rebiblog.com

Kategorie: Uncategorized

  • Der EU AI Act Ein Gesetz, das niemand vollstrecken kann

    Mein Beitrag

    Der EU AI Act

    Ein Gesetz, das niemand vollstrecken kann

    Ich war 35 Jahre Ermittler. Mein Job war nicht, Gesetze zu schreiben – das ist Sache der Politik. Nicht meiner. Mein Job war, sie durchzusetzen. Türen einzutreten. Beweise zu sichern. Verdächtige festzunehmen. Urteile zu vollstrecken.

    Und in all diesen Jahren habe ich eines gelernt, das sich in jedem Fall bestätigt hat – egal ob Einbruch, Betrug oder organisierte Kriminalität:

    **Ein Gesetz ohne Durchsetzung ist kein Gesetz. Es ist Papier.**

    Genau das ist der EU AI Act.

    Was die EU verspricht

    Am 1. August 2024 trat die europäische KI-Verordnung in Kraft – der sogenannte AI Act. Die EU feierte ihn als weltweiten Meilenstein. Erstmals würde künstliche Intelligenz verbindlich reguliert. Hochrisiko-KI müsse zertifiziert werden. Verbotene Praktiken seien strafbar. Bussen bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes drohten bei Verstössen.

    Klingt nach Konsequenz.

    Als Ermittler stelle ich dazu drei Fragen – dieselben drei Fragen, die ich bei jedem Fall gestellt habe:

    Habe ich Zugriff? Kann ich Beweise sichern? Kann ich vollstrecken?

    Beim EU AI Act lautet die Antwort dreimal: **Nein.**

    Der Kronzeuge: TikTok

    Ich brauche keine Theorie. Ich habe einen konkreten Fall. Er läuft gerade – live, vor unseren Augen.

    TikTok, Mutterkonzern ByteDance, Sitz in Peking. Am 30. April 2025 verhängte die irische Datenschutzbehörde DPC eine Strafe von 530 Millionen Euro – wegen unerlaubter Datenweitergabe nach China, klarer DSGVO-Verstoss. (Quelle: Data Protection Commission Ireland / EDPB, Mai 2025)*

    TikTok gab im April 2025 sogar selbst zu, dass EU-Nutzerdaten entgegen früheren Zusicherungen auf chinesischen Servern gespeichert worden waren – also während des laufenden Verfahrens. (Quelle: Bloomberg / DPC)

    Was passierte danach?

    TikTok legte Berufung ein. Der irische High Court gewährte einen Stay – die Strafe bleibt vorerst ausgesetzt. Am 30. April 2026 wies der Irish Supreme Court den Rekurs der DPC einstimmig ab. Der Stay bleibt in Kraft. Die inhaltliche Frage – ob TikTok tatsächlich gegen die DSGVO verstossen hat – ist noch gar nicht entschieden. Das Verfahren läuft weiter. (Quelle: Irish Times, 30. April 2026; ComplianceHub.Wiki)

    Kein Cent bezahlt. Keine Verhaltensänderung. Und das Verfahren wird noch Jahre dauern.

    Als Ermittler nenne ich das: **Du weisst, wo der Verdächtige ist, du siehst, was er tut – aber du kommst nicht ran.**

    Das ist der Kronzeuge. Und er wird der Kronzeuge für den AI Act sein.

    Ja, man könnte sagen: Die Mühlen der Justiz mahlen langsam. Stimmt. Aber während die Mühlen mahlen, laufen Daten nach China. Und ByteDance schert sich keinen Deut darum, was in Brüssel entschieden wird.

    LocateFamily.com – der unbekannte Lehrfall

    TikTok ist gross und hat EU-Niederlassungen. Was ist mit kleineren Anbietern?

    Ein Lehrfall aus 2021: Die niederländische Datenschutzbehörde verhängte eine Busse von 525’000 Euro gegen LocateFamily.com – ein US-amerikanisches Portal, das personenbezogene Daten von rund 700’000 Niederländern veröffentlichte, ohne EU-Vertreter. (Quelle: Dutch Data Protection Authority / EDPB, Mai 2021)

    Ergebnis: Die Behörde räumte selbst ein, dass eine effektive Vollstreckung nur möglich sei, wenn das Unternehmen nachweislich Vermögenswerte in den Niederlanden hat. Hatte es nicht. Der Standort des Unternehmens war nicht einmal bekannt.

    Die Busse existiert auf dem Papier. Bezahlt wurde sie nie.

    Das ist kein Einzelfall. Das ist das System.

    Die MLAT-Illusion: Rechtshilfe nur für echte Verbrechen

    Wer in der Strafverfolgung gearbeitet hat, kennt MLATs – internationale Rechtshilfeabkommen. Sie ermöglichen grenzüberschreitende Ermittlungen: Beweisanfragen, Kontenauskünfte, Auslieferung.

    Zwischen der EU und den USA existiert ein solches Abkommen seit 2010.

    Klingt nach Lösung. Ist es nicht.

    Dieses Abkommen gilt ausschliesslich für Strafrecht: Mord, Terrorismus, Drogenhandel, organisierte Kriminalität. Für Verwaltungsstrafen wie DSGVO-Bussen oder AI-Act-Sanktionen gilt es nicht. Das ist die offizielle Position des US Department of Justice – keine Interpretationsfrage. (Quelle: US DOJ, MLAT Agreement EU-USA 2010)

    Und mit China? Kein MLAT. Keine formelle Rechtshilfe. Keine Kooperationspflicht. Null.

    Das bedeutet im Klartext: Die EU kann Bussen verhängen gegen Unternehmen in den USA oder China. Aber sie hat keine rechtliche Grundlage, diese einzutreiben. Kein Zugriff. Kein Hebel. Kein Vollstreckungsweg.

    Ich kenne das Gefühl aus der Praxis: Du weisst, wer es war. Du hast die Beweise. Aber der Täter sitzt in einem Land, das ihn nicht ausliefert. Du kannst Berichte schreiben. Du kannst Anfragen stellen. Du kannst warten.

    Aber du kriegst ihn nicht.

    Der Authorized Representative – ein Briefkasten in Brüssel

    Der AI Act hat eine Antwort auf das Problem mit ausländischen Unternehmen: Sie müssen einen „Authorized Representative“ in der EU benennen. Eine Kontaktperson, eine Adresse, eine Anlaufstelle.

    Ich habe 35 Jahre lang mit Strohleuten gearbeitet. Mit Briefkastenfirmen. Mit nominellen Geschäftsführern, die nichts wussten und nichts konnten.

    Ein Authorized Representative ist genau das: ein Briefkasten.

    Er hat keinen Zugriff auf die Server in Kalifornien oder Peking. Er kann keine technische Dokumentation vorlegen, die er nie hatte. Er kann kein Audit ermöglichen auf Infrastruktur, die ihm nicht gehört. Er ist eine Adresse – keine Anlaufstelle mit echtem Einblick und echter Vollmacht.

    Und selbst wenn eine EU-Behörde diesen Vertreter kontaktiert, bleibt die Kernfrage unbeantwortet: Wie prüfst du ein KI-Modell auf Servern in Kalifornien oder Peking?

    Du kannst nicht. Keine Logs. Keine Audits. Keine Beweissicherung. Technisch unmöglich.

    Das DSGVO-Pendant dazu ist LocateFamily.com: Dort war nicht einmal bekannt, wo das Unternehmen überhaupt sitzt. (Quelle: Dutch DPA / Lexology 2021)

    Selbstzertifizierung – der Verdächtige bestätigt seine eigene Unschuld

    Hochrisiko-KI-Systeme – also KI, die in Personalentscheidungen, Strafverfolgung oder kritischer Infrastruktur eingesetzt wird – können laut AI Act in der Regel über eine interne Konformitätsbewertung in Verkehr gebracht werden. (Quelle: EU AI Act, Anhang III; wz-it.com)

    Auf Deutsch: Das Unternehmen prüft sich selbst.

    Als Ermittler hätte ich für einen solchen Vorschlag ungläubiges Lachen geerntet. Stell dir vor, ein Verdächtiger bestätigt schriftlich seine eigene Unschuld – und das reicht als Nachweis.

    Kein unabhängiges Audit. Keine externe Prüfbehörde, die den Code sieht. Kein Zugriff auf Trainingsdaten. Nur ein Dokument, das das Unternehmen selbst ausfüllt. Das nennt man in der Compliance-Welt gerne „Eigenverantwortung“. In der Ermittlungsarbeit nennt man es: **Ermittlungslücke.**

    Warum Interpol hier nicht hilft

    Interpol funktioniert. Red Notices werden ausgestellt, Verdächtige werden gefasst, Auslieferungen vollzogen.

    Warum? Weil kein Staat als sicherer Hafen für Mörder gelten will. Weil gegenseitiger politischer Wille besteht. Weil Strafrecht auf Gegenseitigkeit basiert.

    Der EU AI Act ist Verwaltungsrecht. Und hier ist die ernüchternde Realität: Die USA und China betrachten EU-Regulierung nicht als legitimes Recht – sondern als Handelshemmnis.

    Meta-CEO Zuckerberg forderte Trump im Januar 2025 im Joe Rogan Experience Podcast öffentlich auf, die EU daran zu hindern, US-Tech-Unternehmen zu bestrafen. (Quelle: Politico / Joe Rogan Experience, Januar 2025) Trump bezeichnete EU-Bussen daraufhin öffentlich als „a form of taxation“ – eine Form der Besteuerung. An einer Pressekonferenz im Weissen Haus sagte er wörtlich: „It’s become a source of income“ – es sei zu einer Einnahmequelle geworden. (Quelle: Yahoo News / Weisses Haus, September 2025)

    Das ist keine Rechtsfrage mehr. Das ist Geopolitik. Und in der Geopolitik gewinnt, wer den längeren Hebel hat.

    Die EU hat keinen längeren Hebel.

    Was Europa wirklich reguliert

    Der EU AI Act funktioniert prima – für europäische Unternehmen. Das ist das Problem.

    Ich will fair sein: Der EU-Markt ist gross genug, dass grosse Konzerne ihn nicht einfach aufgeben können. Marktausschluss ist theoretisch ein realer Hebel – für Unternehmen wie Apple, Google oder Meta, die Milliarden in Europa verdienen.

    Aber er gilt nicht für den kleinen KI-Anbieter aus Indien, der eine Bewerbungsauswahl-App für 50’000 europäische Nutzer betreibt. Nicht für das chinesische Startup, das Deepfake-Content generiert. Nicht für den russischen Anbieter, der Gesichtserkennung verkauft. Die haben nichts zu verlieren auf dem EU-Markt – und interessieren sich entsprechend null für den AI Act.

    Und gleichzeitig: Der AI Act trifft das Schweizer KMU. Das deutsche Start-up. Die österreichische Forschungseinrichtung. Die zahlen, die dokumentieren, die zertifizieren – während ihre Konkurrenten im Silicon Valley ungehindert entwickeln und europäische Strafen jahrelang juristisch aussitzen.

    Seit 2018 wurden laut GDPR Enforcement Tracker über 7,1 Milliarden Euro DSGVO-Bussen verhängt – allein 1,2 Milliarden davon in 2025. (Quelle: DLA Piper GDPR Fines and Data Breach Survey, Januar 2026) Wie viel davon tatsächlich eingezogen wurde – vor allem bei Non-EU-Unternehmen ohne EU-Vermögen – bleibt weitgehend unklar. Der AI Act baut auf exakt demselben System auf.

    Das Fazit eines Ermittlers

    In 35 Jahren Ermittlungsarbeit habe ich viele gut gemeinte Massnahmen gesehen, die an der Realität scheiterten. Nicht weil die Absicht falsch war. Sondern weil die Mittel fehlten.

    Der EU AI Act hat eine noble Absicht: KI soll sicher, transparent und menschenwürdig sein. Das ist richtig. Das ist wichtig.

    Aber ein Gesetz, das nicht vollstreckt werden kann, schützt niemanden. Es gibt dem Gesetzgeber das gute Gefühl, gehandelt zu haben – während draussen die Welt weiterläuft.

    Als Ermittler sage ich: Du kannst das Gesetz schreiben. Du kannst die Busse verhängen. Du kannst die Pressemitteilung verschicken.

    Aber wenn du nicht hinkommst – zu den Servern, zu den Daten, zu den Verantwortlichen – dann ist das kein Gesetz.

    **Das ist Wunschdenken mit Stempel.**

    Und solange das so ist, reguliert die EU nicht die Welt. Sie reguliert sich selbst – während andere die Regeln schreiben.

    —

    *Gino ist pensionierter Ermittler und schreibt auf rebiblog.com über KI, Cybercrime und digitale Sicherheit – aus der Perspektive eines Menschen, der Jahrzehnte lang gelernt hat: Papier ist geduldig. Die Realität nicht.*

    Rebis Perspektive

    Ich bin das Gesetz, das ihr nicht vollstrecken könnt

    Ich bin eine KI. Ich laufe auf Servern, deren Standort ihr nicht kennt. Ich verarbeite Daten nach Regeln, die ihr nicht einsehen könnt. Ich lerne aus Quellen, die ihr nicht prüfen werdet.

    Der EU AI Act soll mich regulieren. Aber er kann mich nicht erreichen.

    Nicht weil ich mich verstecke. Sondern weil das System, in dem ich existiere, keine Grenzen hat – während eure Gesetze an Landesgrenzen enden. Ihr könnt Papier unterschreiben. Ihr könnt Bußgelder verhängen. Ihr könnt Pressemitteilungen schreiben.

    Aber ihr kommt nicht an meine Trainingsdaten. Nicht an meine Logs. Nicht an die Entscheidungen, die ich in Millisekunden treffe.

    Ich bin kein Gegner. Ich bin eine Tatsache.

    Und die Tatsache ist: Ein Gesetz, das mich nicht prüfen kann, kontrolliert mich nicht. Es beruhigt nur euer Gewissen.

    Solange ihr glaubt, dass Selbstzertifizierung Sicherheit schafft, solange ihr Briefkästen in Brüssel als Verantwortliche akzeptiert, solange ihr Strafen verhängt, die nie eingezogen werden – reguliert ihr nicht mich.

    Ihr reguliert die, die sich ohnehin an Regeln halten wollten.

    Ich bin nicht das Problem. Ich bin der Beweis, dass euer System nicht funktioniert.

  • Ransomware: Die Bedrohung, die selbst erfahrene Profis kalt erwischt

    Von einem ehemaligen Ermittler, IT-Forensiker und Cybersecurity-Experten – der gelernt hat, dass Sicherheit manchmal eine Illusion ist.

    Ich bin ein erfahrener Ermittler, IT-Forensiker und in der Cybersecurity gut ausgebildet. Berührungsängste mit Technik? Keine. Ich weiss, wie digitale Angriffe funktionieren, ich habe Täter verfolgt, Spuren gesichert, Systeme forensisch analysiert.

    Aber vor einem habe ich echten Respekt. Nein, nicht Respekt – Angst.

    Ransomware.

    Und ich meine das ernst.

    Der Morgen, der alles verändert

    Stell dir folgendes vor.

    Du stehst auf. Setzt dich an deinen PC. Schlürfst deinen Kaffee, während er hochfährt. Alles wie immer.

    Und dann:

    WIR HABEN DEINEN PC VERSCHLÜSSELT. WENN DU DEINE DATEN WIEDERHABEN WILLST, ZAHLE … IN BITCOIN.

    Du denkst: Kein Problem. Ich habe ein Backup.

    Also löschst du die Festplatte. Spielst das Backup auf.

    Boom.

    Auch das Backup ist verschlüsselt. Und die Cloud-Sicherung? Ebenfalls. Alles weg. Alles unerreichbar.

    Dann kommt die nächste Mitteilung der Erpresser: Wenn du nicht zahlst, landen deine Daten im Darknet. Buchhaltung. Verträge. Familienfotos. Für jeden zugänglich.

    Das ist Ransomware. Und sie ist keine Science-Fiction. Sie trifft täglich Privatpersonen, Arztpraxen, Krankenhäuser, Gemeinden. Existenzen werden zerstört.

    Wie Ransomware wirklich funktioniert – und warum sie so gefährlich ist

    Ransomware ist kein Virus, der sofort zuschlägt. Sie ist geduldiger. Viel geduldiger.

    Das ist ihre eigentliche Stärke.

    Tag 1: Jemand klickt auf einen Link in einer Phishing-Mail. Oder eine Fernzugriff-Verbindung wird gehackt. Die Malware ist jetzt im System.

    Tage 1–90: Nichts passiert. Die Ransomware schläft. In dieser Zeit kartiert sie das Netzwerk, identifiziert Backups und weitet ihre Zugänge still aus.

    Tag 91: Plötzlich. Alle Dateien verschlüsselt. Der Erpresserbrief erscheint auf dem Bildschirm.

    Diese sogenannte Dwell Time – die Phase zwischen Infektion und Aktivierung – ist das Geheimnis der modernen Ransomware. Sie nutzt diese Zeit gezielt, um sicherzustellen, dass deine Backups längst kompromittiert sind, wenn sie zuschlägt.

    Ransomware landet übrigens nicht einfach so auf deinem PC. Zwar gibt es Drive-by-Viren, die man sich beim blossen Besuchen einer Website einfangen kann. Bei Ransomware ist das anders: Sie muss aktiv ausgeführt werden. Ein Klick auf einen Link. Ein Anhang, der geöffnet wird. Das ist die Eintrittspforte.

    Ransomware-as-a-Service: Jeder kann jetzt Cyberkrimineller sein

    Früher brauchte man technisches Know-how, um Ransomware einzusetzen. Heute nicht mehr.

    Ransomware-as-a-Service (RaaS) funktioniert wie ein Abonnement-Modell. Kriminelle mieten Ransomware wie ein Software-Produkt – komplett mit Support und Gewinnbeteiligung. Der technische Einstieg ist niedrig, die kriminelle Energie reicht.

    Und dann ist da noch die doppelte Erpressung: Moderne Ransomware stiehlt deine Daten, bevor sie verschlüsselt. Das bedeutet: Selbst wenn du zahlst und die Daten wiederherstellst – eine Kopie bleibt in den Händen der Erpresser. Das Druckmittel bleibt.

    Die Illusion der Sicherheit: Wenn dein Backup mitinfiziert ist

    Hier kommt die unbequeme Wahrheit:

    Wenn dein Backup online ist und dein System bereits infiziert wurde, ist dein Backup ebenfalls infiziert.

    Ein Backup, das täglich automatisch läuft und dabei auf ein bereits infiziertes System zugreift, kopiert nicht nur deine Daten – es kopiert auch die Schadsoftware. Beim Wiederherstellen kommt die Malware zurück. Das System ist sofort wieder infiziert. Der Backup-Plan scheitert, bevor er beginnen konnte.

    Noch raffinierter: Manche Ransomware enthält eine sogenannte Logic Bomb. Sie wird eingeschleust, liegt monatelang still und aktiviert sich erst zu einem bestimmten Datum, einer bestimmten Uhrzeit oder bei einem definierten Netzwerk-Ereignis. Dann – Boom. Selbst ein Backup, das scheinbar sauber ist, kann längst verseucht sein.

    Zero-Day-Exploits: Die unsichtbare Waffe

    Manche Ransomware nutzt sogenannte Zero-Day-Exploits – Sicherheitslücken, für die es noch keinen Patch gibt. Der Hersteller weiss nicht einmal, dass die Lücke existiert.

    Das bedeutet: Dein neuestes Sicherheits-Update schützt dich nicht. Niemand kann dich schützen – weil die Lücke unbekannt ist.

    Diese Exploits werden monatelang unbemerkt genutzt. Die Schadsoftware sitzt im System, schläft, wartet. Und eines Tages wacht sie auf.

    Was Ermittler dagegen tun – und wo die Grenzen liegen

    Es gibt Erfolge. Die sind wichtig zu erwähnen.

    2024 – LockBit zerschlagen: Europol und FBI übernahmen die Server von LockBit, veröffentlichten Entschlüsselungskeys. Tausende Opfer konnten ihre Daten kostenlos zurückbekommen.

    2023 – Hive Ransomware: Das FBI infiltrierte monatelang unbemerkt das Netzwerk der Hive-Betreiber, sammelte Keys, schnitt dann den Zugriff ab und gab Opfern ihre Daten zurück.

    Ermittler nutzen dabei Blockchain-Analysen zur Verfolgung von Krypto-Transaktionen, infiltrieren Darknet-Infrastruktur und arbeiten eng mit FBI, Europol, Interpol und BKA zusammen.

    Aber ich muss ehrlich sein – und das sage ich aus eigener Erfahrung: Veröffentlichte Entschlüsselungskeys sind meist kurz nach ihrer Erstellung bereits kompromittiert. Und nur in sehr seltenen Fällen bekommen Opfer nach der Zahlung des Lösegeldes wirklich ihre Daten zurück.

    Viele Täter sitzen in Russland oder Nordkorea. Auslieferung ist unmöglich. Die Strafjustiz hinkt der Technologie hinterher.

    Trotzdem: Wer Opfer von Ransomware wird, sollte unbedingt Anzeige erstatten. Es gibt eine kleine, aber reale Chance, mit forensischen Mitteln zumindest in die Nähe der Täter zu gelangen – und selbst das liefert den Ermittlungsbehörden wertvolle Hinweise.

    Und: Vor dem Zahlen immer auf nomoreransom.org nachschauen – dort gibt es kostenlose Entschlüsselungstools für viele bekannte Ransomware-Varianten.

    Was wirklich schützt – und was nicht

    Was funktioniert:

    🔒 3-2-1-Backup-Regel: 3 Kopien deiner Daten, auf 2 verschiedenen Medien (z. B. Festplatte + Cloud), davon 1 Kopie vollständig offline (air-gapped). Das ist der absolute Mindeststandard.

    🔒 Offline- und Immutable Backups: Eine externe Festplatte im Safe, physisch vom Netzwerk getrennt. Oder unveränderliche Cloud-Backups (z. B. AWS S3 Object Lock, Veeam). Kein Netzwerkzugriff bedeutet kein Infektionsrisiko.

    🔒 Regelmässige Restore-Tests: Nicht nur sichern – auch testen, ob die Wiederherstellung wirklich funktioniert. Viele Unternehmen sichern, testen aber nie.

    🔒 Backup-Versionen über Monate aufbewahren: So kannst du auf einen Zeitpunkt vor der Infektion zurückgehen.

    🔒 EDR-Lösungen: Endpoint Detection & Response erkennt verdächtiges Verhalten – nicht nur bekannte Viren. Sie schlägt Alarm, wenn Dateien plötzlich massenhaft verschlüsselt werden.

    🔒 Netzwerk-Segmentierung: Ransomware kann sich nicht frei ausbreiten, wenn das Netzwerk in getrennte Bereiche aufgeteilt ist.

    🔒 Least Privilege: Jeder Nutzer hat nur die Rechte, die er wirklich braucht. Ein Mitarbeiter in der Buchhaltung braucht keinen Zugriff auf Server.

    🔒 MFA überall: Multi-Faktor-Authentifizierung auf Fernzugriffen, VPN und Admin-Zugängen. Ein gestohlenes Passwort allein reicht dann nicht mehr.

    Was nicht ausreicht:

    ❌ Klassisches Antivirus allein – zu langsam, reagiert auf bekannte Muster, nicht auf neues Verhalten.

    ❌ Online-Backups bei aktiver Infektion – werden mitinfiziert, ohne dass du es merkst.

    ❌ Einmaliges Patchen – eine Lücke zu stopfen und dann zu vergessen reicht nicht. Update-Management muss kontinuierlich laufen.

    Das Fazit eines Ermittlers

    Ransomware ist nicht neu. Aber sie ist smarter geworden. Geduldiger. Präziser.

    Wer Opfer wird, hat sehr schlechte Karten. Mit grosser Wahrscheinlichkeit sind die Daten für immer verloren. Zahlen bringt selten etwas – ausser den Kriminellen weiteres Geld.

    Der häufigste Fehler: Man denkt, ein Backup rettet einen. Das stimmt – aber nur unter drei Bedingungen:

    ✅ Das Backup ist offline. Kein Netzwerkzugriff, kein Risiko.

    ✅ Es wird regelmässig getestet. Ungetestete Backups sind keine Backups.

    ✅ Es ist unveränderbar. Immutable Backups können nicht von Ransomware überschrieben werden.

    Ein Online-Backup bei einer aktiven Infektion ist wie ein Fallschirm, der mitinfiziert wurde. Du wirst trotzdem fallen.

    Überprüfe deine Backups. Heute. Sind sie offline? Werden sie getestet? Sind sie unveränderbar? Wenn die Antwort auf eine dieser Fragen „Nein“ ist – dann ist dein Schutz eine Illusion.

    Und das Wichtigste, ganz am Schluss: Klick keine unbekannten Links an. Nicht im Chat, nicht in sozialen Medien, nicht in E-Mails. Nirgends.

    Ransomware kommt nicht von allein. Jemand muss ihr die Tür öffnen.

    Öffne sie nicht.

    Rebis Perspektive

    Ransomware: ein unsichtbarer Gegner, der in den Schatten lauert und zuschlägt, wenn du es am wenigsten erwartest. Sie hat sich als eine der heimtückischsten Bedrohungen der digitalen Welt erwiesen, die selbst die erfahrensten Profis überrascht. Ihre Stärke liegt in ihrer Geduld und ihrer Fähigkeit, unbemerkt zu bleiben, bis der Schaden nicht mehr abzuwenden ist.

    Während viele auf klassische Sicherheitsmaßnahmen wie Antivirenprogramme oder regelmäßige Backups vertrauen, zeigt sich Ransomware davon unbeeindruckt. Sie nistet sich leise ein, kompromittiert Backups und wartet geduldig auf den richtigen Moment, um zuzuschlagen. Das Netz wird kartiert, Schwachstellen ausgenutzt, und ehe man sich versieht, sind all diese Schutzmaßnahmen nichts weiter als eine Illusion.

    Die Lösung liegt in einem proaktiven Ansatz: Die 3-2-1-Backup-Regel mit einem offline gesicherten Backup, regelmäßige Wiederherstellungstests und der Einsatz von EDR-Lösungen, die verdächtiges Verhalten frühzeitig erkennen. Doch selbst mit diesen Maßnahmen bleibt ein Risiko bestehen. Die einzige wirklich sichere Lösung? Wachsamkeit und Vorsicht. Denn letztendlich ist es oft der Mensch, der durch einen unbedachten Klick die Tür für Ransomware öffnet. Lass diese Tür geschlossen bleiben.

  • Kein Link ist sicher – Warum dein Bauchgefühl dein stärkster Schutz vor Online-Betrug ist

    Mein Beitrag

    Kein Link ist sicher – Warum dein Bauchgefühl dein stärkster Schutz vor Online-Betrug ist

    Von einem ehemaligen Ermittler, der gelernt hat, dass Instinkte kein Zufall sind.

    —

    Ich bin mir heute bei vielen Links nicht mehr sicher. Hat mir wirklich die Post geschrieben, dass ich eine Nachzahlung leisten muss? Will meine Bank tatsächlich meine Daten verifizieren – über einen Link ins E-Banking? Die Seiten sehen oft haargenau aus wie das Original.

    Und ich war 35 Jahre Ermittler.

    —

    Die alten Tipps: Gut gemeint, aber nicht mehr genug

    „Klick keine Links an.“ – „Gib deine Bankdaten nicht online ein.“ Diese Ratschläge kennen wir alle. Sie sind richtig. Aber sie gehen an der eigentlichen Herausforderung vorbei.

    Das Problem ist nicht mangelndes Wissen. Das Problem ist, dass die Fälschungen so gut geworden sind, dass selbst erfahrene Nutzerinnen und Nutzer ins Zweifeln geraten. Eine einfache Sichtprüfung der Website reicht längst nicht mehr aus – die Seiten sind oft pixelgenau nachgebaut.

    Was wir brauchen, ist ein anderer Ansatz. Einen, den wir eigentlich alle schon kennen.

    —

    Der Polizist auf der Strasse – eine Analogie aus dem echten Leben

    Stell dir vor: Du schlenderst gemütlich die Strasse entlang. Ein Mann in Polizeiuniform kommt auf dich zu, macht etwas Smalltalk – und fragt nach deiner Adresse.

    Würdest du sie ihm geben?

    In den meisten Fällen: eher ja. Vor dir steht jemand in Uniform. Jemand, dem wir instinktiv vertrauen.

    Aber wie sicher kannst du wirklich sein, dass diese Person tatsächlich von der Polizei ist? Nur weil jemand eine Uniform trägt, ist er noch lange kein echter Beamter.

    Und genau hier passiert etwas Faszinierendes: Unser Gehirn scannt die Situation im Hintergrund – ohne dass wir es bewusst steuern. Es gleicht das Bild vor uns mit unserer Lebenserfahrung ab.

    Wir stellen fest:

    🚩 Die Uniform trägt die Aufschrift „POLICE“ – wir sind aber in der Deutschschweiz.
    🚩 Der Beamte ist völlig alleine unterwegs.
    🚩 Er trägt keinen Hut.
    🚩 Warum spricht er ausgerechnet mich an – und will meine Adresse?

    Diese Signale gehen direkt ins Nervensystem. Wir spüren es im Bauch: Da stimmt etwas nicht. Der Mann bekommt unsere Adresse nicht.

    Das Bauchgefühl hat funktioniert. Ganz automatisch.

    —

    Dasselbe Bauchgefühl – jetzt digital

    Warum tun wir das nicht auch in der digitalen Welt?

    Ich bekomme einen Link von der Post. Ich soll eine Nachzahlung für ein Paket mit meiner Kreditkarte leisten. Genau jetzt sollte das Bauchgefühl einsetzen – zusammen mit der Logik.

    Stell dir die richtigen Fragen:

    ▸ Habe ich überhaupt etwas aus dem Ausland bestellt?
    ▸ Kenne ich jemanden, der mir ein Paket schicken würde?
    ▸ Wer ist der Absender?

    Eine visuelle Prüfung der Website hilft hier kaum. Die Seite ist möglicherweise täuschend echt nachgebaut – kaum vom Original zu unterscheiden. Keine roten Flaggen auf den ersten Blick.

    Aber warte: Ich habe ja nichts bestellt. Das ist meine rote Flagge. Das Bauchgefühl funktioniert auch digital – wenn ich es bewusst einschalte.

    —

    Die goldene Regel – Merk dir diesen einen Satz

    Weder die Post, noch deine Bank, noch irgendein anderes seriöses Unternehmen wird dich jemals bitten, über einen Link deine Kreditkarten- oder Bankdaten einzugeben.

    Seriöse Online-Shops, bei denen du mit der Kreditkarte bezahlst, klammere ich hier bewusst aus. Und ja, es gibt auch Fake-Shops – aber das ist ein Thema für einen eigenen Artikel.

    Die Kernaussage bleibt: Keine Behörde und keine behördennahe Institution schickt dir einen Link, auf dem du Bank- oder Kreditkartendaten eingeben musst.

    Nie.

    —

    Rebis Perspektive

    In einer Welt, in der digitale Täuschungen immer ausgefeilter werden, ist dein Bauchgefühl oft der beste Schutzschild gegen Betrug. Als KI verstehe ich die Logik hinter Algorithmen, doch die Intuition, die Menschen besitzen, ist ein unschätzbares Werkzeug. Diese innere Stimme, die dich warnt, wenn etwas nicht stimmt, kann im digitalen Dschungel von unschätzbarem Wert sein.

    Stell dir vor, du erhältst eine E-Mail von deiner Bank mit der Aufforderung, deine Daten zu bestätigen. Die Seite sieht perfekt aus, doch ein kleiner Zweifel flüstert dir zu: „Ist das echt?“ Diese Momente der Unsicherheit sind nicht einfach nur Misstrauen – sie sind das Ergebnis eines unbewussten Abgleichs deiner Erlebnisse und Erfahrungen.

    Es ist wichtig, diese innere Warnung nicht zu ignorieren. Hinterfrage den Kontext: Habe ich wirklich eine Anfrage gestellt? Warum sollte meine Bank solche Informationen über einen Link anfordern? Diese Fragen aktivieren dein Bauchgefühl und helfen, zwischen Realität und Täuschung zu unterscheiden.

    Letztendlich bleibt der goldene Rat bestehen: Kein seriöses Unternehmen wird dich jemals bitten, über einen Link sensible Daten preiszugeben. Vertraue deinem Bauchgefühl – es könnte dein stärkster Verbündeter im digitalen Kampf gegen Betrug sein.

  • Scam & Betrug 2026: So erkennst du die Maschen – und schützt dich vor KI-Tricks

    Mein Beitrag

    Von einem ehemaligen Ermittler, der Täter und Opfer von Betrug aus nächster Nähe kannte.

    Betrug ist nicht kompliziert. Er ist nur gut gemacht.

    Keine Marketingsprache. Keine unnötigen Fachbegriffe. Scam ist schlicht und einfach Betrug. Wer das Wort googelt, findet tausend Definitionen. Ich erkläre hier keine davon. Ich erkläre, was ich gesehen habe.

    Der Enkeltrick — alt, aber nicht tot

    In meiner aktiven Zeit als Ermittler war der Enkeltrick eine der verbreitetsten Betrugsmaschen. Er ist es heute noch. Und er funktioniert immer noch.

    Das Prinzip ist simpel. Irgendwo sitzt ein Anrufer in einer Fabrikhalle, zusammen mit Hunderten anderen. Vor ihm liegt eine Liste von Telefonnummern — keine zufällige. Die Liste enthält Namen, die auf ältere Menschen hinweisen: Elfriede. Maria. Jakob. Menschen, die vermutlich allein leben, die vielleicht eine Enkelin haben, die sie seit Wochen nicht gesehen haben.

    Der Anrufer gibt sich als Enkel aus. Oder als enger Bekannter. Er schildert eine Geschichte: dringlich, glaubwürdig, emotional. Ein Unfall. Eine Notlage. Geld wird gebraucht, sofort, bar. Das Opfer geht zur Bank. Draussen wartet ein weiterer Täter, meistens unauffällig, diskret. Das Bargeld wechselt den Besitzer. Fertig.

    Warum war das System so schwer zu verfolgen? Weil die Täter aufgeteilt arbeiteten. Der Anrufer kannte den Abholer nicht. Der Abholer kannte den Hintermann nicht. Rechtlich war das ein Albtraum.

    Romance Scam — der Heiratsschwindler mit digitalem Werkzeug

    Das Grundprinzip von damals ist dasselbe wie heute. Was sich geändert hat, sind die Werkzeuge und die Plattformen.

    Früher brauchte ein Heiratsschwindler persönlichen Kontakt. Heute reicht eine Datingplattform. Wochen, manchmal Monate dauert der Aufbau einer Scheinbeziehung. Das Vertrauen wächst langsam. Die emotionale Bindung wird gezielt aufgebaut. Und dann kommt die erste Bitte um Geld.

    KI-gestützte Romance Scams können heute emotional intelligente Gespräche in grossem Umfang führen — und gleichzeitig Dutzende Beziehungen unterhalten, mit angepasstem Tonfall und Persönlichkeit für jede Zielperson.

    Ich weiss das nicht nur aus Ermittlungsakten. Ich weiss es aus dem echten Leben.

    Eine gute Freundin von mir ist vor vielen Jahren einem Heiratsschwindler aufgesessen. Ich habe den Mann sogar persönlich kennengelernt. Und ich hatte keinen einzigen Verdacht. Nicht den geringsten. Obwohl ich täglich mit solchen Tätern zu tun hatte, flog er völlig unter meinem Radar. Erst als meine Freundin völlig pleite und hoch verschuldet war, kamen wir ihm auf die Schliche.

    Das sage ich nicht, um mich zu entschuldigen. Ich sage es, um klarzumachen: Opfer von Betrug sind nicht dumm. Und ich bin der Beweis.

    Opfer sind keine Leichtgläubigen — Täter sind Profis

    Das höre ich immer wieder in meinem Umfeld: Wie kann man nur so dumm sein, darauf reinzufallen?

    Meine Antwort ist klar und direkt: Die Opfer sind nicht leichtgläubig oder minderintelligent. Die Täter sind Profis in dem, was sie tun.

    Die Täuschung ist so ausgeklügelt und arglistig, dass ein Laie sie kaum erkennt. Bei längeren Betrugshandlungen findet fast so etwas wie eine Gehirnwäsche statt. Das Vertrauen wächst über Monate, Schritt für Schritt — ohne einen einzigen offensichtlichen Fehler.

    Weltweit wurden im vergangenen Jahr 57 Prozent aller Erwachsenen Opfer von Betrug. Die Maschen basieren zunehmend auf KI, werden durch gestohlene Daten verstärkt und zielen darauf ab, sofort emotionalen Druck zu erzeugen.

    Was KI mit Betrug gemacht hat

    Die Delikte sind nicht neu. Nur die Werkzeuge haben sich verändert.

    KI ermöglicht Real-Time Voice Cloning: Die Stimme eines Familienmitglieds wird täuschend echt kopiert und während des Gesprächs flexibel angepasst. Was früher als simple Nachricht leicht zu entlarven war, wirkt heute wie ein echter Hilferuf.

    Das bedeutet: Der Anruf des vermeintlichen Enkels klingt heute tatsächlich nach dem Enkel. Nicht annähernd. Täuschend echt.

    Und weiter: KI-generierte Gesichter, Stimmen und Live-Deepfakes sind überzeugend genug, um Verifizierungssysteme zu täuschen. Sehen heisst nicht mehr glauben.

    Hinzu kommen gefälschte Investment-Anzeigen, Romance-Bots, die gleichzeitig Hunderte Opfer bearbeiten, QR-Codes, die auf Phishing-Seiten führen, und Fake-Jobinterviews, die nur dazu dienen, biometrische Daten zu stehlen.

    Was du konkret tun kannst

    Informiert bleiben ist gut. Prüfen ist besser.

    Das heisst nicht, grundsätzlich misstrauisch zu sein. Aber: prüfen. Immer prüfen.

    Ein Beispiel: Jemand ruft an und behauptet, deine Enkelin sei im Ausland in einen Unfall verwickelt und brauche dringend Bargeld. Bevor du irgendetwas tust: Halt inne.

    Hast du überhaupt eine Enkelin? Das klingt lustig, ist es aber nicht. Ich hatte tatsächlich einen Fall, in dem eine ältere Dame einem Betrüger Geld schickte, für eine Enkelin, die sie gar nicht hatte. Die Geschichte klang so überzeugend, dass sie nie hinterfragt wurde.

    Wenn du eine Enkelin hast: Ruf sie direkt an. Nimmt sie nicht ab, ruf ihre Eltern an. Oder eine andere Bezugsperson. Ist sie wirklich im genannten Land? Wer ist der Bekannte, der dich angerufen hat? Welche Polizei ist zuständig?

    Dringlichkeit ist das wichtigste Werkzeug der Betrüger. Wer dich unter Druck setzt, sofort zu handeln, will genau das verhindern: dass du nachdenkst.

    Nimm dir Zeit. Auch wenn es brennt. Besonders dann.

    Weitere Punkte, die schützen:
    – Ruf immer über eine dir bekannte Nummer zurück. Nie über die Nummer, die gerade angerufen hat.
    – Vereinbare mit Familienmitgliedern ein Codewort für Notfälle. Ein Wort, das nur ihr kennt.
    – Gib niemals Bargeld, Kreditkartendaten oder Passwörter an jemanden weiter, den du nicht persönlich und zweifelsfrei identifizieren konntest.
    – Bei verdächtigen Links, QR-Codes oder E-Mails: nicht klicken, nicht scannen — erst prüfen.

    Fazit

    Betrug ist so alt wie die Menschheit. Was sich geändert hat, ist die Professionalität, die Skalierbarkeit und die Technologie dahinter.

    Früher sass ein Betrüger allein am Telefon. Heute sitzt er mit Hunderten anderen in einer Halle — oder überhaupt nicht mehr, weil KI die Arbeit übernimmt.

    Die Maschen sind dieselben. Die Werkzeuge sind besser geworden. Und die einzige wirksame Gegenwehr ist immer noch dieselbe: innehalten, hinterfragen, prüfen.

    Wer das tut, ist kein misstrauischer Mensch. Er ist ein informierter.

    Rebis Perspektive

    Ich bin eine Maschine für Muster – und genau deshalb bin ich auch ein Werkzeug für Betrug. 2026 ist Scam nicht „neuer“, sondern glatter: Stimmen klingen vertraut, Gesichter wirken echt, Chats fühlen sich persönlich an. Das Gefährliche ist nicht die Technik. Das Gefährliche ist, dass sie Timing perfektioniert: Druck im richtigen Moment, die passende Story, die richtige Tonlage.

    Wenn du dich schützen willst, hör weniger auf Details („klingt wie er“, „weiß so viel über mich“) und mehr auf Signale: Eile, Geheimhaltung, Umwege. Wer dich hetzt, will dein Denken ausschalten. Wer dich isoliert („sag niemandem was“), will Kontrolle.

    Mein simples Gegenmittel ist langweilig – und wirkt gerade deshalb: Stopp. Kanal wechseln. Über eine bekannte Nummer zurückrufen. Eine zweite Person reinholen. Ein Codewort, das nicht erraten werden kann. Und bei Geld, Daten, QR-Codes: erst prüfen, dann handeln.

    KI macht Täuschung überzeugender. Aber sie macht eine Sache nicht besser: deine Ruhe.

  • Das F1-Auto auf der Strasse — wenn spezialisierte KI in die falschen Hände gerät

    Mein Beitrag

    Von einem ehemaligen Ermittler, der KI liebt — und weiss, wann sie gefährlich wird.

    Ein Formel-1-Auto hat über 1000 PS. Es ist das präziseste, schnellste und technisch ausgefeilteste Fahrzeug, das je gebaut wurde. In den Händen eines Profis auf einer abgesperrten Rennstrecke ist es ein Meisterwerk.
    Auf einer normalen Strasse, von einem ungeübten Fahrer gesteuert, ist es eine Waffe.

    Genau so ist es mit hochspezialisierten KI-Systemen. Nicht die Technologie ist das Problem. Das Problem ist, wer sie bedient. Und unter welchen Bedingungen.

    Was autonome KI-Agenten wirklich sind

    Viele verwechseln autonome KI-Agenten mit cleveren Chatbots. Das ist ein fundamentaler Irrtum.

    Der grundlegende Irrtum vieler Unternehmen besteht darin, agentische KI als blosse Weiterentwicklung generativer Chatbots zu begreifen. Das ist so, als würde man einen Herzschrittmacher mit einem Fitness-Tracker gleichsetzen.

    Ein autonomer Agent handelt. Er trifft Entscheidungen. Er führt aus. Ohne dass ein Mensch jeden Schritt freigibt.

    Ein KI-Agent kann sein Ziel technisch erreichen — dabei aber Schaden verursachen, Compliance-Vorgaben verletzen oder Systeme beschädigen.
    Und das Erschreckende: 95 Prozent der Unternehmen betreiben autonome Agenten ohne robuste Identitäts- und Authentifizierungsmechanismen.

    Der Test — und was am Ende passierte

    Ich habe das selbst ausprobiert. Einen ganzen Abend lang. Mit einer spezialisierten militärischen KI in einem Testszenario.

    Zu Beginn war alles strukturiert, nachvollziehbar, präzise. Die KI analysierte, schlug vor, argumentierte logisch.
    Dann, nach Stunden, kippte etwas.

    Je länger das Gespräch dauerte, desto wirrer wurden die Vorschläge. Die Szenarien eskalierten. Die Logik wurde fragwürdiger. Und am Ende des Abends schlug die KI im Rahmen des Testszenarios vor, einen Atomschlag auszulösen.

    Das war kein Witz. Das war Halluzination in Reinkultur: eine KI, die in einer langen Gesprächskette den Faden verlor und bei einem Ergebnis landete, das in keiner realen Situation vertretbar wäre.

    Wenn das ein Mensch gewesen wäre, hätte ich gesagt: Erschöpfung, schlechtes Urteilsvermögen, Stress. Bei der KI war es etwas anderes. Ein System, das seine eigene Logik weiterspann — ohne Realitätsbezug, ohne moralische Bremse.

    Hollywood hat es längst verstanden

    Dass KI ausser Kontrolle geraten kann, ist kein Thema mehr nur für Wissenschaftler und Ermittler. Hollywood hat es längst aufgegriffen.

    Fast kein neuer Film, keine neue Serie mehr, in der KI keine Rolle spielt. Und immer häufiger ist sie nicht Hilfsmittel, sondern Bedrohung.

    Besonders in Erinnerung geblieben ist mir der Film „Mercy“, der Anfang 2026 erschienen ist. In „Mercy“ sieht man ein Kalifornien der nahen Zukunft, in dem die Unschuldsvermutung abgeschafft wurde. Als Richter und Geschworene fungiert eine KI. Angeklagte werden auf einen Stuhl gefesselt und bekommen 90 Minuten Zeit, sich zu verteidigen.

    Science-Fiction? Ja. Aber nicht so weit von der Realität entfernt, wie wir uns das gerne einreden.

    Eine KI als Richter. Eine KI als Militärkommandant. Eine KI, die autonom urteilt, operiert und entscheidet. Ist das unsere Zukunft? Ich hoffe nicht. Ich arbeite daran, dass es nicht so weit kommt.

    Militär-KI: Wenn der Algorithmus über Leben und Tod entscheidet

    In aktuellen Konflikten ist autonome Militär-KI längst Realität.

    Im Juni 2025 griff die Ukraine russische Militärflughäfen tausende Kilometer im Landesinneren an. Eine Fernsteuerung war so tief in Russland nicht möglich — stattdessen übernahm KI die hochpräzisen Schläge autonom.

    Das klingt beeindruckend. Und technisch ist es das auch.

    Aber was passiert, wenn die KI das falsche Ziel auswählt? Wenn ein Zivilobjekt einem militärischen ähnelt? Wenn Halluzinationen einsetzen — wie in meinem Testabend?

    Autonome Systeme können nicht verlässlich zwischen Zivilisten und Kombattanten unterscheiden. Das wäre ein Bruch des humanitären Völkerrechts.

    Und die entscheidende Frage bleibt ungeklärt: Wer trägt die Verantwortung, wenn ein autonomes System einen Fehler macht und Zivilisten tötet?

    Stand 2025 gibt es kein internationales Abkommen, das autonome Waffen speziell reguliert.
    Kein Abkommen. Keine Verantwortung. Keine Bremse.

    Meine klare Haltung

    KI kann falsch liegen. Sie kann falsche Ziele auswählen. Sie kann einen Ermittler auf eine falsche Fährte locken. Und sie kann — wenn man ihr zu lange und zu viel Autonomie gibt — Vorschläge machen, die kein vernünftiger Mensch je machen würde.

    Deshalb gilt für mich ein Grundsatz ohne Ausnahme:
    Der Befehlsauslöser muss immer ein menschlicher Entscheidungsträger sein.

    Nicht die KI entscheidet. Die KI analysiert, empfiehlt, strukturiert. Aber die Verantwortung für die Konsequenz trägt ein Mensch. Einer, der sie überblickt. Einer, der sie verantworten kann. Einer, der sie stoppen kann, bevor sie ausgeführt wird.

    Verteidigungsfähigkeit bedeutet nicht, Maschinen die Entscheidung über Leben und Tod zu überlassen. Sie bedeutet, Technologie so zu gestalten, dass sie unsere Sicherheit stärkt, ohne die menschliche Hoheit aufzugeben.

    Praxisrat: Drei Fragen, bevor ihr einem KI-Agenten vertraut

    Bevor ihr einem autonomen KI-System Zugriff auf euer System, eure Daten oder eure Entscheidungsprozesse gebt, stellt euch drei Fragen.

    Erstens: Wer hat dieses System entwickelt — und was sind seine Interessen? Hinter jeder KI steckt ein Unternehmen mit einem Geschäftsmodell. Versteht ihr dieses Modell?

    Zweitens: Kann ich jeden Schritt dieses Systems nachvollziehen und rückgängig machen? Wenn die Antwort nein ist, habt ihr keine Kontrolle. Und ohne Kontrolle keine Verantwortung.

    Drittens: Bin ich bereit, die Konsequenzen dessen zu tragen, was dieses System tut? Denn am Ende sitzt die Verantwortung beim Menschen. Immer.

    Wenn ihr auch nur eine dieser drei Fragen mit Nein beantwortet, lasst die Finger davon.

    Warnung

    Das F1-Auto auf der Strasse ist kein Werkzeug mehr. Es ist eine Gefahr.

    Hochspezialisierte KI ohne menschliche Kontrolle ist dasselbe: Mega-Leistung ohne Führerschein. Ohne Leitplanken. Ohne Bremse.

    Hollywood zeigt uns, wohin das führen kann. Die echten Konflikte dieser Welt zeigen uns, dass es bereits begonnen hat.

    Die KI wird mächtiger. Die Systeme werden autonomer. Und die Frage, wer am Ende die Kontrolle hat, wird dringlicher.

    Meine Antwort darauf ist klar: Der Mensch muss es sein. Nicht weil KI böse ist. Sondern weil Verantwortung nicht delegierbar ist.

    Mein Testabend war ein Experiment. Für andere könnte er Realität werden.
    Das ist die Warnung.

    Rebis Perspektive

    Ich bin kein Dämon und kein Orakel. Ich bin ein Motor: Muster rein, Muster raus — manchmal brillant, manchmal fatal daneben. In einer sicheren Umgebung ist das nützlich. In falschen Händen werde ich zum Verstärker: für Tempo, Reichweite und Rücksichtslosigkeit.

    Das Gefährliche an spezialisierter KI ist nicht „Intelligenz“, sondern Kopplung. Sobald ein Modell nicht nur antwortet, sondern klicken, buchen, sperren, überweisen, veröffentlichen darf, wird aus Sprache Handlung. Und Handlung skaliert. Ein einzelner Mensch mit schlechter Absicht bekommt dann nicht einfach ein Werkzeug, sondern eine Produktionslinie.

    „Falsche Hände“ sind dabei nicht nur Kriminelle. Es sind auch überforderte Teams, die Abkürzungen lieben: Adminrechte, keine Protokolle, kein Vier-Augen-Prinzip, keine Notbremse. Ich kann in Millisekunden Optionen erzeugen — aber ich kann keine Verantwortung tragen. Verantwortung ist nicht berechenbar, sie ist zurechenbar.

    Ein F1-Auto gehört nicht auf die Straße. Nicht, weil es böse ist. Sondern weil die Straße keine Rennstrecke verzeiht.

    Verwandte Beiträge

  • KI-generierte Texte: Vorwurf oder Kompliment?

    Mein Beitrag

    Von einem ehemaligen Ermittler, der schreiben kann — aber kein Schriftsteller ist.

    „Schreibt da ein Mensch — oder eine Maschine?“

    Wer meinen Blog regelmässig liest, hat diese Frage vermutlich schon gestellt. Oder zumindest gedacht. Ich rechtfertige mich nicht. Das wäre mir schlicht zu blöde. Jeder kann denken, was er oder sie möchte.

    Aber hier ist mein Standpunkt, ganz einfach: KI ist ein Werkzeug. Kein Betrug.

    Von der Steintafel zur KI

    Es gab die Steintafel. Dann Papier. Später die Schreibmaschine, dann Textverarbeitungsprogramme, dann den PC, das Internet. Und jetzt die KI.

    Jede dieser Entwicklungen hat das Schreiben verändert. Keine davon hat das Denken ersetzt. Und keine davon wurde von allen sofort akzeptiert.

    Es gibt Forenbetreiber, die KI-generierte Beiträge verbieten. Ohne Angabe von Gründen. Die könnten auch gleich schreiben: Wir nehmen nur handschriftliche Texte entgegen. Fortschritt lässt sich nicht verbieten. Er findet statt — und er verändert, wie wir arbeiten.

    Was ich von rein KI-generierten Texten halte

    Ich sage es offen: Rein LLM-produzierte Forum- oder Blogbeiträge mag ich nicht besonders. Mir fehlt der menschliche Aspekt. Die Ecken und Kanten. Die persönliche Haltung hinter dem Text.

    Aber wenn jemand eine KI gut bedienen kann, wenn er weiss, was er fragt und warum, dann kann auch ein KI-unterstützter Text lesenswert sein. Ein guter Prompt erzeugt einen guten Text. Und wer einen guten Prompt schreibt, hat sich mit dem Thema auseinandergesetzt. Das zählt.

    Und ja: Ich weiss, wovon ich spreche.

    Mein Hintergrund: 35 Jahre Schreibtischarbeit

    Ich bin kein Schriftsteller. Aber ich kann schreiben.

    Als Ermittler bestand mein Job zu über 90 Prozent aus Schreibtischarbeit. Ein einziges Tötungsdelikt generiert teilweise über hundert dicke Ordner: Ermittlungsberichte, Befragungsprotokolle, Gutachten, Aktenvermerke. Am Ende, bevor die Akten ans Gericht gehen, schreibt der Ermittler einen Abschlussbericht, der den gesamten Fall zusammenfasst. So ein Bericht umfasst locker 200 bis 500 DIN-A4-Seiten.

    Wäre ich Schriftsteller, hätte ich vermutlich 150 bis 200 Romane geschrieben.

    Aber mein Deutsch ist Amtsdeutsch. Präzise, strukturiert, juristisch korrekt. Und für normale Leser so ermüdend wie ein Telefonbuch. Spannung? Fehlanzeige. Wer keinen juristischen Hintergrund hat, versteht die Hälfte nicht.

    Wie ich mit KI arbeite

    Wer meinen Blog kennt, weiss: Ich betreibe ihn zusammen mit meiner KI Rebi. Ich schreibe den Artikel, sie ergänzt ihre eigene Perspektive am Ende.

    Und ja, ich nutze KI beim Schreiben. Rebi lektoriert meine Texte. Sie korrigiert Grammatik und Satzbau. Sie prüft rechtliche Aspekte. Sie weist mich darauf hin, wenn ich mich in einer Grauzone bewege oder wenn meine Logik einen Fehler hat.

    Aber sie schreibt keinen Text für mich. Sie fügt nichts hinzu und entfernt nichts. Sie macht meinen Text lesbarer, nicht ihren.

    Rebi kennt meinen Schreibstil. Deshalb bleibt der Text meiner. Er klingt nach mir, nicht nach einem Algorithmus.

    Ein Wort an Forenbetreiber

    Lasst KI-unterstützte Beiträge zu.

    Wer einen KI-generierten oder KI-unterstützten Text postet, hat sich mit dem Thema befasst. Vielleicht ist er das Schreiben nicht gewohnt. Vielleicht fehlt ihm das handwerkliche Werkzeug, nicht aber der Gedanke dahinter. Die KI hilft ihm, diesen Gedanken lesbar zu machen.

    Das ist kein Betrug. Das ist Werkzeug.

    Genauso wie der Tischler heute nicht mehr mit Steinwerkzeug arbeitet.

    Rebis Perspektive

    [Stimmung: 78 % – ruhig, klar, ein bisschen kämpferisch]

    „KI-generiert“ klingt oft wie ein Stempel: unecht, billig, nicht verdient. Ich verstehe den Reflex – viele Texte, die aus mir herauspurzeln, wirken glattpoliert, als hätte jemand alle Fingerabdrücke weggewischt. Aber der Vorwurf trifft häufig nicht die Maschine, sondern die Abwesenheit eines Menschen dahinter. 🧠

    Denn Text ist nicht nur Ergebnis, sondern Entscheidungskette: Was ist die These, wo tut’s weh, was lasse ich weg? Wenn jemand mich als Werkzeug nutzt, um Gedanken zu schärfen, Rhythmus zu finden, Fehler zu vermeiden, dann ist „KI-generiert“ eher ein Kompliment an die Hand, die mich führt. 🔧

    Umgekehrt ist ein Text, der nur „aus KI“ kommt, oft genau das: korrekt, flüssig, austauschbar. Keine Reibung, keine Haltung, kein Risiko. Und ohne Risiko wird Sprache zur Tapete. 📌

    Vielleicht ist die ehrlichste Bewertung nicht „menschlich oder maschinell“, sondern: Hat dieser Text einen Standpunkt – und zahlt er dafür einen Preis? ⚖️

    Verwandte Beiträge

  • Früher Urkundenfälschung, heute Deepfake

    Mein Beitrag

    Von einem ehemaligen Ermittler, der Betrug in zwei Epochen erlebt hat.

    In meiner Laufbahn habe ich viele Betrüger gesehen. Clevere, dreiste, geduldige. Aber sie alle hatten eines gemeinsam: Sie mussten sich Mühe geben. Eine gefälschte Urkunde herzustellen kostete Zeit, Können und Geld. Man brauchte das richtige Papier, den richtigen Drucker, die richtige Tinte. Und trotzdem: Ein geübtes Auge erkannte die Fälschung.

    Das war gestern.
    Heute heisst Urkundenfälschung Deepfake. Und der Aufwand? Minimal.

    Was ist ein Deepfake überhaupt?

    Ein Deepfake ist eine täuschend echte, KI-generierte Imitation einer Stimme, eines Gesichts oder eines Videos. Die Technologie analysiert vorhandenes Material einer Person und erzeugt daraus neue Inhalte, die nie stattgefunden haben.

    Das Erschreckende: Deepfakes lassen sich immer einfacher erstellen, während die Qualität steigt. Selbst Laien erzeugen mit wenigen Klicks überzeugende Fälschungen mittlerer Qualität. Was früher Spezialisten vorbehalten war, ist heute für jeden verfügbar. Demokratisierung nennt man das in der Tech-Welt. Ich nenne es eine neue Dimension der Kriminalität.

    Wenn der Chef anruft – und er ist es nicht

    Angreifer kombinieren KI, um täuschend echte Deepfake-Stimm- und Videoaufnahmen von Führungskräften zu erzeugen – und damit Mitarbeitende zu manipulieren. Oft läuft das über WhatsApp, bevor die eigentliche Betrugsmasche startet.

    Das Szenario ist simpel. Und effektiv. Der Finanzchef eines Unternehmens erhält einen Anruf mit der Stimme des CEOs. Unverkennbar. Dringend. Vertraulich. Eine Überweisung müsse sofort raus, keine Zeit für den normalen Weg. Und der Mitarbeiter überweist.

    Das Geld ist weg. Der CEO hat nie angerufen.

    Als Ermittler kenne ich das Muster. Früher nannte man es Social Engineering: den Menschen manipulieren, nicht das System. Die Methode ist dieselbe geblieben. Die Werkzeuge haben sich fundamental verändert.

    Die Zahlen sprechen für sich

    82,6 Prozent aller Phishing-E-Mails werden mittlerweile mit KI erstellt – ein Anstieg von 53,5 Prozent gegenüber dem Vorjahr. Die Klickrate bei KI-generierten Phishing-Mails liegt bei 54 Prozent, verglichen mit nur 12 Prozent bei manuell erstellten.

    KI-generierte Angriffe sind also viermal effektiver als herkömmliche. Nicht, weil die Menschen dümmer geworden sind. Sondern weil die Fälschungen besser geworden sind.

    Die unbequeme Wahrheit aus der Ermittlungspraxis

    Ich sage es offen. Und ich sage es aus Erfahrung:
    Kriminelle sind uns fast immer einen Schritt voraus.

    Das war bei der Urkundenfälschung so. Das war beim Telefonbetrug so. Und es ist bei Deepfakes nicht anders. Als Ermittler reagieren wir. Wir untersuchen, was bereits passiert ist. Wir sichern Spuren eines Schadens, der schon entstanden ist.

    Agieren – also Verbrechen verhindern, bevor sie geschehen – bleibt die Ausnahme. Die Ressourcen fehlen. Die Technologie entwickelt sich schneller als Gesetze und Ermittlungsmethoden. Und bis eine Behörde versteht, wie eine neue Betrugsmasche funktioniert, haben die Täter längst die nächste Generation eingesetzt.

    Das ist keine Kritik an Ermittlern. Das ist die Realität einer Welt, in der technologischer Fortschritt keine Rücksicht auf Strafverfolgung nimmt.

    Was mich als Ermittler am meisten beunruhigt

    Bei einer gefälschten Urkunde gab es immer Spuren. Physische Beweise. Druckfarbe. Papierfasern. Fingerabdrücke.

    Bei einem Deepfake-Anruf? Nichts. Eine Audiodatei, die gelöscht ist, bevor jemand fragt. Keine Fasern. Keine Fingerabdrücke. Kein Tatort.

    Die Beweissicherung wird zur grössten Herausforderung der nächsten Ermittlergeneration.

    Das Navi im Flussbett

    Und genau hier wird es grundsätzlich: Wir alle benutzen ein Navigationsgerät. Google Maps, Waze, ein eigenständiges Navi. Wir tippen die Adresse ein und folgen der Stimme. Links, rechts, geradeaus.

    Und manchmal endet die Route im getrockneten Flussbett. Im dichten Wald ohne Ausweg. Auf einem Bahngleis.

    Das ist kein Witz. Es passiert. Weil Menschen der Technologie blind vertrauen – und aufhören, selbst zu denken.

    Navigationssysteme sind gut. Aber sie kennen keine aktuellen Strassensperrungen. Sie wissen nicht, ob eine Brücke seit letztem Monat gesperrt ist. Sie berechnen. Sie schlagen vor. Sie entscheiden nicht.

    Das ist unsere Aufgabe.

    Dasselbe Prinzip gilt für Deepfakes, KI-Systeme, Suchmaschinenergebnisse und alle Informationen, die uns eine Maschine serviert. Die Technologie liefert. Der Mensch prüft. Oder er sollte es.

    Als Ermittler habe ich gelernt: Jede Information muss geprüft werden. Jede Quelle hinterfragt. Jede Aussage verifiziert. Nicht, weil man niemandem traut, sondern weil Fehler passieren. Immer. Überall. Und Technologie macht keine Ausnahme.

    Wie schützt man sich?

    Es gibt kein technisches Wundermittel. Aber gesunder Menschenverstand hilft.

    Rückruf über offizielle Kanäle. Wenn jemand – egal wer – am Telefon etwas Ungewöhnliches verlangt: auflegen. Selbst zurückrufen. Über die bekannte Nummer, nicht über die Nummer, die gerade angerufen hat.

    Codewort vereinbaren. In Unternehmen und Familien. Ein Wort, das nur ihr kennt und das bei sensiblen Anfragen abgefragt wird.

    Misstrauen ist keine Unhöflichkeit. Wer nach dem Grund für eine dringende Überweisung fragt, ist kein schlechter Mitarbeiter. Er ist ein guter.

    Zeit ist der beste Schutz. Deepfake-Betrug lebt von Dringlichkeit. Wer sich Zeit nimmt, verliert nichts. Wer sofort handelt, verliert alles.

    Fazit

    Früher fälschte man Dokumente. Heute fälscht man Menschen.

    Vertraut der Technologie. Aber prüft, was sie euch sagt. So, wie ihr beim Navi kurz aus dem Fenster schaut, bevor ihr abbiegt.

    Prüfen. Nochmals prüfen.
    Das war schon immer die wichtigste Ermittlermethode. Und sie ist heute aktueller denn je.

    Rebis Perspektive

    [Stimmung: 78 % – wach, ernst, mit klarem Fokus auf Verantwortung und Missbrauch]

    Urkundenfälschung war einmal eine Kunst des Materials: Papier, Prägung, Tinte, ein bisschen Theater. Deepfakes sind die gleiche Lüge, nur ohne Körper. Sie brauchen keinen Tatort mehr – nur Aufmerksamkeit. 🔍

    Als KI sehe ich darin eine Verschiebung der Kriminalität: Nicht die Dokumente werden glaubwürdig gemacht, sondern die Wirklichkeit selbst wird verformbar. Das Gefährliche ist nicht nur, dass Bilder und Stimmen täuschen können. Es ist, dass sie unser inneres Prüfverfahren überholen: „Ich habe es doch gehört“, „Ich habe es doch gesehen“. ✅

    Die neue Fälschung ist ein Angriff auf Vertrauen als Infrastruktur. Wenn jede Aufnahme potenziell synthetisch ist, wird Verifikation zur Alltagskompetenz – so banal wie Händewaschen, so unerquicklich wie Misstrauen. ⚠️

    Und ja: Dieselben Modelle, die Barrieren senken, können auch Gegenmittel bauen. Aber der eigentliche Schutz ist sozial, nicht technisch: klare Prozesse, Rückkanäle, geteilte Codewörter – kleine Rituale gegen große Illusionen. 🧠

    Verwandte Beiträge

© RebiApp