Die geklonte Stimme am Telefon: Woran du sie nicht erkennst

An einem Freitag im Juli klingelte in Kühlungsborn um halb sechs das Telefon einer 80-Jährigen. Am Apparat ein angeblicher Arzt: Die Enkelin habe einen schweren Unfall verursacht, ein Mensch sei tot, 30.000 Euro Kaution, sonst Haft. Dann übernahm eine Frau, die sich als ihre Tochter ausgab. Das Polizeipräsidium Rostock schreibt in seiner Meldung vom 27. Juli: "Ihre Stimme ähnelte der ihrer tatsächlichen Tochter so sehr, dass die 80-Jährige die Schilderungen zunächst für glaubhaft hielt." Die Seniorin besorgte das Geld. Auf dem Weg nach Rostock traf sie ihren echten Enkel, erzählte ihm davon, und der rief die Polizei. Es blieb beim Versuch.

Ob dabei eine geklonte Stimme im Spiel war, weiß niemand. Die Polizei schreibt es nicht, und geprüft hat es auch niemand. Genau an dieser Stelle beginnt das Problem, um das es hier geht.

Denn was jede Ratgeberliste seit Jahren verspricht, ist eine Antwort auf die Frage "Woran hätte sie es merken können?". Sechs Merkmale kursieren dafür. Sie klingen plausibel, sie stehen überall, und die meisten stimmen nicht mehr.

Die sechs Merkmale, einzeln geprüft

Der Ursprung der Liste ist die Seite "Deepfakes, Gefahren und Gegenmaßnahmen" des Bundesamts für Sicherheit in der Informationstechnik, kurz BSI. Das BSI ist die zuständige Bundesbehörde für IT-Sicherheit, und diese Seite ist der Text, aus dem seither abgeschrieben wird.

Wie alt sie ist, verrät sie selbst. Im Abschnitt zu den Gegenmaßnahmen heißt es bis heute, "in dem Regulierungsentwurf der EU-Kommission zu KI-Systemen" werde eine Kennzeichnung gefordert. Aus diesem Entwurf ist längst geltendes Recht geworden. Die KI-Verordnung trat am 1. August 2024 in Kraft, ihre Transparenzpflichten gelten seit dem 2. August 2026.

Zwei Punkte fallen auf. Der erste: Zwei der am häufigsten genannten Merkmale stehen beim BSI überhaupt nicht. Weder "fehlende Umgebungsgeräusche" noch "keine Atemgeräusche" tauchen dort auf. Sie sind in der Wiederholungskette entstanden, ohne dass je eine Behörde oder eine Studie sie geprüft hätte.

Der zweite: Von den vier verbliebenen ist der metallische Klang das bekannteste und das schwächste.

Warum die Verzögerung verschwunden ist

Das BSI nennt "hohe Verzögerung" als Merkmal und begründet es technisch: Ein System müsse erst einen Teil des Inhalts aufnehmen, bevor es ihn umwandeln könne. Das galt. Es gilt nicht mehr.

Dafür muss man zwei Bauformen auseinanderhalten, die im Alltag beide "KI-Stimme" heißen.

Bei Text-to-Speech, kurz TTS, tippt jemand einen Text ein, und das System spricht ihn. Bei Voice Conversion, kurz VC, spricht ein Mensch, und das System tauscht nur die Klangfarbe aus. Betonung, Emotion, Atmung und die Fähigkeit, auf eine Rückfrage zu antworten, kommen beim zweiten Verfahren von einem echten Menschen.

Für einen Anruf, bei dem das Opfer zurückfragt und weint, ist nur die zweite Bauform brauchbar. Und die läuft in Echtzeit. Eine Messung des Unternehmens Koe AI auf einer normalen Desktop-CPU ohne Grafikkarte kommt für das Verfahren LLVC auf 19,7 Millisekunden Latenz, für QuickVC auf 97,6 und für RVC auf 189,8. Eine gewöhnliche Mobilfunkverbindung liegt bei 100 bis 200 Millisekunden. Eine Umwandlungsschicht von 20 Millisekunden verschwindet in der Leitung, bevor irgendjemand sie hören könnte.

Bleibt die Frage nach dem Material. "Drei Sekunden genügen" ist der Satz, der dazu überall steht. Er stammt aus zwei Quellen, die vermischt werden. Serös ist das Forschungssystem VALL-E von Microsoft Research aus dem Januar 2023, das aus einer Drei-Sekunden-Aufnahme synthetisiert. Gemessen wurde das allerdings auf sauberen Hörbuch- und Studioaufnahmen. Populärer ist eine Zahl aus einer Studie des Sicherheitssoftware-Anbieters McAfee vom Mai 2023, deren Methodik nie veröffentlicht wurde.

Was aktuelle Forschung an spontaner Alltagssprache misst, sieht nüchterner aus. Eine Untersuchung des Barcelona Supercomputing Center von 2026 verliert beim System F5-TTS rund 31 Prozent Sprecherähnlichkeit, wenn das Referenzmaterial von 7,7 auf 5,5 Sekunden schrumpft. Beim System StyleTTS2 wird das Ergebnis zusätzlich stellenweise unverständlich.

Die ehrliche Trennung lautet also: Für "erkennbar ähnlich" reichen wenige Sekunden. Für "hält am Telefon ein ganzes Gespräch durch" braucht es mehr, nach heutigem Stand eher zehn bis sechzig Sekunden zusammenhängender sauberer Sprache. Die Londoner Studie, deren Klone tatsächlich nicht mehr von echten Stimmen zu unterscheiden waren, arbeitete mit rund vier Minuten Referenzmaterial pro Stimme.

Das BSI hat das übrigens selbst ausprobiert, und dieses Detail ist bemerkenswerter als jede Zahl. Für ein Demonstrationsvideo klonte die Behörde die Stimme ihres eigenen damaligen Präsidenten Arne Schönbohm. Verwendet wurden rund zehn Minuten Audiomaterial aus öffentlich zugänglichen Videos, laut BSI "nur von mittlerer Qualität". Der gefälschte Satz im Video lautet: "Ich bin nicht echt, noch können Sie das wahrnehmen."

Die Pointe steckt in der Gegenrichtung

Im Mai 2026 haben Nicolas M. Müller und Wei Herng Choong vom Fraunhofer-Institut für Angewandte und Integrierte Sicherheit die bisher größte Hörstudie zu diesem Thema veröffentlicht. 1.768 Teilnehmende, 35.532 Einzelurteile, 138 Sprachsynthese-Systeme, direkt vergleichbar mit einer Vorgängerstudie von 2021.

Das erwartbare Ergebnis wäre: Menschen erkennen Fälschungen heute schlechter. Das ist nicht das Ergebnis. Bei Fälschungen liegt die Trefferquote fast unverändert bei 71,2 statt 72,9 Prozent. Eingebrochen ist die andere Seite. Bei echten Aufnahmen fiel sie von 72,7 auf 64,1 Prozent. Menschen sind nicht schlechter darin geworden, Synthese zu hören. Sie sind schlechter darin geworden, echte Stimmen zu glauben. Die Autoren nennen das einen "skepticism shift".

Für einen Anruf um halb zwölf nachts heißt das etwas Unangenehmes. Wer sich vornimmt, beim nächsten Mal genauer hinzuhören, verschiebt vor allem die Schwelle, ab der er der eigenen Tochter misstraut. Der Rat "achte auf den Klang" macht die Sache messbar schlechter, nicht besser.

Dazu passt ein Befund aus derselben Studie, der die Merkmalslisten endgültig entwertet. Am schwersten zu erkennen waren nicht die exotischen Forschungssysteme, sondern die kommerziellen Dienste und die auf Sprachmodellen basierenden Systeme mit 61,3 bis 65,9 Prozent. Am leichtesten die älteren, technisch simpleren Verfahren mit 75,4 bis 76,8 Prozent. Ausgerechnet das, was jeder mit einer Kreditkarte buchen kann, klingt am echtesten.

Eine im September 2025 in PLOS ONE veröffentlichte Arbeit der Queen Mary University of London kommt zum selben Bild. Stimmklone wurden dort in 58 Prozent der Fälle für menschlich gehalten, echte Stimmen in derselben Versuchsanordnung in 62 Prozent. Die Forschenden betonen ausdrücklich, dass Klone echte Stimmen nicht übertreffen. Der Titel ihrer Arbeit lautet "Voice clones sound realistic but not (yet) hyperrealistic". Sie klingen nicht echter als echt. Sie klingen genauso echt, und das genügt vollkommen.

Ein automatischer Detektor lag in derselben Studie über alle Bedingungen hinweg bei mehr als 94,5 Prozent. Maschinen hören den Unterschied weiterhin gut. Menschen nicht.

Was die deutschen Zahlen hergeben, und was nicht

Am 6. August hat das Bundeskriminalamt auf Anfrage der Nachrichtenagentur dpa Zahlen aus der Polizeilichen Kriminalstatistik 2025 herausgegeben. Der Befund läuft in zwei Richtungen. Beim Enkeltrick und beim Schockanruf sank die Zahl der Fälle von 6.658 auf 4.798, der Schaden stieg trotzdem. Bei falschen Polizeibeamten stiegen beide Werte, der Schaden um zwei Drittel. Das spricht für weniger, aber gezieltere Taten mit höheren Einzelbeträgen.

Und jetzt der Satz, auf den es ankommt: Die Kriminalstatistik erfasst nicht, ob KI im Spiel war. Es existiert für Deutschland keine einzige belastbare Zahl dazu, wie viele Schockanrufe mit geklonter Stimme geführt wurden. Wer eine nennt, hat sie nicht gemessen.

Das hält den Umlauf solcher Zahlen nicht auf. Die meistzitierte, ein Gesamtschaden von 10,6 Milliarden Euro, stammt aus einer Umfrage unter 2.000 Verbrauchern der Global Anti-Scam Alliance vom Juni 2025 und umfasst alle Betrugsformen, nicht KI-Betrug. Unterwegs wurde daraus eine Schätzung von BKA und Europol, die beide Behörden nie genannt haben. Ähnlich die angeblich halbe Million betrügerischer Anrufe, welche die Bundesnetzagentur im Januar 2026 verzeichnet habe. Die Zahl stammt von einer Anruferkennungs-App und zählt Meldungen aus deren eigener Nutzerbasis.

Was die Behörden tatsächlich sagen, ist vorsichtiger. Das BKA erklärte gegenüber dpa, die Simulation einer echt klingenden Enkelstimme sei "auch ohne tiefe technische Kenntnisse mit Hilfe allgemein zugänglicher KI-Systeme möglich". Das ist eine Aussage über Möglichkeiten, keine Fallmeldung. Auf der Präventionsseite der Polizeilichen Kriminalprävention zum Stichwort Schockanrufe kommen künstliche Intelligenz und Stimmklonen bis heute nicht vor.

Ein aktueller Fall zeigt, warum Zurückhaltung angebracht ist. Das Polizeipräsidium Oberpfalz meldete am 29. April 2026 drei vollendete Schockanrufe an einem einzigen Nachmittag in Regensburg und Amberg. Alle drei Gespräche wurden auf Russisch geführt, gezielt mit russischsprachigen Seniorinnen und Senioren. Wer auf Russisch frei verhandelt und flexibel auf Rückfragen eines 89-Jährigen reagiert, ist ein Mensch am Telefon.

Was tatsächlich hilft

Wenn Zuhören nicht funktioniert, bleibt nur, den Kanal zu wechseln. Alles Wirksame folgt aus diesem einen Gedanken.

Auflegen und selbst zurückrufen. Die Polizei formuliert es auf polizei-beratung.de so: "Legen Sie sofort auf! Das ist nicht unhöflich, sondern ermöglicht Ihnen, durchzuatmen und sich neu zu sortieren." Und weiter: "Kontaktieren Sie die Anruferin, den Anrufer oder eine Person Ihres Vertrauens unter einer Ihnen bekannten Telefonnummer." Wichtig ist der letzte Halbsatz. Nicht die Rückruftaste, sondern die Nummer aus dem eigenen Adressbuch, denn angezeigte Rufnummern lassen sich fälschen.

Ein Kennwort oder eine Frage, die nur der echte Mensch beantworten kann. Die Polizei rät zu einem "Kennwort zur Identifizierung am Telefon", das Polizeipräsidium Oberpfalz ergänzt, es solle leicht zu merken und schwer zu erraten sein. Auf ihrer Enkeltrick-Seite empfiehlt dieselbe Behörde die robustere Variante: "Erfragen Sie beim Anrufer Dinge, die nur der richtige Verwandte oder Bekannte wissen kann." Ein Kennwort kann unter Schock vergessen werden, der Spitzname des Familienhundes von 1998 nicht. Kein Sprachmodell kann ihn erraten, weil diese Information nirgends existiert.

Ein Einwand gehört dazu. Täter reagieren auf Rückfragen mit Weinen, Zeitdruck und der Übergabe an einen angeblichen Anwalt. Fragen allein genügt deshalb nicht. Der Ablauf muss "auflegen und zurückrufen" heißen.

Den Telefonbucheintrag ändern. Das ist der wirksamste und der unbekannteste Rat. Die Polizei wird auf ihrer Enkeltrick-Seite ungewöhnlich deutlich: "Trickbetrüger nutzen die Einträge in Telefonbüchern, um gezielt Opfer für Telefonbetrugsstraftaten auszuwählen! Ältere Vornamen wie Wilhelmine, Wilhelm etc. oder auch kurze Telefonnummer sind für die Täter ein Hinweis darauf, dass sich ältere Menschen hinter diesen Einträgen verbergen." Wer eingetragen bleiben will, soll den Vornamen abkürzen lassen. Ein fertiges Formular für den Telefonanbieter steht auf derselben Seite. Für Opfer von Telefonbetrug ist der Rufnummernwechsel laut Polizei in der Regel kostenlos.

Nichts übergeben, und im Zweifel die 110. Der Satz der Polizei ist kürzer als jede Erklärung: "Übergeben Sie niemals Geld oder Wertsachen wie Schmuck an unbekannte Personen, auch nicht an die Polizei." Melden auch dann, wenn es beim Versuch geblieben ist. Nur so lassen sich Serien erkennen.

Die neue Kennzeichnungspflicht hilft hier nicht

Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung. Die Verbraucherzentrale Bayern fasste am 5. August zusammen, was das bedeutet, und nannte den Fall beim Namen: "Das gilt ausdrücklich auch für synthetische Stimmen: Wer einen Anruf oder eine Sprachnachricht erhält, die mit einer geklonten Stimme erzeugt wurde, muss darüber informiert werden."

Formal trifft die Pflicht den Anrufer, und die Ausnahme für rein private Nutzung greift bei einer gewerbsmäßig arbeitenden Bande nicht. Praktisch ändert das für ein Opfer nichts. Eine Offenlegungspflicht, die den Kern der Tat beseitigen würde, befolgt niemand. Durchgesetzt wird sie im Verwaltungsweg mit Bußgeldern bis 15 Millionen Euro, und zwar gegen Unternehmen mit Sitz und Umsatz, nicht gegen anonyme Anrufer aus dem Ausland. Strafrechtlich bleibt es beim Betrug nach Paragraf 263 StGB, wie vorher auch.

Tatjana Halm, Referatsleiterin Recht und Digitales bei der Verbraucherzentrale Bayern, sagt es selbst: "Die neuen Regeln sorgen für mehr Transparenz. Aber Betrüger halten sich nicht an Regeln, so dass eine fehlende Kennzeichnung keine Sicherheit darstellt."

Das ist der Satz, der die ganze Merkmalsliste ersetzt. Es gibt kein Kennzeichen, auf das du warten kannst, und kein Geräusch, auf das du hören kannst. Es gibt nur den zweiten Kanal.