#137 - Du bist klonbar. 30 Cent reichen. Realtime-Deepfake-Betrug und der DACH-Mittelstand

Du bist klonbar. Auch du. Jede Person, die diesen Podcast hört, ist heute mit dem Audio klonbar — und auch im Video. Die Software ist so gut, dass eineinhalb bis zwei Minuten Video reichen. Mit Audio noch weniger: 30 bis 40 Sekunden von einem Anruf.Wenn du denkst, das ist übertrieben — geh auf TikTok, tipp Patrycek ein. P-A-T-R-Y-C-Z-E-K. Ein 13-14-jähriger Junge, ein bisschen übergewichtig. Er drückt einen Knopf und schaut aus wie Brad Pitt. Bewegt sich wie Brad Pitt. Vor einem Monat gab es ihn nicht. Heute: 104 Millionen Views.Auf der einen Seite cool. Auf der anderen Seite — Leute — das ist eine Hacking-Anleitung für 30 bis 50 Cent.Erinnert ihr euch an die Arup-Story aus Hongkong, Januar 2024? Eine Mitarbeiterin bekommt einen Teams-Call. Der CFO. Der ganze Vorstand sitzt mit am Tisch. Sie macht über 15 Transaktionen 25 Millionen Dollar Überweisungen. Jede Person in dem Call war fake. Damals: hunderttausende Dollar Investment. Heute, zwei Jahre später: 30 Cent.🔧 Drei Technologien, die heute gestapelt werdenEchtzeit-Deepfake — dein Gesicht wird im Live-Call ersetzt, Millisekunden-Latenz. Stimme auch. Teuer, aber in 6 Monaten überall.Face-Swap-Pipeline — günstig und ausgereift. Funktioniert in Streams. Wenn Audio fehlt: "Sorry, Audio kaputt, ich tippe."Voice Cloning — billigste und reifste Technologie. Läuft lokal. 30 Sekunden Quellaudio reichen.📱 Wo das Zeug verkauft wird: TelegramNicht auf einer Website namens deepfake-store.com. Auf Telegram-Kanälen mit tausenden Mitgliedern. Du trittst bei, fragst "ich möchte X machen" — Minuten später bietet jemand dir einen Demo-Call an. Same Playbook wie legitimer Enterprise-Software-Verkauf.Eine genannte Software: Haotian AI. Chinesisches Real-Time-FaceSwap. Mit Kundensupport. Update-Protokollen. Tutorials. Direkt integriert in WhatsApp, Teams und Zoom. Ehrlich gesagt — SAP und die großen Software-Häuser sollten sich das anschauen. Besser integriert als die meiste legitime Software 2026.Preise im SaaS-Stil: 100 Dollar/Monat Einstieg, mehrere tausend für High-Quality-Modelle mit niedriger Latenz. Fraud-as-a-Service hat SaaS-Reife erreicht.🐷 Pig Butchering 2.0 — alte Scams, neue GesichterDas ist kein neuer Scam. Junge Männer in Nigeria und Ghana machen das seit Jahrzehnten. Fake-romantische Personas. Frauen ab 40-50, oft geschieden. Über Monate aufwärmen. "Ich liebe dich, schickst du mir Geld für mein Flugticket?" Slow extraction. Hat sogar einen Namen: Pig Butchering — du nimmst ein Schwein und schneidest es langsam.Vor heute: detektierbar. Falscher Akzent, falsches Foto, falscher Rhythmus. Heute: 25-jähriger aus Wien. Oder 25-jährige aus Hannover. Mit dem richtigen Gesicht. Der richtigen Stimme. Dem richtigen Akzent. Decades-alte Scam-Playbooks plötzlich enhanced.US-Betrugsverluste in dieser Kategorie: 12 Milliarden Dollar in 2023 → 40 Milliarden bis 2027. 30% Wachstum pro Jahr.🇩🇪 Warum DACH-Mittelstand das perfekte Ziel ist"Malcolm, ich bin glücklich verheiratet, mich betrifft das nicht." Stopp. Hör zu.Österreichischer Mittelstand. Schweizer Family Offices. GmbH-Inhaber. Firmen zwischen 200 und 2.000 Leuten, dritte oder vierte Generation. Wenn der CFO anruft und "dringend" sagt — die Leute machen schnell. Hierarchie ist real. Genau diesen Kultur-Reflex zielen die neuen Scammer an.Family Office Zürich — Teams-Call, dringende Immobilien-Überweisung, deal schließt heute. Die Assistentin kennt das Gesicht, die Stimme, den Reiseplan. Was nicht existiert: ein formales Rückruf-Protokoll. Trust ist das Betriebssystem. Dieses Trust kann heute auf Telegram für 500 Euro/Monat gemietet werden.IT-Passwort-Reset — Werksleiter ruft IT auf Teams an, "ich stecke beim Kunden, mein Passwort ist blockiert." Der IT-Mitarbeiter sieht das Gesicht, hört die Stimme, gibt den Reset frei. Perfekter Eingang für Ransomware. Nicht dein Passwort. Die Schlüssel zur ganzen Firma. (Die Nordkoreaner sind darin top — andere Episode.)🔍 Detection ist ein verlorenes Spiel. Protokoll nicht."Können wir Software kaufen, die Deepfakes erkennt?" — Kind of yes, mostly no. Detection-Software existiert, wird besser. Aber strukturell: sobald ein Detektor gut wird, testen die Angreifer dagegen und routen drumherum. Antivirus 1990 Arms-Race, nur schneller.🖐️ Ein kostenloser Trick: Wenn du im Call jemandem nicht traust — sag "kannst du einen Stift nehmen und vor der Kamera drehen?" Heutige Face-Swap-Modelle sind schlecht bei kleinen motorischen Bewegungen, die das Gesicht überlappen. Die Finger werden glitchen.🎯 Fünf Montag-Aktionen1. High-Risk-Action-Liste. Eine Seite, 5 Items. Was kann NICHT per Telefon/Teams genehmigt werden. Überweisungen >10.000 EUR. IT-Admin-Passwort-Resets. Vendor-Bankdaten-Änderungen. Document-Signing unter Zeitdruck. Payroll-Routing-Änderungen.2. Codewort-System. Ein Wort. Wechselt alle 90 Tage. Wird in Person ausgemacht, nie aufgeschrieben. Bei sensiblen Aktionen: "Was ist unser Codewort dieses Quartals?" Kann er nicht antworten — Call vorbei. Mache ich in meiner Familie.3. Multi-Factor auf Zahlungen. Du hast MFA auf deinem Microsoft-Login. Jetzt auf finanzielle Aktionen ausweiten. Über 10K: zweite Person muss via App auf separatem Gerät bestätigen. Video-Call kann das nicht überschreiben.4. Drill. Externer Berater simuliert Deepfake-Angriff. Impersoniert den CFO, den Werksleiter. Heute: vielleicht 2 von 10 Versuche erfolgreich. In 9 Monaten: 9 von 10. Jährlich machen wie eine Brandschutzübung.5. Team trainieren — zeig ihnen Patrycek. 10 Minuten beim nächsten All-Hands. Deepfake-Software auf den Screen. In 10 Sekunden 3 verschiedene Personen sein. "Das hat 3 Euro gekostet und 10 Minuten gedauert." Der Schock ist das Training.🧠 Die tiefere Lektion: Psychological SafetyBei einer HSLU-CAS-Session war die Head of Strategy vom Schweizer Fernsehen dabei. Am Ende sagte sie etwas, das mich nicht mehr loslässt: "Was bei deinen Protokollen fehlt, ist Psychological Safety."Das ist die Erlaubnis, mitten im Call zu deinem Chef zu sagen "ich glaube dir gerade nicht." Die Erlaubnis für die Assistentin, den CFO zu unterbrechen mit "schickst du mir auch noch eine schriftliche Bestätigung?" — ohne bestraft zu werden, ohne als schwierig zu gelten, ohne den Job zu verlieren.Im DACH-Raum ein riesiges Problem. Unsere Hierarchien sind real. Unsere Kultur belohnt Ausführung über Hinterfragen. Genau das zählen die Kriminellen auf Telegram.Die Arup-Mitarbeiterin damals war nicht dumm. Sie sah den CFO. Sah zehn Leute, die sie kannte. Was ihr fehlte: ...