Verdeckte Ermittlungen: KI als Turbo für Liebesbetrug

Als jemand, der seit über 20 Jahren in der Branche tätig ist, habe ich schon so manche Online-Betrügereien erlebt. Aber das ist die Art von Geschichte, die man nicht ganz glauben kann, wenn man sie hört. Auf der letzten RSA-Cybersecurity-Konferenz gab ein Kollege von mir – ein CISO, der voll und ganz der IT-Sicherheit verschrieben ist – zu, dass er auf einen sogenannten „Romance Scam“ hereingefallen war, eine Form von Online-Liebesbetrug. Mein erster Gedanke war: Wie? Wie kann jemand, der sich so gut mit Risiken auskennt, der sein Leben damit verbringt, Warnsignale zu identifizieren und technische Kontrollen zu implementieren, der alle klassischen Tricks kennt, letzten Endes selbst darauf hereinfallen?

Seine Antwort war ein Weckruf für uns alle. Er hatte alles nach Vorschrift gemacht, dachte er jedenfalls. Er achtete auf die üblichen Anzeichen, aber der Betrüger am anderen Ende des Bildschirms hatte ein neues, mächtiges Werkzeug in seinem Arsenal: einen überzeugenden Deepfake-Videoanruf. Diese eine kurze „Live“-Interaktion reichte aus, um eine Vertrauensbasis aufzubauen. Was folgte, war ein schmerzlicher finanzieller Verlust.

Seine Geschichte brachte mein Blut in Wallung. Sie macht deutlich, dass das alte Regelwerk nicht mehr ausreicht. Das Spiel hat sich verändert. So wie Cyber-Bedrohungsakteure sich mit KI-Technologien „ausrüsten“, erklimmen auch ihre Betrüger-„Brüder“ mit KI die nächste Stufe. Um herauszufinden, wie sehr, beschloss ich, unterzutauchen, ein Honeypot-Profil zu erstellen und zu sehen, was moderne Betrüger wirklich vorhaben und welche Taktiken, Methoden und Verfahren (Tactics, Techniques & Procedures, TTPs) sie anwenden.

Den Köder auslegen

Um den Feind zu verstehen, muss man sich in seiner Welt bewegen. Ich habe ein Profil erstellt, das als unwiderstehlicher Köder dienen sollte: ein 40-jähriger, muskulöser, gut ausgebildeter Surfer, der in Australien seinen Traum lebt und nach einer bedeutungsvollen Beziehung sucht. Mit meinen eigenen KI-Tools habe ich Profilbilder erstellt und die Biografie so abgestimmt, dass sie möglichst viele Betrüger auf den großen internationalen Dating-Seiten anlockt (die typischen lokalen „Abschleppseiten“ ausgenommen).

Die Ergebnisse waren unmittelbar und sehr aufschlussreich. Was ich fand, war eine Mischung aus denselben alten Tricks, aufgeladen mit neuer Technologie und einer Kaskade von KI-„Schund“.

Die klassischen „roten Fahnen“ wehen noch immer

Um es gleich vorweg zu nehmen: Die Taktiken der alten Schule sind nicht verschwunden – sie sind die Grundlage fast jedes Betrugs. In meinem Experiment waren die leicht erreichbaren Erfolge universell.

Bei jeder einzelnen von 12 direkten Interaktionen mit Betrügern:

• Wurde die Biografie meines Profils widergespiegelt: Sie haben ihre Unterhaltungen geschickt auf meine erfundenen Interessen und Wünsche abgestimmt und so eine Verbindung geschaffen, die zu schön war, um wahr zu sein. Es ist der älteste Trick im Buch: einem das Gefühl zu geben, seine(n) Seelenverwandte(n) gefunden zu haben.
• Versuchte man, den Chat von der Dating-App weg zu verlagern: Dies ist ein deutliches Warnsignal. Alle 12 Betrüger wollten schnell zu weniger sicheren, anonymeren Messaging-Apps wechseln. Am beliebtesten war WhatsApp (was 6 der 12 verwendeten), gefolgt von Telegram, Signal, Discord, Zangi, Google Chat und E-Mail. Dieser Schritt ist dafür gedacht, die Opfer von den Sicherheits- und Meldefunktionen der Dating-Plattform zu isolieren und noch weiter in die Welt der Betrüger zu ziehen.
• Suchte man subtil nach personenbezogenen Informationen: Die Gespräche waren eine Meisterstunde in Sachen Social Engineering. Man fragte nicht nur nach meinem Tag, sondern zielte auch auf Details über Familienmitglieder, meinen Job, meinen Standort und mein Leben ab, die gegen mich verwendet werden könnten. Die Betrüger bauten ein Profil auf, das sie wiederverwenden könnten, wenn sie meine Identität stehlen oder mich zu Direktzahlungen für einen Betrug zwingen wollten.

Es ist anzumerken, dass die Verhaltensweisen bis zu diesem Punkt alle als klassische und verständliche Hinweise für jemanden erklärt werden können, der einfach nur versucht, eine(n) Seelenverwandte(n) zu finden. Von nun an wurden sie jedoch weniger akzeptabel:

• Sie wurden aggressiv, wenn man sie herausforderte: Wenn ich anfing, die Geschichten in Frage zu stellen, die die Betrüger erzählten, änderte sich ihr Verhalten. Sie versuchten zu streiten, mir Schuldgefühle einzureden und meine Emotionen zu manipulieren, um die Kontrolle zurückzugewinnen. 
• Sie verweigerten oder fanden Ausreden für direkte Verifizierung: Die klassische Weigerung, ihre Identität zu verifizieren, war ein gemeinsamer Nenner der Betrüger (außer in zwei Fällen, die wir später untersuchen werden). Die meisten erfanden endlose Ausreden, um einen Videoanruf zu vermeiden oder eine einfache, einzigartige Bitte abzulehnen, wie das Senden eines spontanen Selfies, auf dem sie ihre Nase berühren oder eine andere bestimmte Pose einnehmen.

Das neue Arsenal: KI-gestützte Täuschung

Das ist die Stelle, an der es gruselig wird. Betrüger nutzen mittlerweile KI, um ihre Betrügereien glaubwürdiger und skalierbarer zu machen. Das ist keine Science-Fiction, sondern passiert jetzt gerade. Schauen wir uns das genauer an:

• KI-generierte Unterhaltungen: In meinem Experiment nutzten 11 von 12 Betrügern KI wie ChatGPT, um ihre Nachrichten zu verfassen und es ihnen zu ermöglichen, Ziele massenweise zu erreichen. Die Gespräche fühlten sich natürlich, fesselnd und emotional intelligent an, da sie alle durch ein ausgeklügeltes Sprachmodell abgestimmt waren. Tipp vom Profi: Sie können Feuer mit Feuer bekämpfen. Wenn Ihnen eine Konversation ein wenig zu perfekt vorkommt, kopieren Sie den Text und fügen Sie ihn in ein KI-Tool zur Texterkennung wie phrasly.ai ein. Dies kann Ihnen helfen zu erkennen, ob Sie mit einer Person, einem Bot oder einem LLM sprechen.
• KI-generierte Fotos zur Verifizierung: Als ich einen Betrüger dazu drängte, ein einzigartiges Selfie zu machen, weigerte er sich nicht einfach: Er schickte ein Bild zurück, das auf den ersten Blick legitim aussah. Bei näherer Betrachtung handelte es sich jedoch eindeutig um ein KI-generiertes Bild – wahrscheinlich eine Zusammenstellung gestohlener Fotos, die zusammengefügt wurden, um meine Anfrage zu erfüllen. Tipp vom Profi: Betrüger setzen aktiv KI ein, um die „Proof of Life“-Tests zu umgehen, von denen uns beigebracht wurde, dass wir uns auf sie verlassen könnten. Es gibt allerdings auch Online-Tools, in die man Inhalte hochladen kann, um zu überprüfen, ob die Bilder ebenfalls KI-manipuliert wurden, wie z. B. WasItAI oder Decopy AI.
• Deepfake-Videoanrufe: Das ist der revolutionäre Clou, mit dem mein Kollege hereingelegt wurde. Auch einer der Betrüger, mit denen ich interagiert habe, stimmte einem Videoanruf zu. Etwa 20 Sekunden lang sah ich eine Person, die wirklich genau so aussah wie auf den Bildern im Profil. Ihr Gesicht war nahezu perfekt gefälscht. Das Video war ruckelig, und der Betrüger gab schnell einer „schlechten Verbindung“ die Schuld, bevor er auflegte. Diese wenigen Sekunden waren jedoch unglaublich überzeugend und es ist verständlich, dass sie viel zum Aufbau von Vertrauen beitragen konnten. Tipp vom Profi: Die Technologie ist da, und sie wird eingesetzt, um unsere letzte Verteidigungslinie zu zerstören: die visuelle Verifizierung. Sie muss jedoch noch weiter verfeinert werden. Es gibt einige Tests, die Sie durchführen können: Achten Sie auf Augenbewegungen, Formschwankungen auf dem Bildschirm, unnatürliches Blinzeln, Flackern um die Augen und seltsame Beleuchtung oder Schatten. 

Die unvermeidliche Bitte um Ihr Geld – nicht Ihr Herz.

Egal mit welcher Methode, das Endziel ist immer dasselbe. Jeder Betrüger erzählte schließlich eine rührselige Geschichte, die darauf abzielte, das Herz zu erweichen und die Brieftasche zu öffnen. Die Anfragen selbst waren unterschiedlich, aber die Themen waren einheitlich:

• eine Investitionsmöglichkeit in Kryptowährungen, die man „nicht verpassen durfte“: eine Einladung, OnaChain zu nutzen und einen Mining-Pool für einen DefiFund zu teilen
• Unterstützung bei der Zahlung der Miete, um eine Zwangsräumung zu vermeiden
• dringend benötigte Mittel für ein krankes oder sterbendes Familienmitglied, das im Krankenhaus liegt
• die Bitte um den Kauf von Apple-Geschenkkarten
• die Verwendung von gängigen einmaligen Krypto-Zahlungen (Conbase) für BookingID-Betrug

Wie Sie sich oder andere im Zeitalter der KI schützen können

Der Aufstieg des Online-Datings in Kombination mit zugänglicher KI schafft eine gefährliche Mischung, die alle unvorbereitet trifft – von der breiten Öffentlichkeit bis hin zu technisch versierten Fachleuten. Was wir brauchen, ist eine neue Ebene der Bildung jenseits der Klassiker.

1. Vertrauen Sie niemanden vor einer vollständigen Verifizierung: Nehmen Sie nichts für bare Münze. Ein kurzer, ruckeliger Videoanruf ist kein Beweis mehr, für gar nichts. Bestehen Sie auf einem längeren, klareren Anruf. Bitten Sie die Person, vor der Kamera etwas Unvorhersehbares zu tun, wie z. B. Ihren Namen auf ein Stück Papier zu schreiben oder ihr Gesicht zu berühren, um die Maskierung der Deepfake-KI zu durchdringen, und seien Sie sich bewusst, dass selbst diese Verifizierungsmethoden nicht fehlerfrei sind. Letztendlich werden KI-Tools es schnell einfacher machen, jeden digitalen Test zu bestehen (es sei denn, Sie beginnen, staatlich geförderte MFA-Dienste in Ihrem Dating-Leben zu nutzen), sodass die Überprüfung der Identität in einer realen Offline-Situation wahrscheinlich immer wichtiger wird.
2. Verwenden Sie KI-Detektoren: Wenn sich das Gespräch makellos und „zu sehr auf den Punkt“ anfühlt, lassen Sie die Nachrichten durch ein KI-Texterkennungstool laufen. Das ist ein einfacher Check, der die Wahrheit offenbaren kann – oder einen Bot am anderen Ende der Leitung. 
3. Stellen Sie extrem spezifische Fragen: Die von ausländischen Betrügern generierten KI-Antworten stolpern oft über Nischen- und Ortskenntnisse. Ein perfektes Beispiel: der Betrüger, der behauptete, Snowboarding in Kanada zu lieben, aber Miami, Florida als Antwort nannte, als er nach seinem Lieblingsresort gefragt wurde. Fragen Sie nach einem lokalen Café, einer bestimmten Straße oder einer regionalen Veranstaltung.
4. Achten Sie auf die Klassiker: Die alten Warnsignale sind immer noch Ihre erste Verteidigungslinie. Verlagern Sie das Gespräch niemals sofort von der Plattform weg, legen Sie niemals detaillierte personenbezogene Informationen offen und senden Sie niemals Geld an jemanden, den Sie nicht kennen und mit dem Sie keine reale Beziehung haben.
5. Bitten Sie sie um ein persönliches Treffen: Sagen Sie der Person, dass Sie in der Stadt (d. h. dort, wo sie ihrer Aussage nach lebt) sind und bitten Sie sie um ein persönliches Treffen. Dies zwingt Betrüger in der Regel dazu, zu handeln, und bringt sie in eine unangenehme Lage, in der sie sofort zurückschießen müssen (siehe oben).
6. Nutzen Sie Ihre eigene KI, um „Deep Research“ zu betreiben: Die Durchführung Ihrer eigenen KI-gestützten OSINT auf der Grundlage der Informationen, die Sie von der Person haben (sei es in Form von Brotkrumen oder Namen und Orten, die Sie online aufgeschnappt haben), hilft Ihnen, legitime Nutzer von der Spreu zu trennen. Die „Deep Research“-Funktionalität von Gemini war ziemlich gut darin, bei einer Person Detektiv zu spielen, indem sie mithilfe einer Reihe von gut ausgearbeiteten Eingabeaufforderungen mehrere Websites, öffentliche Register und Aufzeichnungen sowie verschiedene Community-Posts umfassend durchforstete. 
7. Wenden Sie sich an unabhängige Social-Catfish-Firmen, wenn Sie sich immer noch nicht 100-prozentig sicher sind: Wenn alles andere fehlschlägt, gibt es eine Reihe unabhängiger Firmen, die (gegen eine Gebühr) Überprüfungen durch Dritte anhand bekannter Catfish-Datenbanken mit Profilen und anderen Maßnahmen durchführen. Welchen Preis hat wahre Liebe?

KI hat die Welt des Liebesbetrugs komplexer gemacht, aber sie hat ihn nicht unschlagbar gemacht. Indem wir informiert und wachsam bleiben, die neuen TTPs erlernen und KI nutzen, um KI-gestützten Betrügereien entgegenzuwirken, können wir lernen, den „Geist in der Maschine“ zu erkennen und unsere Herzen sowie unsere Brieftaschen zu schützen. 

Indem ich die Erfahrungen meines Kollegen und die daraus gezogenen Lehren mit Ihnen teile, hoffe ich, das Bewusstsein für die Gefahren von KI-gestütztem Liebesbetrug zu schärfen und Sie in die Lage zu versetzen, sich und Ihre Liebsten zu schützen. Bleiben Sie online sicher!

Wenn Sie mehr darüber erfahren möchten, wie böswillige Akteure Anfälligkeit im Zusammenhang mit der Liebe ausnutzen können, lesen Sie den Blogartikel Wie Verletzlichkeit Sie am Valentinstag zum Opfer machen kann