#137 - Du bist klonbar. 30 Cent reichen. Realtime-Deepfake-Betrug und der DACH-Mittelstand

Du bist klonbar. Auch du. Jede Person, die diesen Podcast hört, ist heute mit dem Audio klonbar — und auch im Video. Die Software ist so gut, dass eineinhalb bis zwei Minuten Video reichen. Mit Audio noch weniger: 30 bis 40 Sekunden von einem Anruf.

Wenn du denkst, das ist übertrieben — geh auf TikTok, tipp Patrycek ein. P-A-T-R-Y-C-Z-E-K. Ein 13-14-jähriger Junge, ein bisschen übergewichtig. Er drückt einen Knopf und schaut aus wie Brad Pitt. Bewegt sich wie Brad Pitt. Vor einem Monat gab es ihn nicht. Heute: 104 Millionen Views.

Auf der einen Seite cool. Auf der anderen Seite — Leute — das ist eine Hacking-Anleitung für 30 bis 50 Cent.

Erinnert ihr euch an die Arup-Story aus Hongkong, Januar 2024? Eine Mitarbeiterin bekommt einen Teams-Call. Der CFO. Der ganze Vorstand sitzt mit am Tisch. Sie macht über 15 Transaktionen 25 Millionen Dollar Überweisungen. Jede Person in dem Call war fake. Damals: hunderttausende Dollar Investment. Heute, zwei Jahre später: 30 Cent.

🔧 Drei Technologien, die heute gestapelt werden

• Echtzeit-Deepfake — dein Gesicht wird im Live-Call ersetzt, Millisekunden-Latenz. Stimme auch. Teuer, aber in 6 Monaten überall.
• Face-Swap-Pipeline — günstig und ausgereift. Funktioniert in Streams. Wenn Audio fehlt: "Sorry, Audio kaputt, ich tippe."
• Voice Cloning — billigste und reifste Technologie. Läuft lokal. 30 Sekunden Quellaudio reichen.

📱 Wo das Zeug verkauft wird: Telegram

Nicht auf einer Website namens deepfake-store.com. Auf Telegram-Kanälen mit tausenden Mitgliedern. Du trittst bei, fragst "ich möchte X machen" — Minuten später bietet jemand dir einen Demo-Call an. Same Playbook wie legitimer Enterprise-Software-Verkauf.

Eine genannte Software: Haotian AI. Chinesisches Real-Time-FaceSwap. Mit Kundensupport. Update-Protokollen. Tutorials. Direkt integriert in WhatsApp, Teams und Zoom. Ehrlich gesagt — SAP und die großen Software-Häuser sollten sich das anschauen. Besser integriert als die meiste legitime Software 2026.

Preise im SaaS-Stil: 100 Dollar/Monat Einstieg, mehrere tausend für High-Quality-Modelle mit niedriger Latenz. Fraud-as-a-Service hat SaaS-Reife erreicht.

🐷 Pig Butchering 2.0 — alte Scams, neue Gesichter

Das ist kein neuer Scam. Junge Männer in Nigeria und Ghana machen das seit Jahrzehnten. Fake-romantische Personas. Frauen ab 40-50, oft geschieden. Über Monate aufwärmen. "Ich liebe dich, schickst du mir Geld für mein Flugticket?" Slow extraction. Hat sogar einen Namen: Pig Butchering — du nimmst ein Schwein und schneidest es langsam.

Vor heute: detektierbar. Falscher Akzent, falsches Foto, falscher Rhythmus. Heute: 25-jähriger aus Wien. Oder 25-jährige aus Hannover. Mit dem richtigen Gesicht. Der richtigen Stimme. Dem richtigen Akzent. Decades-alte Scam-Playbooks plötzlich enhanced.

US-Betrugsverluste in dieser Kategorie: 12 Milliarden Dollar in 2023 → 40 Milliarden bis 2027. 30% Wachstum pro Jahr.

🇩🇪 Warum DACH-Mittelstand das perfekte Ziel ist

"Malcolm, ich bin glücklich verheiratet, mich betrifft das nicht." Stopp. Hör zu.

Österreichischer Mittelstand. Schweizer Family Offices. GmbH-Inhaber. Firmen zwischen 200 und 2.000 Leuten, dritte oder vierte Generation. Wenn der CFO anruft und "dringend" sagt — die Leute machen schnell. Hierarchie ist real. Genau diesen Kultur-Reflex zielen die neuen Scammer an.

Family Office Zürich — Teams-Call, dringende Immobilien-Überweisung, deal schließt heute. Die Assistentin kennt das Gesicht, die Stimme, den Reiseplan. Was nicht existiert: ein formales Rückruf-Protokoll. Trust ist das Betriebssystem. Dieses Trust kann heute auf Telegram für 500 Euro/Monat gemietet werden.

IT-Passwort-Reset — Werksleiter ruft IT auf Teams an, "ich stecke beim Kunden, mein Passwort ist blockiert." Der IT-Mitarbeiter sieht das Gesicht, hört die Stimme, gibt den Reset frei. Perfekter Eingang für Ransomware. Nicht dein Passwort. Die Schlüssel zur ganzen Firma. (Die Nordkoreaner sind darin top — andere Episode.)

🔍 Detection ist ein verlorenes Spiel. Protokoll nicht.

"Können wir Software kaufen, die Deepfakes erkennt?" — Kind of yes, mostly no. Detection-Software existiert, wird besser. Aber strukturell: sobald ein Detektor gut wird, testen die Angreifer dagegen und routen drumherum. Antivirus 1990 Arms-Race, nur schneller.

🖐️ Ein kostenloser Trick: Wenn du im Call jemandem nicht traust — sag "kannst du einen Stift nehmen und vor der Kamera drehen?" Heutige Face-Swap-Modelle sind schlecht bei kleinen motorischen Bewegungen, die das Gesicht überlappen. Die Finger werden glitchen.

🎯 Fünf Montag-Aktionen

1. High-Risk-Action-Liste. Eine Seite, 5 Items. Was kann NICHT per Telefon/Teams genehmigt werden. Überweisungen >10.000 EUR. IT-Admin-Passwort-Resets. Vendor-Bankdaten-Änderungen. Document-Signing unter Zeitdruck. Payroll-Routing-Änderungen.

2. Codewort-System. Ein Wort. Wechselt alle 90 Tage. Wird in Person ausgemacht, nie aufgeschrieben. Bei sensiblen Aktionen: "Was ist unser Codewort dieses Quartals?" Kann er nicht antworten — Call vorbei. Mache ich in meiner Fa