S01:E03
Januar 2024, Hongkong. Ein Mitarbeiter der Finanzabteilung eines britischen Ingenieurbüros bekommt eine Nachricht vom Finanzchef der Londoner Zentrale: eine vertrauliche Transaktion, mit niemandem darüber sprechen. Der Mann hält das für einen Betrugsversuch und liegt damit vollkommen richtig.
Dann lädt ihn derselbe Finanzchef zu einer Videokonferenz ein. Auf dem Bildschirm sitzen Kollegen aus der Zentrale, bekannte Gesichter, bekannte Stimmen. Danach überweist er in 15 Schritten rund 200 Millionen Hongkong-Dollar auf 5 Konten.
In dieser Konferenz war außer ihm niemand echt.
In Folge 003 gehen Chris Wojzechowski und Silas Borgmeier den Fall Arup durch: warum kein einziges System kompromittiert wurde, warum die Fälschung gar nicht besonders gut sein musste, und warum der entscheidende Unterschied zu den bisherigen Chef-Maschen nicht die Technik ist, sondern die Besetzung — mehrere bekannte Personen, die sich untereinander einig sind.
Außerdem: warum die Konferenz nach Angaben der Polizei überhaupt kein Gespräch war, sondern eine Aufzeichnung. Warum der Betrug am Ende ausgerechnet durch den Mann aufflog, den man getäuscht hatte. Und was dieser Fall für jede Firma bedeutet, in der eine überzeugende Anweisung schneller ist als eine Prüfung.
Dazu der Mythen-Check mit 5 Sätzen, die über diesen Fall im Umlauf sind, 3 Takeaways mit je einem Umsetzungsschritt für die kommende Woche, und der deutsche Blick: Leitungspflicht, Haftung und ein Fall aus dem Jahr 2019, der zeigt, dass das hier nichts Neues ist.
Folgenbeschreibung (Kurzfassung, für Plattformen mit Zeichenlimit)
Ein Videocall mit dem Finanzchef und mehreren Kollegen — und außer dem Mitarbeiter war niemand darin echt. Der Fall Arup: 15 Überweisungen, rund 25 Millionen US-Dollar, kein einziges kompromittiertes System. Warum kein Produkt dieses Problem löst und welcher Absatz in eurer Zahlungsrichtlinie es lösen würde.
Quellen
Primärquellen
Hongkonger Regierung, Security Bureau: Antwort auf die Anfrage LCQ9 im Legislativrat, „Combating frauds involving deepfake technology“, 26.06.2024. Bestätigt den Zeitraum „Ende Januar 2024“, die voraufgezeichnete Videokonferenz ohne Interaktion, 15 Überweisungen auf 5 lokale Bankkonten, rund 200 Millionen Hongkong-Dollar und den Ermittlungsstand. https://www.info.gov.hk/gia/general/202406/26/P2024062600192.htm https://www.info.gov.hk/gia/general/202406/26/P2024062600193.htm
Hong Kong Police Force, schriftliche Antworten an den Legislativrat (Estimates 2025-26). Verfahrensstand der Hongkonger Deepfake-Fälle, Abgrenzung zur Operation Smashscam vom August 2023. https://www.police.gov.hk/info/doc/fcq/2026/sfc_e.pdf
Hong Kong Police Force, OffBeat: Darstellung des Deepfake-Betrugsmusters. https://www.police.gov.hk/offbeat120/scam4/5-ai-impersonation-of-celebrities.html
Arup Group Limited, Financial Statement für das Geschäftsjahr bis 31.03.2023. Umsatz 2.163,6 Millionen Pfund, Gewinn vor Steuern 38,9 Millionen Pfund, über 18.000 Mitglieder. https://www.arup.com/globalassets/downloads/corporate-documents/financial-statements/arup-financial-statement-2023.pdf
Companies House, ARUP GROUP LIMITED (Nr. 01312454), Filing History. https://find-and-update.company-information.service.gov.uk/company/01312454/filing-history
World Economic Forum: „This engineering firm was hit by a deepfake fraud. Here’s what it learned“, 04.02.2025, samt Video mit Rob Greig (Arup). Einordnung des Vorfalls als „technology-enhanced social engineering“. https://www.weforum.org/stories/2025/02/deepfake-ai-cybercrime-arup/ https://www.weforum.org/videos/arup-deepfake-fraud/
Berichterstattung und Analyse
Hong Kong Free Press / AFP: „Multinational loses HK$200 million to deepfake video conference scam, Hong Kong police say“, 05.02.2024 — direkte Zitate aus dem Polizei-Briefing.
CNN: „Finance worker pays out $25 million after video call with deepfake ‚chief financial officer’“, 04.02.2024.
South China Morning Post: „‚Everyone looked real’“, 04.02.2024, und „UK multinational Arup confirmed as victim of HK$200 million deepfake scam“, 17.05.2024.
The Guardian: „Company worker in Hong Kong pays out £20m in deepfake video call scam“, 05.02.2024, und „UK engineering firm Arup falls victim to £20m deepfake scam“, 17.05.2024.
The Standard (Hongkong): „HK’s first deepfake video conference scam involving HK$200 million“, 04.02.2024, und „Hong Kong sees three deepfake video scams since last year, says security chief“, 26.06.2024.
Ming Pao und Wen Wei Po, Ausgaben vom 04.02.2024 — Angabe „4 bis 6 Teilnehmer“ auf dem Bildschirm.
China Daily Hong Kong, Feature vom 16.08.2024 — Bestätigung des voraufgezeichneten Ablaufs.
Hong Kong Free Press: „In first, Hong Kong police arrest 6 over finance scams involving deepfake technology“, 25.08.2023 — Operation Smashscam, der abzugrenzende Fall.
Saunders Law: „Who is liable in a workplace deepfake fraud incident?“, 07.01.2026 — Verfahrensstand, keine Festnahmen.
University of Hawaii West Oahu, Forensics Weekly Executive Summary zum Arup-Fall — Stand Ende 2025.
DACH-Einordnung
Süddeutsche Zeitung zum Voice-Deepfake gegen die britische Tochter eines deutschen Energiekonzerns (2019) und zur Regulierung des Schadens durch den Vertrauensschadenversicherer.
Der Spiegel und Die Zeit zum gefälschten Videoanruf mit einem angeblichen Vitali Klitschko bei der Berliner Bürgermeisterin, Juni 2022.
Handelsblatt Live: „Prozesslücken, die kein Pentest findet“ — Leitungspflicht nach der deutschen NIS2-Umsetzung.
Hinweise zur Sorgfalt
Ablauf der Videokonferenz: Alles, was über den technischen Ablauf bekannt ist, stammt aus einer einzigen Richtung — von der Hongkonger Polizei, dargestellt im Medienbriefing vom 04.02.2024 und schriftlich wiederholt durch das Sicherheitsbüro der Regierung im Juni 2024. Arup hat den Ablauf nie im Detail bestätigt. Es gibt kein forensisches Gutachten, keine Aufzeichnung und keine unabhängige technische Prüfung. Der Vorbehalt wird in der Folge wörtlich gesprochen.
Teilnehmerzahl: Die Polizei spricht von einer Konferenz „mit mehreren Personen“ ohne Zahl. Die Angabe „4 bis 6 Teilnehmer“ stammt aus der Hongkonger Presse vom Tag des Briefings, nicht aus einer Primärquelle.
Schadenssumme: Robust ist die Angabe von rund 200 Millionen Hongkong-Dollar. Alle Beträge in US-Dollar, Pfund oder Euro sind redaktionelle Umrechnungen zu unterschiedlichen Stichtagen und weichen entsprechend voneinander ab.
Verfahrensstand: Nach dem Recherchestand vom September 2026 gibt es in diesem Fall keine bekannte Festnahme, keine Anklage, keinen öffentlich benannten Verdächtigen und keine dokumentierte Rückholung der Gelder. Für alle Personen, gegen die kein rechtskräftiges Urteil vorliegt, gilt die Unschuldsvermutung.
Nicht namentlich genannt werden der betroffene Finanzmitarbeiter und der imitierte Finanzchef. Der Mitarbeiter ist in keiner Quelle identifiziert und hat sich nie öffentlich geäußert; der Name des imitierten Finanzchefs ist öffentlich nicht bekannt.
Nicht verwendet wurde der behauptete Zusammenhang zwischen dem Vorfall und einem Führungswechsel in der Ostasien-Region von Arup. Diesen Zusammenhang stellt genau eine Quelle her, und die dortige Darstellung der Rollenfolge ist nachweislich falsch.
Über AKTE7
AKTE7 ist der Podcast der AWARE7 GmbH. Alle zwei Wochen donnerstags nehmen wir uns einen realen Cyberangriff vor und gehen ihn durch wie eine Akte: was passiert ist, was belegt ist, was nur behauptet wird — und was man daraus für das eigene Unternehmen mitnimmt.