Was im Markt steht, was Vendor-Marketing ist und was Scam-on-Scam bleibt — und warum die meisten Schadensbehauptungen eine andere Geschichte erzählen, wenn man ihnen die Methodik abverlangt.

Lagebild-Dossier · Stand Mai 2026 · Öffentlich verfügbare Behörden- und Branchenquellen

Wer den Markt für missbrauchbare KI seriös beziffern will, braucht zwei Disziplinen gleichzeitig. Erstens: Quellenkritik gegenüber den Anbietern selbst, die ihre Tools im Cybercrime-Untergrund verkaufen — denn Cyberkriminelle schwindeln einander an. Zweitens: Quellenkritik gegenüber der Threat-Intelligence-Branche, die das Phänomen analysiert und gleichzeitig daran verdient. Beides zu trennen ist Voraussetzung dafür, dass die Berichterstattung nicht zur Marketing-Verstärkung wird.

Drei Gewissheiten, mit denen wir starten

Vor allen Tools, allen Preisen, allen Schadensschätzungen drei Befunde, die quer durch die Quellenlage stabil sind:

Erstens: Es existiert ein Markt. Tools wie WormGPT, FraudGPT und Nachfolger sind in einschlägigen Foren und auf Telegram-Kanälen seit Mitte 2023 nachweisbar. Das ist durch SlashNext, Trustwave, Cato CTRL und Group-IB mehrfach unabhängig dokumentiert.

Zweitens: Ein erheblicher Teil dieses Marktes ist Scam-on-Scam. Schätzungen aus der Threat-Intelligence-Branche reichen von „ein Drittel“ bis „mehr als die Hälfte“ der angebotenen Tools, die nach der Bezahlung schlicht nicht funktionieren oder sich als billiger ChatGPT-Wrapper entpuppen. Eine genaue Zahl gibt es nicht, weil keiner von außen die Verkaufsstatistiken kennt.

Drittens: Die Schadensentwicklung bei BEC, Pig Butchering und Anlagebetrug ist real und folgt einem belegbaren Trend. Das FBI IC3 dokumentiert sie. Was nicht belegbar ist, ist die Behauptung, dass eine bestimmte Prozentzahl davon „durch KI“ entstanden sei. Das wird in dieser Serie ausdrücklich nicht gesagt.

Die Glaubwürdigkeits-Matrix

Wer die Tool-Landschaft sortieren will, braucht zwei Achsen. Die vertikale Achse beschreibt, wie viel Marktbedeutung ein Tool oder eine Kategorie tatsächlich hat — gemessen an Erwähnungen in unabhängigen Threat-Intel-Reports, Foren-Persistenz und beobachtbarer Subscription-Aktivität. Die horizontale Achse beschreibt, wie belegbar die Existenz und Funktion ist — gemessen an der Frage, ob mindestens zwei voneinander unabhängige Sicherheitsforscher das Tool dokumentiert haben.

Was sich in dieser Matrix abzeichnet: Belegbarkeit und Bedeutung fallen nicht zusammen. Die medienprominenten Tools sind nicht zwangsläufig die marktbedeutenden. Und einige der gefährlichsten Schichten — die ungefilterten Open-Source-Modelle und die Grauzonen-Anbieter — sind gerade deshalb gefährlich, weil sie nicht Cybercrime-Brand sind.

Was wir wissen — die belegbaren Anbieter

Die belegbarste Tool-Kategorie sind die explizit als Cybercrime-Werkzeug vermarkteten Modelle. Sie tauchen mit Werbeanzeigen in einschlägigen Foren auf, werden von mehreren Threat-Intel-Anbietern unabhängig verifiziert und haben eine nachvollziehbare Versions- und Vertriebsgeschichte.

WormGPT ist der Prototyp. Im Juli 2023 von SlashNext erstmals dokumentiert, basierend auf einem Finetune des frei verfügbaren GPT-J-6B. Nach Identifikation des mutmaßlichen Entwicklers Ende 2023 wurde das Original eingestellt. Was heute unter dem Label „WormGPT“ verkauft wird, sind Nachfolge-Versionen unterschiedlicher Provenienz, deren Verbindung zum Original oft fragwürdig ist. Cato CTRL hat 2024 mehrere Varianten („xzin0vich-WormGPT“, „Keanu-WormGPT“) als Frontends auf jailbreak-getunte Mainstream-Modelle entlarvt. Das ändert nichts daran, dass es funktioniert — aber es ändert die Geschichte über das, was hinter dem Label steckt.

FraudGPT ist die zweite belegbar existierende Marke, beworben mit erweitertem Feature-Set für „nicht erkennbare Malware“ und Phishing-Seiten. Trustwave und Netenrich haben 2023 frühe Analysen veröffentlicht. Die Werbung des Anbieters ist erheblich aggressiver als bei WormGPT, die forensische Substanz ist proportional unsicherer.

Evil-GPT, DarkBART, BlackHatGPT sind die nächste Schicht: Nachahmer mit eigenen Vertriebs-Identitäten, manche dokumentiert, manche flüchtig. Bei jedem Tool gilt dieselbe Frage — ist das ein eigenes Modell oder ein Wrapper, der einen Mainstream-Anbieter mit Jailbreak-Prompts ansteuert? In der Mehrzahl der Fälle: das Zweite.

Was Vendor-Marketing ist

Threat-Intelligence-Anbieter sind keine neutralen Beobachter. Ihr Geschäftsmodell ist die Quantifizierung und Zuspitzung von Bedrohungen, an deren Bewältigung ihre Produkte verkauft werden. Das ist nicht ehrenrührig — es ist die Branchenlogik. Aber es verlangt journalistische Distanz.

Vendor-Marketing erkennt man an drei Mustern. Erstens: Steigerungsraten ohne Methodik. Wer „+700 % Deepfake-Versuche im KYC“ ohne Beschreibung der Stichprobe, der Definition eines „Versuchs“ und der Vergleichsbasis kommuniziert, will eine Schlagzeile, keine Erkenntnis. Zweitens: Schadensschätzungen, die KI-Anteile separieren. Behauptungen wie „durch KI verursachte Verluste in Höhe von X Milliarden“ sind ohne kausale Belege nicht haltbar — die Daten zur Trennung existieren nicht. Drittens: Tool-Tests in eigener Publikation. Wer ein Tool kauft, im eigenen Lab testet und das Ergebnis als Beweis für die allgemeine Marktlage präsentiert, blendet die Frage aus, wie repräsentativ dieses Exemplar ist.

Die +300-Prozent-Frage

In der Berichterstattung über KI-getriebenen BEC zirkuliert seit 2024 die Behauptung, die Erfolgsquote dieser Angriffe sei „durch KI um über 300 %“ gestiegen. Die Zahl wird in Vendor-Whitepapers, Konferenzfolien und Sekundär-Berichterstattung weitergereicht, oft ohne Originalquelle. Wer der Behauptung nachgeht, landet in einem Geflecht aus Anbieter-Studien mit unklarer Methodik und Selbstreferenzen.

Was belegbar ist, ist die FBI IC3-Schadensentwicklung bei BEC. Sie ist über mehrere Jahre dokumentiert und folgt einem klaren Aufwärtstrend. Sie unterscheidet aber nicht zwischen KI-gestützten und konventionellen BEC-Vorfällen. Jeder Versuch, daraus einen „KI-Anteil“ herauszurechnen, ist Spekulation.

Was wir aus diesen Daten lesen können: Der Markt für BEC-Schäden wächst. Was wir aus diesen Daten nicht lesen können: Wie viel davon Sprachmodelle verursachen. Beides darf in derselben Analyse stehen, ohne in Widerspruch zu geraten.

Warum BEC und Pig Butchering profitieren

Auch ohne saubere Quantifizierung lässt sich plausibel beschreiben, warum gerade BEC und Pig Butchering von missbrauchbaren Sprachmodellen besonders profitieren. Beide Falltypen haben einen gemeinsamen Engpass: Sprachqualität als Detektionsmarker.

Klassisches Phishing wurde jahrelang an grammatikalischen Auffälligkeiten, holpernder Fachsprache und kulturellen Stilbrüchen erkannt. E-Mail-Sicherheits-Anbieter haben Filter gebaut, die genau diese Marker auswerten. Bei BEC ist diese Filterleistung zum Großteil verloren: Sprachmodelle erzeugen muttersprachlich konsistente, in Tonlage und Vokabular auf das Zielunternehmen abgestimmte Korrespondenz.

Bei Pig Butchering ist die Wirkung noch größer. Operationen aus den Scam-Compounds in Südostasien — vom UN Office on Drugs and Crime 2024 ausführlich dokumentiert — beschäftigen Operatoren, die parallel mehrere Dutzend Opfer betreuen, oft in mehreren Sprachen. Die Sprachmodelle übersetzen in Echtzeit, halten Persona-Konsistenz über Wochen und generieren passende emotionale Reaktionen. Das ändert nicht die Logik der Masche, aber den Skalierungsfaktor: Ein Operator kann statt zehn Opfern dreißig betreuen.

Was im deutschen Mittelstand ankommt

Konkrete Schadenszahlen aus dem deutschen Mittelstand sind schwer zu beschaffen. Anders als in den USA gibt es keine zentrale Meldestelle wie das FBI IC3, die Vorfälle aggregiert veröffentlicht. Was öffentlich vorliegt, sind Branchenstudien (z. B. Bitkom, GDV, Allianz Risk Barometer) und die Lagebilder des BKA.

Aus der Summe dieser Quellen ergibt sich ein Bild, das mit der internationalen Beobachtung kompatibel ist: BEC-Schäden im deutschen Mittelstand bewegen sich nach Branchenschätzungen im niedrigen einstelligen Milliardenbereich pro Jahr, mit deutlicher Steigerung seit 2022. Welcher Anteil davon mit KI-Unterstützung entstand, weiß niemand. Welcher Anteil davon vor zwei Jahren am Sprachfilter aussortiert worden wäre und heute nicht mehr — das wäre die eigentlich interessante Zahl. Es gibt sie nicht.

Die zweite Schicht: ungefilterte Open-Source-Modelle

Während die Aufmerksamkeit der Branche auf den Cybercrime-Brands liegt, wächst auf Hugging Face ein zweiter Markt. Tausende sogenannter „uncensored“ oder „abliterated“ Finetunes von Llama, Mistral und Qwen — Modelle, bei denen die Sicherheitsschicht durch ein technisches Verfahren entfernt wurde, das mit überschaubarem Aufwand reproduzierbar ist.

Diese Modelle sind nicht für Kriminalität gemacht. Die Communitys argumentieren mit Forschung, mit Rollenspiel, mit Zensurkritik. Aber sie sind technisch ohne Hürden für Missbrauch nutzbar — und sie haben eine Eigenschaft, die Cybercrime-Brands nicht haben: Sie sind lokal lauffähig. Wer ein abliterated-Llama-3 auf einem Mittelklasse-Notebook betreibt, hinterlässt keine API-Spur.

Die regulatorische Antwort darauf ist heikel. Hugging Face ist ein US-Unternehmen mit DSA-Pflichten in der EU. Die Plattform reagiert auf konkrete Hinweise, kann aber kaum jedes Finetune einzeln moderieren. Hier verschiebt sich die Verantwortung — und genau diese Verschiebung wird Teil 4 dieser Serie aufgreifen.

Die dritte Schicht: kommerzielle Grauzonen

Die juristisch heikelste Kategorie sind kommerzielle Anbieter, die sich als „zensurfrei“ oder „datenschutzfreundlich“ positionieren und mit minimalen Filtern arbeiten. Sie sind legal registriert, oft in den USA oder Singapur, betreiben Geschäftsmodelle, die mit Mainstream-Anbietern konkurrieren — und werden in einschlägigen Foren regelmäßig als brauchbarer Ersatz für die instabilen Cybercrime-Brands empfohlen.

Diese Anbieter pauschal als „Crimeware“ zu bezeichnen wäre presserechtlich problematisch und sachlich unzutreffend. Was sich beobachten lässt, ist eine Lücke: Wo Mainstream-Anbieter (OpenAI, Anthropic, Google) ihre Modelle aktiv durch Sicherheitsschichten begrenzen, machen Grauzonen-Anbieter genau diese Reduktion zum Verkaufsargument. Das ist ein Geschäftsmodell-Konflikt, kein Cybercrime — aber es speist denselben Markt.