Deepfake-Bewerber: Wenn Recruiter gegen KI-Betrüger antreten müssen

Die Zahl, die das Bild kippt

Das Marktforschungsunternehmen Gartner rechnet damit, dass bis 2028 jede vierte Bewerbung weltweit ganz oder teilweise gefälscht sein wird. 25 Prozent sind keine Randerscheinung mehr, sondern eine strukturelle Verschiebung im Bewerbungsmarkt. Auf der deutschen Plattform Stepstone stieg die Bewerbungszahl pro Stelle laut einem NZZ-Bericht seit 2023 um 73 Prozent, der Januar 2026 war dort der bewerbungsreichste Monat der Firmengeschichte. Ein wachsender Teil dieser Flut stammt nicht mehr von Menschen, sondern von KI-Bots, die für rund 13 US-Dollar pro Woche bis zu 50 Bewerbungen täglich automatisiert verschicken.

Auf der anderen Seite des Prozesses zeigt der Greenhouse 2025 Workforce & Hiring Report, wie sich die Bewerberzahl je Stelle entwickelt hat: von 28 im Jahr 2021 auf 95 im Jahr 2025, ein Plus von 239 Prozent. Eine gut sichtbare Engineering-Stelle kann heute innerhalb von zwölf Stunden 400 Bewerbungen erhalten, teils mit der Folge, dass Unternehmen die Ausschreibung wieder zurückziehen, weil das Sichten länger dauert als die Vakanz eigentlich bestehen sollte. Jede dritte Recruiting-Fachkraft verbringt laut demselben Report inzwischen bis zur Hälfte ihrer Wochenarbeitszeit mit dem Aussortieren von Spam-Bewerbungen, statt echte Kandidatengespräche zu führen.

Zwei Effekte, die ineinandergreifen

Hinter der Krise stecken zwei unterschiedliche Mechanismen. Der erste ist rein quantitativ: KI-Tools erzeugen für jede Stellenausschreibung binnen Sekunden formal passende Lebensläufe, die Schlüsselwörter treffen, ohne dass dahinter reale Eignung steht. Der zweite Effekt ist qualitativ und deutlich schwerer zu greifen: Identitätstäuschung. Cybersicherheitsfirmen zeigen, dass sich ein vollständiger Deepfake-Bewerber, inklusive Stimme, Lebenslauf und Live-Video, in rund 70 Minuten erstellen lässt.

Der bislang gravierendste dokumentierte Fall betrifft den Sicherheitsanbieter KnowBe4: Ein nordkoreanischer Agent bestand vier Video-Interviews mit gestohlener Identität und KI-veränderten Fotos und wurde eingestellt. Das FBI dokumentierte in diesem Zusammenhang über 300 betroffene US-Unternehmen. Wie ernst das Problem inzwischen genommen wird, zeigt der GetReal-Security-Survey 2026: 41 Prozent der befragten Unternehmen geben an, bereits mindestens einen Deepfake-Kandidaten eingestellt und onboardet zu haben.

Was Deepfakes im Bewerbungsprozess konkret bedeuten

Rechtsanwalt Jakob Friedrich Krüger von der Kanzlei Kliemt unterscheidet in einer aktuellen Einordnung drei Erscheinungsformen: manipulierte Vorstellungsgespräche, bei denen aufgezeichnete oder live gestreamte Videointerviews per KI nachbearbeitet werden, gefälschte Referenz- und Empfehlungsvideos angeblicher früherer Vorgesetzter, die nie existierten, sowie KI-generierte Lebensläufe und Zeugnisse mit inhaltlich frei erfundenen Qualifikationen. Die Motivation dahinter ist meist simpel: Bewerber wollen sich besser darstellen, als sie tatsächlich sind, und nutzen dafür technische Mittel, die für Personalverantwortliche oft kaum zu erkennen sind.

Die rechtliche Lage für Arbeitgeber ist dabei komplizierter, als man vermuten würde. Ein Kontrollrecht auf Plausibilität, auch mithilfe technischer Hilfsmittel, kann Unternehmen laut Krüger grundsätzlich nicht abgesprochen werden, schließlich haben sie ein berechtigtes Interesse, sich vor gefälschten Unterlagen zu schützen. Die Grenzen liegen im Datenschutzrecht: Nach Paragraf 26 Absatz 1 Bundesdatenschutzgesetz ist die Prüfung der Echtheit von Bewerbungsunterlagen zur Anbahnung eines Arbeitsverhältnisses grundsätzlich zulässig, sofern sie erforderlich ist. Wird dabei allerdings mit biometrischen Daten wie Stimme oder Mimik gearbeitet, greift der besondere Schutz nach Artikel 9 DSGVO, und eine Entscheidung darf nach Artikel 22 DSGVO nicht allein auf automatisierter Verarbeitung beruhen. Eine gesetzliche Regelung speziell für Deepfakes im Bewerbungsprozess gibt es bislang weder im deutschen Arbeitsrecht noch im Datenschutzrecht.

Wie Unternehmen bereits reagieren

Die Antworten aus der Praxis sind bemerkenswert nüchtern und wenig technikverliebt. Laut aktuellen Erhebungen führen 72,4 Prozent der Recruiting-Verantwortlichen inzwischen wieder verpflichtende Präsenz-Interviews durch, zumindest für Abschlussrunden. Google und McKinsey haben für bestimmte Rollen feste Präsenztermine reaktiviert, weil physische Anwesenheit die Deepfake-Hürde deutlich erhöht, auch wenn dieser Ansatz für die Eingangsfilterung großer Bewerberpools nicht skaliert. Rund 20 Prozent der Arbeitgeber prüfen zudem Bewerbungsgebühren von umgerechnet 10 bis 25 Euro, um automatisierte Massenbewerbungen ökonomisch unattraktiv zu machen, wobei diese Maßnahme umstritten ist, weil sie auch ernsthafte Kandidaten abschreckt. Spezialisierte Erkennungstools wie Moveris, Sherlock AI und GetReal Protect setzen inzwischen auf Echtzeitanalyse während laufender Remote-Interviews.

Auf regulatorischer Ebene bremst der EU AI Act zumindest einen Teil des Problems: KI-Systeme, die im Recruiting vom CV-Screening bis zur automatisierten Vorauswahl eingesetzt werden, gelten als Hochrisiko-Anwendungen und unterliegen Transparenzpflichten, Bias-Audits und Dokumentationsanforderungen. Das eingehende Problem gefälschter Bewerber-Identitäten adressiert die Verordnung damit allerdings nur indirekt, denn sie reguliert die KI-Systeme der Arbeitgeber, nicht die Täuschungswerkzeuge der Bewerber.

Warum klassische Bewerbermanagementsysteme nicht mehr ausreichen

Ein zentrales Problem liegt im Werkzeug selbst: Bewerbungs-Tracking-Systeme arbeiten überwiegend mit Keyword-Matching, genau der Schwachstelle, die KI-generierte Bewerbungen gezielt ausnutzen. Der HR-Vordenker Ben Eubanks bringt das Dilemma auf den Punkt: Es gebe keine Zukunft, in der Bewerber-KI dauerhaft bessere Ergebnisse liefere, wenn sie gegen Recruiting-KI antrete, weil sich beide Systeme gegenseitig auf Keyword-Optimierung hochschaukeln, ohne dass echte Eignung dabei besser sichtbar wird. Der Trend geht deshalb weg von reiner ATS-Filterung hin zu Arbeitsproben, strukturierten Interviews und verifizierten Skills-Checks, also Verfahren, die sich nicht allein aus einem Dokument heraus fälschen lassen.

Praxis: So schützen Sie Ihren Auswahlprozess

Angesichts der rechtlichen Unsicherheit und der technologischen Dynamik sollten Unternehmen jetzt handeln, statt auf eine gesetzliche Klarstellung zu warten:

• HR und Führungskräfte sensibilisieren. Wer nicht weiß, dass Deepfake-Bewerbungen existieren, erkennt sie auch nicht. Schulen Sie alle am Auswahlprozess Beteiligten für typische Anzeichen wie unnatürliche Pausen vor Antworten oder minimale Unstimmigkeiten in Mimik und Tonlage.
• Interne Richtlinien festlegen. Definieren Sie schriftlich, wie mit KI-gestützten Bewerbungen umgegangen wird und ab welchem Verdachtsgrad zusätzliche Prüfschritte greifen, statt das im Einzelfall spontan zu entscheiden.
• Identität in Schlüsselmomenten verifizieren. Ein Präsenztermin oder ein kurzer, spontaner Zusatzcheck während des Videointerviews, etwa das Hochhalten der Hand vor die Kamera, erhöht die Hürde für Deepfakes erheblich, ohne den gesamten Prozess zu verlangsamen.
• Transparent kommunizieren. Informieren Sie Bewerbende offen darüber, welche Prüfmechanismen zum Einsatz kommen. Das stärkt das Vertrauen der ehrlichen Mehrheit und wirkt zugleich abschreckend auf Betrugsversuche.
• Alle Schritte dokumentieren. Gerade bei Verdachtsfällen ist eine lückenlose Dokumentation entscheidend, um sich im Streitfall rechtlich absichern zu können, denn eine gesetzliche Beweislastregelung existiert für diesen Bereich bislang nicht.

Fazit

Deepfake-Bewerbungen sind kein Science-Fiction-Szenario mehr, sondern ein operatives Risiko, das in jeder digital geführten Recruiting-Pipeline auftauchen kann. Wer glaubt, ein sauber formatierter Lebenslauf und ein flüssiges Videointerview seien automatisch ein Echtheitsbeweis, unterschätzt, wie günstig und schnell sich beides heute fälschen lässt. Die gute Nachricht: Die wirksamsten Gegenmaßnahmen sind weder teuer noch hochkomplex, sondern eine Frage von Prozessdisziplin, klaren Richtlinien und dem Mut, an entscheidenden Stellen wieder auf persönlichen Kontakt zu setzen. Recrutis unterstützt Sie dabei, Ihren Auswahlprozess so zu gestalten, dass er sowohl effizient als auch belastbar gegenüber Täuschungsversuchen bleibt.