auslandstransaktion.
Das allein hätte vielleicht noch nicht gereicht.
Also kam die zweite Stufe.
Molesini erhielt einen Anruf, bei dem die Stimme eines ihm bekannten hochrangigen Anwalts nachgeahmt worden sein soll. Laut den Recherchen wurde dafür künstliche Intelligenz eingesetzt. Der echte Anwalt hatte mit dem Vorgang nichts zu tun.
Kurz gesagt:
WhatsApp sagt: „Der Chef will das.“
Dann ruft der vermeintliche Anwalt an und sagt sinngemäß: „Ja, alles korrekt.“
Und plötzlich sehen selbst 95 Millionen Euro aus wie eine ganz normale Überweisung vor der Mittagspause.
95 Millionen Euro raus – 36 Millionen bis heute weg
Die Zahlungen sollen überwiegend auf Konten in China und Hongkong gegangen sein.
Nach Bekanntwerden des Betrugs liefen internationale Rückholaktionen an. Ein großer Teil der Summe konnte eingefroren oder gesichert werden. Reuters berichtet von rund 53 Millionen Euro, die zurückgeholt wurden; andere Berichte sprechen von zusätzlichen Sicherstellungen in China und Portugal. Rund 36 Millionen Euro wurden demnach in Kryptowährungen umgewandelt und konnten bislang nicht wiedergefunden werden.
Und spätestens an dieser Stelle merkt man:
Der gute alte Überweisungsbetrug hat ein Softwareupdate bekommen.
Früher schrieb der angebliche Chef:
„Bitte dringend 50.000 Euro überweisen.“
Heute gibt es noch die Stimme des bekannten Rechtsanwalts dazu.
Sehr kundenorientiert.
Nur leider für die falschen Kunden.
Die entscheidende Neuerung ist nicht WhatsApp
CEO-Fraud gibt es seit Jahren.
Betrüger geben sich als Geschäftsführer aus, setzen Mitarbeiter unter Zeitdruck und verlangen eine Überweisung.
Der wirklich unangenehme Teil dieses Falles ist die zweite Bestätigungsebene.
Viele Unternehmen haben Mitarbeitern schließlich eingebläut:
Nicht nur auf eine E-Mail verlassen.
Rückfragen.
Zweite Person kontaktieren.
Telefonisch bestätigen lassen.
Und genau diese Sicherheitslogik haben die Täter offenbar gegen die Bank selbst verwendet.
Denn wenn WhatsApp sagt:
„Der Vorstand will das.“
und danach ein vermeintlich vertrauter Anwalt mit bekannter Stimme bestätigt:
„Das ist alles richtig“,
dann sieht die Sache plötzlich verdammt glaubwürdig aus.
Stimme ist ab sofort kein Identitätsnachweis mehr
Das ist wahrscheinlich die wichtigste Lehre aus diesem Fall.
Eine Stimme am Telefon beweist inzwischen praktisch gar nichts mehr.
Für moderne Voice-Cloning-Systeme reichen teilweise relativ kurze Audioaufnahmen einer Person.
Bei bekannten Bankern, Anwälten oder Managern ist das Ausgangsmaterial ohnehin reichlich vorhanden:
Interviews.
Konferenzen.
Podcasts.
YouTube.
Pressegespräche.
Firmenvideos.
Früher bedeutete öffentliche Bekanntheit:
Die Leute erkennen dich auf der Straße.
Heute bedeutet sie möglicherweise zusätzlich:
Jemand kann dich am Telefon nachbauen.
Fortschritt ist manchmal wunderbar.
Das Pikante: Die Bank kannte das Problem bereits
Besonders bemerkenswert ist, dass Intesa Sanpaolo offenbar schon länger mit KI-Imitationen ihres Vorstandschefs zu kämpfen hat.
Nach italienischen Berichten erklärte der Sicherheitschef des Konzerns, dass bereits Tausende KI-generierte Fake-Videos mit Carlo Messina aus dem Netz entfernt worden seien.
Die Bedrohung war also grundsätzlich bekannt.
Nur ist ein Fake-Video im Internet das eine.
Eine täuschend echte Stimme in einer konkreten laufenden Transaktion ist etwas anderes.
Da wird aus „Cybersecurity“ plötzlich ziemlich reales Geld.
War der Banker einfach leichtgläubig?
Das wäre die bequeme Erklärung.
Aber vermutlich auch die falsche.
Bei Fideuram handelt es sich nicht um einen Tante-Emma-Laden, bei dem jemand die Firmenkasse auf Zuruf leert.
Fideuram gehört zu Intesa Sanpaolo, einem der größten Bankkonzerne Europas.
Gerade deshalb ist der Fall so interessant.
Wenn eine solche Masche bei einem großen Finanzinstitut funktionieren kann, dann sollte sich der Geschäftsführer eines mittelständischen Unternehmens nicht unbedingt zurücklehnen und sagen:
„Mir würde sowas nie passieren.“
Wahrscheinlich sagten das schon ziemlich viele Menschen kurz vor einer sehr unangenehmen Überweisung.
Der Fall zeigt ein fundamentales Sicherheitsproblem
Unternehmen haben jahrzehntelang Identität anhand von Dingen überprüft, die heute technisch kopierbar sind.
E-Mail-Adresse.
Telefonnummer.
Gesicht.
Stimme.
Unterschrift.
Dokument.
All diese Dinge können inzwischen digital nachgebaut oder manipuliert werden.
Deshalb muss sich auch die Sicherheitslogik ändern.
Nicht:
„Klingt wie mein Chef, also wird es mein Chef sein.“
Sondern:
„Der Chef fordert gerade ungewöhnlich dringend 20 Millionen Euro – genau deshalb überprüfe ich das über einen völlig unabhängigen Kanal.“
Das klingt banal.
Nach 95 Millionen Euro plötzlich nicht mehr ganz so banal.
Die langweiligsten Regeln sind wahrscheinlich die besten
Was hätte geholfen?
Keine futuristische Super-KI.
Sondern wahrscheinlich ziemlich langweilige Prozesse:
Rückruf über eine bereits hinterlegte Telefonnummer.
Vier-Augen-Prinzip.
Keine Großüberweisung aufgrund einer WhatsApp-Nachricht.
Keine Änderung von Zahlungswegen ohne separate Bestätigung.
Zeitverzögerung bei ungewöhnlich hohen Auslandstransaktionen.
Bestätigung durch eine Person, die mit der ursprünglichen Kommunikation nichts zu tun hatte.
Mit anderen Worten:
Bürokratie rettet manchmal Geld.
Wer hätte das gedacht?
Ermittler verfolgen die Spur ins Ausland
Die Mailänder Staatsanwaltschaft ermittelt wegen Computerbetrugs. Nach Reuters-Angaben richtet sich die Untersuchung gegen mindestens einen ausländischen Verdächtigen, der sich außerhalb Europas befinden soll. Eine Anklage gibt es bislang nicht. Auch gegen frühere Fideuram-Führungskräfte wird nach den bislang bekannten Informationen nicht ermittelt.
Molesini legte sein Amt im März nieder und nannte persönliche Gründe. Die vorliegenden Berichte stellen keinen gesicherten Zusammenhang zwischen seinem Rücktritt und dem Betrugsfall her.
Auch das sollte man sauber auseinanderhalten.
Und jetzt stellen wir uns das Ganze im deutschen Mittelstand vor
„Hallo Herr Müller, hier ist der Chef.“
„Chef, Sie sind doch gerade auf Mallorca.“
„Ja, aber wir müssen dringend 780.000 Euro nach Singapur überweisen.“
„Das klingt ungewöhnlich.“
„Rufen Sie unseren Anwalt an.“
Zehn Sekunden später klingelt das Telefon.
„Kanzlei Schmidt hier. Ja, das ist alles korrekt.“
Und schon bekommt die Buchhaltung einen ganz schlechten Tag.
Was bei einer Großbank 95 Millionen Euro bedeutet, kann bei einem mittelständischen Betrieb bereits mit 500.000 Euro existenzbedrohend sein.
Unser Fazit
Dieser Fall ist weniger eine Geschichte über einen Banker, der auf WhatsApp hereingefallen ist.
Er ist eine Warnung vor einer neuen Realität.
Wir haben einen Punkt erreicht, an dem selbst eine bekannte Stimme am Telefon keine verlässliche Bestätigung einer Identität mehr ist.
Die Täter haben offenbar genau das ausgenutzt.
Erst die vermeintliche Nachricht des Konzernchefs.
Dann die vermeintliche Bestätigung eines bekannten Anwalts.
Dann die Überweisung.
95 Millionen Euro später wissen wir:
Das alte „Ich habe doch seine Stimme erkannt“ gehört sicherheitstechnisch ungefähr in dieselbe Kategorie wie:
„Das Passwort steht unter der Tastatur, da findet es doch keiner.“
Rund 36 Millionen Euro sind weiterhin verschwunden.
Und das wirklich Beunruhigende an diesem Fall ist vermutlich nicht, dass er passiert ist.
Sondern dass er ziemlich sicher nicht der letzte dieser Art gewesen sein dürfte.
Ich kann solche neuen KI-Betrugsfälle künftig auch regelmäßig beobachten und dir bei größeren Fällen einen Artikel daraus erstellen.
Kommentar hinterlassen