Group-IB warnt vor KI-Deepfake-Betrug am Golf

Die in Singapur ansässige Cybersicherheitsfirma Group-IB hat Kleinanleger und Finanzinstitute in den Golfkooperationsrats-Staaten (GCC) davor gewarnt, dass zwei von ihren Forschern in diesem Jahr dokumentierte KI-gestützte Anlagebetrugsmodelle leicht auf Golfmärkte übertragbar seien, wie Biometric Update und Security MEA berichten. Die Ende August 2026 vom regionalen Team von Group-IB für den Nahen Osten, die Türkei und Afrika (META) veröffentlichte Warnung stützt sich auf eine zweiteilige, Anfang 2026 veröffentlichte Untersuchung zu Betrugsoperationen, die Opfer in Australien und den Vereinigten Staaten ins Visier nahmen. Keine der beiden Maschen sei an den Markt gebunden, in dem sie zuerst beobachtet wurde, so Group-IB: Werbung, Koordination über Messenger-Apps und die Plattform-Infrastruktur ließen sich binnen Tagen auf ein neues Land umlenken.

Die Untersuchung von Group-IB wurde vom hauseigenen Fraud-Protection-Team gemeinsam mit Analysten aus den Bereichen Investigations, Threat Intelligence und CERT-GIB durchgeführt, unter Anwendung des von der Firma so genannten „Cyber Fraud Fusion“-Ansatzes: Er verknüpft Werbung, Server-Infrastruktur und Kryptowährungsflüsse, um ein ganzes Betrugsnetzwerk auf einmal statt Stück für Stück zerschlagen zu können. Die beiden verfolgten Maschen, GoldBull und CoinLure genannt, rekrutieren ihre Opfer beide über Deepfake-Videos und private WhatsApp-Gruppen — genau jene Kanalkombination, die laut Security MEA in der Golfregion bereits der Standardweg ist, auf dem Unternehmen und Privatpersonen über Geld sprechen.

Was die Forscher dokumentierten

GoldBull beginnt mit kurzlebigen bezahlten Anzeigen auf Facebook und Instagram, die per Deepfake-Video Stimme und Erscheinungsbild bekannter Finanzexperten nachahmen. Die Opfer werden in private WhatsApp-Gruppen geleitet und dazu aufgefordert, eine bestimmte Nebenwerte-Aktie an einer echten, regulierten Börse zu kaufen — was den Betrug gerade deshalb so schwer erkennbar macht, weil die Aktien selbst echt sind. In einem von Group-IB dokumentierten Fall wurden die Opfer angewiesen, zu 24,79 US-Dollar je Aktie zu kaufen; koordinierte Käufe der Gruppe trieben den Kurs anschließend um 12,4 % auf 27,87 US-Dollar, bevor er auf 14,27 US-Dollar einbrach — ein Verlust von 42,4 % gegenüber dem Einstiegspreis der Opfer. Group-IB schätzt das für diese Bewegung nötige Kapital auf 1,5 bis 3 Millionen US-Dollar, erreichbar mit nur 500 bis 3.000 koordinierten Teilnehmern.

CoinLure, die zweite Masche, betreibt ein Netzwerk aus mehr als 200 verbundenen gefälschten Krypto-Investmentplattformen, die auf gemeinsamen Vorlagen und gemeinsamer Infrastruktur aufgebaut sind, sodass der Betrieb einzelne Abschaltungen übersteht. Die On-Chain-Analyse einer einzelnen Plattform durch Group-IB identifizierte mehr als 90.000 US-Dollar an Opfereinzahlungen auf seit 2022 aktiven Bitcoin-, Ethereum- und USDT-TRC20-Adressen. Die Plattformen zeigen laut Group-IB frei erfundene Renditen und bieten mathematisch unmögliche Tagesgewinne an, und sie akzeptieren ausschließlich Kryptowährungen. Versuchen Opfer eine Auszahlung, verlangen die Plattformen erfundene Steuern, Compliance-Gebühren oder Konto-Upgrades — jede Zahlung gefolgt von einer weiteren — und die Opfer werden später oft erneut von angeblichen „Wiederbeschaffungsfirmen“ kontaktiert, die tatsächlich von denselben Betreibern geführt werden.

Warum Golfmärkte ins Muster passen

Group-IB nennt mehrere Gründe, warum der GCC ein plausibles nächstes Ziel ist. WhatsApp ist in der Region der Standardkanal für geschäftliche und finanzielle Gespräche — genau der Kanal, auf den beide Maschen angewiesen sind. Die Krypto-Akzeptanz ist hoch und steigt weiter: Die Vereinigten Arabischen Emirate belegen im Henley Crypto Adoption Index 2025 weltweit Platz fünf, und Saudi-Arabien verzeichnete ein Wachstum des Kryptowährungs-Transaktionsvolumens von 154 % im Jahresvergleich auf rund 31 Milliarden US-Dollar. Die Basis an Kleinanlegern wächst an den Kapitalmärkten des Golfs rasch, und gerade neuere Investoren sind das Hauptziel von Maschen wie GoldBull und CoinLure. Betrüger klonen bereits Markenauftritte und Lizenznummern regulierter Firmen, so Group-IB — eine Taktik, die für ausländische Investoren, die mit lokalen Lizenzregimen weniger vertraut sind, schwerer zu erkennen ist. Regionale Aufsichtsbehörden haben ihrerseits wiederholt vor unlizenzierten Investmentfirmen und Beratern gewarnt, die über Messenger-Apps und soziale Medien agieren.

• GoldBull: Deepfake-Videoanzeigen auf Facebook/Instagram lenken Opfer in WhatsApp-Gruppen, die koordinierte Käufe von Nebenwerte-Aktien organisieren; ein dokumentierter Fall zeigt 42,4 % Verlust gegenüber dem Einstiegspreis
• CoinLure: über 200 gefälschte Krypto-Plattformen auf gemeinsamen Vorlagen, über 90.000 US-Dollar an nachverfolgten Einzahlungen auf einer einzigen Plattform seit 2022, nur Kryptowährungen, gefälschte Auszahlungsgebühren
• VAE weltweit Platz 5 im Henley Crypto Adoption Index 2025; Kryptowährungs-Transaktionsvolumen in Saudi-Arabien um 154 % im Jahresvergleich auf rund 31 Milliarden US-Dollar gestiegen
• Die umfassendere Untersuchung von Group-IB deckte ein 187-Millionen-Dollar-Betrugsökosystem in Australien und den USA auf, mit mehr als 20 gefälschten WhatsApp-Konten, die einen einzigen australischen Ökonomen imitierten
• US-Anlagebetrug verursachte im vergangenen Jahr gemeldete Verluste von 7,9 Milliarden US-Dollar, Australien 837,7 Millionen US-Dollar

Behandeln Sie jede über eine private WhatsApp- oder Telegram-Gruppe beworbene Anlagemöglichkeit bis zum Beweis des Gegenteils als betrügerisch, und überprüfen Sie das Unternehmen bei Ihrer nationalen Finanzaufsicht, bevor Sie Geld senden. Betrachten Sie ein Video-Testimonial nie als Beweis — Deepfake-Werkzeuge können jede öffentliche Person überzeugend nachbilden.

Was sich für deutsche Anleger und Anbieter im Golf ändert

Die Warnung kommt, während Saudi-Arabiens Daten- und KI-Behörde SDAIA angesichts zunehmender KI-gestützter Angriffe bereits in diesem Jahr eigene Deepfake-Leitlinien veröffentlicht hat und ein im Juli erschienener UN-Bericht dokumentiert, wie sehr Deepfakes zu einem festen Bestandteil organisierten, grenzüberschreitenden Anlagebetrugs geworden sind. Für ein Brokerhaus, eine Börse oder eine Bank mit Sitz am Golf weisen die konkreten Erkenntnisse von Group-IB auf handfeste Abwehrmaßnahmen hin, nicht nur auf allgemeine Vorsicht: das Auftauchen von Deepfake-Videos überwachen, die die eigene Führungsriege oder die eigene Lizenznummer missbrauchen, da genau diese Art des Klonens in den beobachteten Maschen bereits dokumentiert ist; Krypto-only-Plattformen und über WhatsApp koordinierte Aktientipps als Warnsignale behandeln, über die Kunden aktiv informiert werden, statt sie nur passiv in einem Disclaimer zu erwähnen; und ein Verfahren zur Entfernung von sich als das eigene Unternehmen ausgebenden Inhalten bereithalten, da laut Group-IBs Untersuchung dieselben Deepfake-Aufnahmen und Plattformvorlagen einfach gegen einen neuen Markt eingesetzt werden, sobald die Abwehr eines Landes aufgeholt hat. Für einen einzelnen Anleger in der Region ist der praktische Test einfacher: Ein Aktientipp, der über eine WhatsApp-Gruppe eintrifft und mit dem Video eines wiedererkennbaren Finanzexperten versehen ist, ist den Erkenntnissen von Group-IB zufolge eher eine wiederverwendete Betrugsvorlage als eine echte Chance.