Deepfake im Vorstellungsgespräch: Fake-Kandidaten erkennen

Ein Bewerber besteht drei technische Interviews mit überzeugenden Antworten, unterschreibt den Vertrag für eine Remote-Stelle als Backend-Entwickler — und am ersten Arbeitstag meldet sich eine völlig andere Person mit Firmenzugang an. Genau dieses Muster beschreiben Sicherheitsbehörden seit 2024 immer häufiger: Kandidaten, die per Echtzeit-Deepfake ihr Gesicht während des Video-Interviews austauschen und dazu gefälschte Ausweisdokumente, Lebensläufe oder Arbeitszeugnisse einreichen. Für Unternehmen mit vollständig remote arbeitenden Teams — auch in Deutschland und im Rest Europas — ist das kein hypothetisches Risiko mehr, sondern ein dokumentiertes Angriffsmuster mit eigener Tätergruppe, eigenem Namen in der Bedrohungsanalyse und mehreren strafrechtlichen Verfahren.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine rechtliche, sicherheitstechnische oder regulatorische Beratung dar. Angaben zu Behördenmitteilungen und Unternehmensfällen entsprechen dem öffentlich dokumentierten Stand zum Zeitpunkt der Veröffentlichung.

Was ist ein Deepfake-Kandidat im Video-Interview

Ein Deepfake-Kandidat ist eine Person, die während eines Video-Vorstellungsgesprächs ein KI-generiertes, in Echtzeit berechnetes Gesicht über die eigene Kamera legt, um als jemand anderes zu erscheinen — meist als die Person, deren gestohlene oder erfundene Identität für die Bewerbung genutzt wurde. Das FBI und das US-Außenministerium beschreiben die Technik gemeinsam mit elf Partnerstaaten als "Echtzeit-Videoinferenz": Ein Face-Swap-Modell läuft während des laufenden Anrufs, überträgt ein gestohlenes oder synthetisches Gesicht auf den tatsächlichen Videostrom der Täterin oder des Täters und leitet die Ausgabe über einen virtuellen Kameratreiber, den Videokonferenz-Plattformen als normale Webcam erkennen. Am 31. Juli 2026 unterzeichnete Deutschlands Auswärtiges Amt gemeinsam mit den USA und neun weiteren Staaten erstmals eine gemeinsame Warnung genau zu dieser Methode (state.gov).

Der Zweck ist fast immer, eine Remote-Anstellung zu erschleichen, für die die tatsächliche Person aus Sprach-, Sanktions- oder Qualifikationsgründen nicht in Frage käme. Die Identität, die im Lebenslauf, im LinkedIn-Profil und im Interview auftritt, existiert entweder gar nicht oder gehört einer unbeteiligten dritten Person, deren Papiere gestohlen oder gemietet wurden.

Wie funktioniert das technische Zusammenspiel von Face-Swap und gefälschten Dokumenten

Das Verfahren kombiniert immer mehrere Fälschungsebenen gleichzeitig, nicht nur die Videomanipulation allein. Zuerst entsteht eine synthetische Legende: ein KI-generiertes Bewerbungsfoto, ein plausibler Lebenslauf, oft ergänzt durch gefälschte Diplome oder Arbeitszeugnisse, die zur behaupteten Berufserfahrung passen. Anschließend läuft während der eigentlichen Interviews die Deepfake-Software live mit, während im Hintergrund häufig ein zweiter Mensch technische Fragen vorspricht oder mittippt.

CrowdStrike verfolgt die dahinterstehende, mutmaßlich nordkoreanische Gruppe unter dem Namen "Famous Chollima" und meldete für die zwölf Monate bis Mitte 2025 einen Anstieg der betroffenen Unternehmen um 220 Prozent, mit über 320 infiltrierten Firmen (TechCrunch, 4.8.2025). Nach der Einstellung installieren die Operateure häufig KI-Coding-Assistenten, um mittelmäßigen Code zu erzeugen — so kann eine einzelne Person mehrere Vollzeitstellen parallel halten, ohne dass Leistungsauffälligkeiten sofort auffallen.

Für Interviewer lassen sich einige technische Artefakte gezielt beobachten, auch wenn moderne Modelle immer weniger Fehler produzieren:

Der Fall KnowBe4: wie ein gefälschter nordkoreanischer IT-Mitarbeiter eingestellt wurde

Das US-Sicherheitsunternehmen KnowBe4 stellte im Frühjahr 2024 einen Software-Entwickler ein, der mehrere Video-Interviews und eine reguläre Background-Prüfung durchlief — mit gestohlener Identität und einem KI-bearbeiteten Bewerbungsfoto. Am 15. Juli 2024 um 21:55 Uhr Ostküstenzeit schlugen die Anti-Malware-Sensoren von KnowBe4 Alarm, nachdem der neue Mitarbeiter innerhalb der ersten 25 Minuten auf seinem Firmen-MacBook versucht hatte, Schadsoftware zu installieren (KnowBe4-Blog). KnowBe4 machte den Fall öffentlich, weil das eigene, für solche Fälle geschulte Team ihn selbst fast nicht entdeckt hätte — ein ungewöhnlicher Schritt für ein Unternehmen, das seine eigene Sicherheitskultur eigentlich als Vorzeigebeispiel vermarktet.

Der Fall ist kein Einzelfund. Das US-Justizministerium hat seit 2024 mehrere sogenannte "Laptop-Farmen" ausgehoben, in denen im Inland ansässige Komplizen Firmenlaptops physisch hosten, damit die IP-Adresse der eingeloggten Person wie ein normaler Heimarbeitsplatz aussieht. Im August 2024 wurde ein Mann aus Nashville wegen der Beherbergung solcher Laptops und der Weiterleitung von Zahlungen an nordkoreanische Akteure angeklagt, Teil einer Serie von Verfahren, die das Justizministerium unter anderem in einer Anklage gegen zwei nordkoreanische Staatsangehörige und drei Vermittler dokumentiert (justice.gov). Das FBI schätzt, dass die so erzielten Gehälter direkt in nordkoreanische Waffenprogramme fließen, und warnt in einer eigenen Cyber-Alert-Mitteilung ausdrücklich vor der Bedrohung für US-Unternehmen durch diese IT-Mitarbeiter-Programme (fbi.gov).

Warum auch deutsche und europäische Arbeitgeber betroffen sind

Das Problem ist nicht auf US-Unternehmen beschränkt, sobald eine Stelle vollständig remote und ohne persönliches Treffen besetzt wird. Die gemeinsame Warnung vom 31. Juli 2026 wurde neben den USA von Japan, Südkorea, Australien, Kanada, Frankreich, Italien, den Niederlanden, Neuseeland, dem Vereinigten Königreich — und erstmals Deutschland über das Auswärtige Amt — mitgetragen, weil Behörden in allen diesen Ländern eigene Fälle registriert hatten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt Deepfakes seit einiger Zeit als eigenes Themenfeld und rät Unternehmen unter anderem zu Awareness-Schulungen, weil "viele Deepfake-Verfahren teilweise deutliche Artefakte" erzeugen, deren Kenntnis die Erkennung signifikant verbessern kann (bsi.bund.de). Für Bewerbungsverfahren empfiehlt das BSI, wo immer möglich, mindestens ein persönliches Treffen anzuberaumen — eine Empfehlung, die für rein remote arbeitende Teams naturgemäß schwerer umzusetzen ist.

Die Größenordnung bleibt schwer zu beziffern, aber die Richtung ist eindeutig: Eine Befragung von rund 1.000 US-Hiring-Managern durch Resume Genius im Januar 2025 ergab, dass 17 Prozent der Personalverantwortlichen im vorangegangenen Jahr direkt mit Deepfake-Technologie in einem Videointerview konfrontiert waren (CNBC). Gartner geht davon aus, dass bis 2028 weltweit jedes vierte Bewerberprofil ganz oder teilweise gefälscht sein könnte, wie unter anderem golem.de unter Berufung auf die Analystenfirma berichtet (karrierewelt.golem.de). Für den deutschen Mittelstand mit chronischem IT-Fachkräftemangel und hoher Bereitschaft, remote und über Ländergrenzen hinweg einzustellen, ist das ein Anreiz, den Einstellungsprozess genauer zu prüfen als bisher.

Gefälschte Dokumente als zweite Betrugsebene

Die Deepfake-Videospur ist nur die sichtbarste Komponente — sie wird praktisch immer von gefälschten Papieren gestützt, die vor oder nach dem Interview eingereicht werden. Dazu zählen erfundene Ausweisdokumente zur Identitätsprüfung, KI-generierte Lebensläufe mit erfundenen Stationen und, insbesondere in regulierten Rollen, gefälschte Diplome oder Zertifikate. Wie sich dieser Betrug mit KI-generierten Lebensläufen und Zeugnissen in den letzten Jahren professionalisiert hat, haben wir in einem eigenen Beitrag zu Lebenslauf- und Zeugnisbetrug im Recruiting im Detail beschrieben. Ergänzend dazu tauchen bei Referenzprüfungen zunehmend Arbeitszeugnisse auf, deren Siegel, Unterschriften oder Formulierungen bei manueller Sichtung kaum von echten Dokumenten zu unterscheiden sind — das entsprechende Muster gefälschter Arbeitszeugnisse und Referenzen haben wir gesondert analysiert. Wo die vorgelegten Ausweispapiere selbst synthetisch erzeugt statt nur kopiert sind, überschneidet sich das Thema zusätzlich mit synthetischen Identitätsdokumenten, die per Deepfake mit einem Live-Selfie verknüpft werden.

Laut dem ACFE Report to the Nations 2024 werden nur 37 % der Dokumentenbetrugsfälle durch interne manuelle Kontrollen entdeckt, bei einer durchschnittlichen Entdeckungsdauer von 87 Tagen (acfe.com) — eine Frist, die im Fall eines bereits mit Firmenzugang ausgestatteten Fake-Mitarbeiters inakzeptabel lang ist. Wer branchenübergreifend verstehen möchte, welche Verifizierungsanforderungen für welchen Sektor gelten, findet einen strukturierten Einstieg in unserem Leitfaden zur Branchenverifizierung.

Checkliste für HR-Teams: worauf bei Remote-Einstellungen achten

Die folgenden Punkte lassen sich in bestehende Recruiting-Workflows einbauen, ohne den Prozess grundlegend zu verlangsamen:

• Mindestens ein Live-Moment ohne Skript verlangen — eine spontane, nicht vorbereitbare Frage oder Aufgabe stellen und auf Reaktionszeit, Mimik-Konsistenz und Lippensynchronität achten.
• Bitten, kurz das Bild zu verändern — etwa die Hand vor das Gesicht zu halten oder sich seitlich zur Kamera zu drehen; viele Face-Swap-Modelle produzieren dabei sichtbare Artefakte.
• Ausweis- und Abschlussdokumente unabhängig vom Video prüfen, nicht nur visuell im Call, sondern mit technischer Dokumentenanalyse.
• Referenzen aktiv zurückrufen, statt nur E-Mail-Adressen aus dem Lebenslauf zu kontaktieren — bei Fake-Identitäten sind hinterlegte Referenzkontakte häufig ebenfalls Teil der Legende.
• Auffällige Bankdaten- oder Adresswechsel kurz nach der Einstellung als Warnsignal behandeln, insbesondere in Kombination mit der Bitte, den Firmenlaptop an eine andere Adresse als die im Lebenslauf angegebene zu senden.
• Physische Treffen einplanen, wo immer die Rolle es zulässt — die einfachste, aber wirksamste Empfehlung, auch vom BSI.

Wie CheckFile die Dokumentenprüfung ergänzt

CheckFile ersetzt keine dieser organisatorischen Maßnahmen, sondern automatisiert die Dokumentenseite des Prozesses. Unser Ansatz bei CheckFile ergänzt diese Prüfungen um eine zusätzliche Ebene von KI-Generierungssignalen, die je nach Kundenkonfiguration hinzugeschaltet werden kann, neben der strukturellen und metadatenbasierten Analyse von Ausweisdokumenten, Diplomen und Arbeitszeugnissen. Für Unternehmen, die HR- und Recruiting-Prozesse in größerem Umfang absichern müssen, bündeln unsere Lösungen für das Personalwesen und für Zeitarbeit und Personalvermittlung die entsprechenden Prüfschritte. Die Architektur dieser Kontrollen beschreibt unsere Seite zur Sicherheit, und die Integrationsstufen sind auf der Preisübersicht aufgeführt.

Konkret für die Video-Interview-Problematik: CheckFile analysiert Ihre Dossiers und markiert Hinweise auf KI-generierte Inhalte als Ergänzung zu Ihren bestehenden Kontrollen — als zusätzliche Prüfebene, nicht als Ersatz für ein waches Interview-Team. CheckFile erkennt nicht jede Fälschung oder jeden Deepfake; die Kombination aus geschultem Personal, organisatorischen Kontrollen wie den oben genannten und technischer Dokumentenprüfung reduziert das Risiko, ersetzt aber keine davon vollständig.

Häufig gestellte Fragen

Wie erkenne ich einen Deepfake im Vorstellungsgespräch

Achten Sie auf ruckartige Übergänge bei schnellen Kopfbewegungen, eine Beleuchtung, die auf dem Gesicht statisch wirkt, während sich der Hintergrund verändert, sowie leicht verzögerte oder monotone Antworten auf spontane Nachfragen. Bitten Sie die Person, kurz die Hand vor das Gesicht zu halten oder sich seitlich zu drehen — an den Kanten der Gesichtsmaske entstehen dabei häufig sichtbare Artefakte.

Was war der KnowBe4-Fall genau

KnowBe4 stellte 2024 einen Software-Entwickler ein, der mit gestohlener Identität und einem KI-bearbeiteten Foto mehrere Interviews und eine Background-Prüfung bestand. Innerhalb von 25 Minuten nach Erhalt des Firmenlaptops versuchte die Person, Schadsoftware zu installieren, was durch Anti-Malware-Sensoren entdeckt wurde. KnowBe4 veröffentlichte den Fall selbst als Warnung für andere Unternehmen.

Betrifft das Risiko nur nordkoreanische Akteure

Die von Behörden und CrowdStrike am ausführlichsten dokumentierten Fälle stammen aus mutmaßlich nordkoreanischen Schein-IT-Mitarbeiter-Programmen, aber die zugrunde liegende Technik — Echtzeit-Face-Swap plus gefälschte Papiere — ist nicht an eine bestimmte Herkunft gebunden. In Fachforen und Diskussionen unter Recruitern taucht regelmäßig die Frage auf, ob auch andere Betrugsgruppen dieselbe Methode für gewöhnlichen Gehalts- oder Zugangsbetrug einsetzen; belastbare, öffentlich dokumentierte Zahlen dazu außerhalb der DPRK-Fälle liegen bislang kaum vor.

Was können kleine Unternehmen tun, die sich keine dedizierte Fraud-Abteilung leisten können

Die wirksamsten Maßnahmen sind organisatorisch und kostenneutral: eine spontane Frage im Interview, eine kurze Bewegungsaufforderung vor der Kamera und ein Rückruf bei angegebenen Referenzen statt nur einer E-Mail. In Foren zu Recruiting-Erfahrungen wird häufig gefragt, ob sich diese Prüfungen überhaupt lohnen, wenn die Stelle ohnehin dringend besetzt werden muss — die dokumentierten Fälle zeigen jedoch, dass die Kosten einer Fehlbesetzung mit Netzwerkzugang deutlich höher liegen als der zusätzliche Zeitaufwand von wenigen Minuten pro Interview.

Reicht ein einmaliges Ausweis-Upload zur Identitätsprüfung aus

Nein, ein einzelnes Foto oder ein hochgeladenes Ausweisdokument allein prüft nur, ob ein Dokument vorgelegt wurde — nicht, ob die Person im Video-Call mit der Person auf dem Dokument identisch ist. Genau diese Verknüpfung zwischen Lebendaufnahme und Dokument ist der Punkt, an dem Echtzeit-Face-Swapping ansetzt, weshalb Dokumentenprüfung und Interview-Wachsamkeit sich ergänzen müssen statt sich zu ersetzen.