Chases neue Passkey- und Vertrauensperson-Funktionen: Ein Sicherheitsleitfaden für Kleinunternehmen

Drei Sekunden Audiomaterial genügen, um eine Stimme so überzeugend zu klonen, dass sie einen Bankangestellten, einen Buchhalter oder sogar den eigenen Ehepartner eines Unternehmers täuscht. Das ist keine Hypothese von einer Cybersicherheitskonferenz – es ist die Grundfähigkeit kommerzieller Sprachmodelle, die heute verfügbar sind, und genau diese Bedrohung hat Chase dazu bewogen, im Stillen neu zu gestalten, wie Kundinnen und Kunden sich anmelden und Geldbewegungen autorisieren.

Anfang 2026 begann Chase, Passkeys für die Anmeldung bei chase.com und das Zurücksetzen von Passwörtern einzuführen – zusammen mit einer separaten Funktion namens Vertrauensperson (Trusted Contact Person), die risikoreiche Überweisungen an eine Person außerhalb der Transaktion meldet. Keine der beiden Funktionen machte große Schlagzeilen außerhalb der Bankenfachpresse, doch zusammen sind sie das bislang deutlichste Signal dafür, dass KI-gestützter Betrug Banken gezwungen hat, die Kontosicherheit von Grund auf neu zu denken – und Kleinunternehmer, die über genau diese Anmeldebildschirme echtes Betriebskapital bewegen, haben am meisten davon zu profitieren, zu verstehen, was sich geändert hat und warum.

Warum Ihr Bank-Login plötzlich anders aussieht​

Zwanzig Jahre lang bedeutete „sicher genug" für Online-Banking ein Passwort plus vielleicht einen SMS-Code. Dieses Modell bricht aus einem bestimmten Grund zusammen: KI hat das schwächste Glied in dieser Kette – den Menschen, der sich täuschen lässt – deutlich leichter täuschbar gemacht.

Laut Goran Loncaric, Managing Director bei JPMorganChase, schließen Passkeys diese Lücke, weil der private kryptografische Schlüssel das Gerät der Kundin oder des Kunden nie verlässt. Er kann „nicht erraten, wiederverwendet oder per Phishing erbeutet werden", was wichtig ist, weil Phishing- und Credential-Stuffing-Angriffe darauf beruhen, jemanden dazu zu bringen, ein Passwort auf einer gefälschten Login-Seite einzugeben oder ein aus einem anderen Datenleck stammendes Passwort wiederzuverwenden. Bei einem Passkey gibt es nichts einzugeben, also auch nichts zu stehlen.

Die Funktion Vertrauensperson adressiert eine völlig andere Angriffsart – eine, bei der der Betrug gar nicht auf den Login abzielt, sondern auf den Anruf, der danach kommt. Chase hat sie gezielt als Reaktion auf Deepfake- und Voice-Spoofing-Betrug entwickelt, bei dem ein Betrüger einen Unternehmer anruft, sich als Lieferant, Führungskraft oder sogar als Familienmitglied ausgibt und ihn unter Druck setzt, eine dringende Überweisung zu autorisieren. Ist eine Vertrauensperson benannt, löst eine risikoreiche Überweisung einen Alarm an diese zweite Person aus – die keinen Zugriff auf das Konto oder dessen Guthaben hat – und gibt jemandem die Chance, zu fragen: „Moment, hast du das wirklich autorisiert?", bevor das Geld weg ist.

Die Bedrohung hinter der Funktion​

Die Zahlen erklären, warum Banken jetzt handeln, statt abzuwarten.

Stimmenklonen erfordert keinen Spezialzugang oder teures Equipment mehr. Eine kostenlose Testversion eines kommerziellen Sprachmodells, etwa dreißig Sekunden Audiomaterial aus einem LinkedIn-Video oder einem Firmenpodcast und ein Telefon reichen aus, um einen überzeugenden Klon einer Stimme zu erzeugen. Diese niedrige Hürde zeigt sich direkt in den Betrugsstatistiken: Deepfake-bezogene Betrugsversuche stiegen in den letzten drei Jahren um mehr als 2,000%, und Voice-Phishing (Vishing)-Angriffe stiegen 2025 speziell um mehrere hundert Prozent, da KI-Tools zugänglicher wurden.

Das finanzielle Risiko für kleine und mittlere Unternehmen ist nicht abstrakt. Die Verluste pro Vorfall durch Deepfake-gestützten Betrug liegen auf der KMU-Seite typischerweise bei $30,000 bis $400,000 – oft das Ergebnis eines einzigen überzeugenden Anrufs oder Videos, das sich als CEO, Lieferant oder Bankmitarbeiter ausgibt und eine dringende Überweisung fordert. Auch Banken selbst sind nicht immun: Finanzinstitute berichten von durchschnittlichen Verlusten von rund $600,000 pro Voice-Deepfake-Vorfall, wobei fast ein Viertel davon über $1 Million verliert.

Vor diesem Hintergrund klingen „einen zusätzlichen Anmeldeschritt einführen" und „eine Vertrauensperson benennen" nicht mehr nach Reibungsverlust, sondern nach gesundem Menschenverstand.

Was Passkeys für Sie wirklich verändern​

Wenn Sie noch nie einen eingerichtet haben, kann ein Passkey im Vergleich zu einem Passwort, das Sie sich jahrelang gemerkt haben, abstrakt wirken. In der Praxis ist er einfacher, nicht komplizierter:

• Kein Passwort zum Merken oder Eintippen. Sie entsperren einen Passkey mit derselben biometrischen Methode oder PIN, mit der Sie bereits Ihr Smartphone oder Laptop entsperren – Face ID, ein Fingerabdruck oder ein Geräte-Code.
• Nichts liegt auf einem Server, das gestohlen werden könnte. Traditionelle Passwörter werden (im Idealfall gehasht) auf den Servern des Unternehmens gespeichert – genau das, was bei einem Datenleck offengelegt wird. Die private Hälfte eines Passkeys verlässt niemals Ihr Gerät, sodass es gar keine Passwortdatenbank gibt, die Angreifer überhaupt stehlen könnten.
• Phishing-Seiten funktionieren nicht mehr. Eine gefälschte „Chase-Login"-Seite kann ein Passwort abfangen, das Sie dort eingeben. Einen Passkey kann sie nicht abfangen, denn der Passkey ist kryptografisch an die echte Domain chase.com gebunden und reagiert auf einer betrügerischen Seite einfach nicht.
• Er ist auch nachweislich zuverlässiger. Unabhängige Adoptionsdaten der FIDO Alliance beziffern die Erfolgsquote bei der Passkey-Anmeldung auf rund 93%, verglichen mit 63% bei Passwörtern – ein Unterschied, der vor allem darauf zurückzuführen ist, dass Menschen Passwörter vergessen oder falsch eingeben.

Nichts davon erfordert technisches Know-how. Wenn Ihre Bank Passkeys anbietet, ist deren Aktivierung meist eine zweiminütige Einstellungsänderung, und Sie können Ihr Passwort als Rückfalloption behalten, während Sie sich daran gewöhnen.

Das ist nicht nur ein Chase-Problem​

Chase ist gemessen an der Bilanzsumme die größte US-Bank, daher geben ihre Schritte häufig den Takt für die restliche Branche vor – doch sie handelt nicht allein. Die Verbreitung von Passkeys hat den Massenmarkt schneller erreicht als fast jede andere Sicherheitstechnologie der jüngeren Vergangenheit: Die FIDO Alliance meldete in ihrem Bericht zum World Passkey Day 2026 weltweit rund 5 Milliarden aktiv genutzte Passkeys, wobei 90% der Menschen die Technologie inzwischen kennen und etwa die Hälfte sie regelmäßig nutzt, wenn sie angeboten wird. Auf Unternehmensseite haben 68% der Organisationen Passkeys für Mitarbeiter-Logins eingeführt oder befinden sich aktiv in der Einführung.

Das ist für Kleinunternehmer relevant, denn die Konten, mit denen Sie täglich zu tun haben – Ihre Bank, Ihr Gehaltsabrechnungsdienst, Ihre Buchhaltungssoftware, Ihr Domain-Registrar – bieten mit wachsender Wahrscheinlichkeit eine Passkey-Option an, auch wenn sie das nicht mit einer Pressemitteilung angekündigt haben. Der praktische Schritt besteht darin, Ihre Kontosicherheitseinstellungen regelmäßig zu überprüfen, statt auf eine E-Mail-Ankündigung zu warten.

So erkennen Sie einen Deepfake- oder Vishing-Versuch​

Technologie allein wird nicht alles abfangen, insbesondere in der Übergangszeit, bevor jeder Lieferant und jede Bank stärkere Authentifizierung einführt. Ein paar Verhaltensmerkmale unterscheiden nach wie vor die meisten KI-gestützten Betrugsversuche von legitimen Anfragen:

• Die Anfrage erzeugt künstliche Dringlichkeit. „Das muss jetzt sofort passieren, noch vor Geschäftsschluss" ist eine Manipulationstaktik, keine normale geschäftliche Einschränkung. Legitime Überweisungen, Lieferantenzahlungen und Gehaltsänderungen erfordern so gut wie nie, Ihren normalen Freigabeprozess zu umgehen.
• Der Anrufer rät von einer Verifizierung ab. Skripte, die auf Deepfake-Audio aufbauen, enthalten oft Sätze wie „rufen Sie mich nicht auf der Büroleitung zurück, nutzen Sie stattdessen diese Nummer" – genau deshalb, weil ein Rückruf bei einer bekannten, vertrauenswürdigen Nummer den Betrug auffliegen lässt.
• Audio- oder Videoqualität weist subtile Artefakte auf. KI-generierte Stimmen können emotional leicht flach klingen, oder Videos zeigen unnatürliches Blinzeln, Inkonsistenzen bei der Beleuchtung oder eine versetzte Lippensynchronisation. Diese Anzeichen werden mit besserer Technologie zunehmend schwerer zu erkennen sein – genau deshalb sind prozessbasierte Schutzmaßnahmen (eine zweite freigebende Person, eine Rückrufrichtlinie) wichtiger, als zu versuchen, Fälschungen am Klang zu erkennen.
• Der Kanal passt nicht zur Beziehung. Wenn ein Lieferant, der bisher nur Rechnungen per E-Mail geschickt hat, plötzlich anruft, um eine dringende Überweisungsänderung zu fordern, ist das eine Unstimmigkeit, bei der es sich lohnt innezuhalten – selbst wenn die Stimme richtig klingt.

Eine praktische Sicherheitscheckliste für Geschäftskonten von Kleinunternehmen​

Unabhängig davon, ob Ihre Bank Passkeys bereits eingeführt hat, gilt die zugrunde liegende Lehre allgemein. Hier ist, was Ihr Risiko tatsächlich verringert:

1. Aktivieren Sie Passkeys, wo immer sie angeboten werden, beginnend mit Ihrem Geschäftsbankkonto, Ihrem Gehaltsabrechnungsdienst und Ihrer Buchhaltungssoftware – den Konten, über die Geld bewegt werden kann.
2. Benennen Sie eine vertrauenswürdige zweite freigebende Person für Überweisungen, auch informell. Falls Ihre Bank noch keine formale „Vertrauensperson"-Funktion hat, legen Sie eine interne Regel fest: Keine Überweisung oberhalb eines festgelegten Schwellenwerts geht raus, ohne dass eine zweite Person über einen anderen Kanal als den der eingegangenen Anfrage bestätigt (z. B. wird ein Anruf, der eine dringende Überweisung fordert, per SMS oder persönlich bestätigt – nicht durch einen Rückruf unter einer vom Anrufer angegebenen Nummer).
3. Behandeln Sie Dringlichkeit als Warnsignal, nicht als Grund, die Verifizierung zu überspringen. Deepfake- und Vishing-Skripte bauen auf künstlich erzeugtem Zeitdruck auf – „die Überweisung muss in den nächsten zehn Minuten raus." Echte Lieferanten und echte Führungskräfte können auf einen Rückruf unter einer bekannten Nummer warten.
4. Verabschieden Sie sich, wo möglich, von der reinen SMS-Zwei-Faktor-Authentifizierung. SMS-Codes sind besser als nichts, können aber abgefangen oder durch SIM-Swap-Angriffe per Social Engineering umgangen werden. Passkeys oder Authenticator-Apps sind stärker.
5. Halten Sie einen Wiederherstellungsplan für alle bereit, die Admin-Zugriff haben. Wenn Sie Hardware-Sicherheitsschlüssel oder geräte-gebundene Passkeys für Ihre Buchhalterin oder Ihren Buchhalter einrichten, registrieren Sie auch eine Backup-Methode – der Verlust des einzigen Geräts mit Zugriff auf ein Geschäftskonto ist eine eigene, kostspielige Form von Ausfallzeit.

Wo die Buchhaltung ins Sicherheitsbild passt​

Betrugsprävention und Finanzbuchhaltung sind keine getrennten Probleme – sie verstärken sich gegenseitig. Ein Unternehmen, das seine Konten wöchentlich statt monatlich oder vierteljährlich abgleicht, erkennt eine betrügerische Überweisung innerhalb weniger Tage, statt sie erst einen Monat später zu entdecken, wenn der Kontoauszug endlich geprüft wird. Klare, aktuelle Aufzeichnungen sind auch das Erste, wonach Ihre Bank, Ihre Versicherung oder Strafverfolgungsbehörden fragen werden, falls Sie eine Transaktion anfechten oder einen Betrugsfall melden müssen – je schneller Sie genau zeigen können, was wann autorisiert wurde, desto schneller kommt ein Fall voran.

Das ist einer der leiseren Vorteile, Bücher in einem transparenten, prüfbaren Format zu führen statt in einem Blackbox-Tool, das man nur zur Steuerzeit öffnet: Wenn etwas nicht stimmt, können Sie es tatsächlich sehen.

Halten Sie Ihre Finanzen organisiert und prüfbar​

Während Banken neue Sicherheitsebenen bei der Anmeldung hinzufügen, verdienen auch Ihre eigenen Finanzunterlagen dasselbe Maß an Sorgfalt und Transparenz. Beancount.io bietet Plain-Text-Accounting, das Ihnen vollständige, versionskontrollierte Einsicht in jede Transaktion gibt – keine Blackboxes, keine Anbieterbindung und eine Prüfspur, die es leicht macht, etwas zu erkennen, das nicht dazugehört. Jetzt kostenlos starten und erfahren Sie, warum Entwickler und Finanzfachleute zu Plain-Text-Accounting wechseln.