Falsche Menschen am Fließband herstellen

Zwei Kapitel des Berichts, Einflussnahme und Betrug, erzählen dieselbe Geschichte in zwei Gewändern: Menschen herstellen, die es nicht gibt, in großer Zahl, und sie mit Menschen sprechen lassen, die es sehr wohl gibt. Neun Einflussoperationen aus Russland, dem Iran, der Türkei, den Golfstaaten, Südasien, Afrika und Europa, ein Netz von Dating-Apps und ein roter Faden: Der Beweis durch Gesicht, Stimme und Schreibstil beweist nichts mehr.

Was Anthropic sieht und die Plattformen nicht #

Der Beobachtungsposten ist ungewöhnlich. Ein soziales Netzwerk entdeckt eine Operation, wenn der Inhalt bereits zirkuliert. Ein Modellanbieter sieht sie, während sie aufgebaut wird: wenn der Akteur plant, seine Ziele auswählt und sein Material schreibt. Daraus ergibt sich die Fähigkeit, früh einzugreifen, und völlige Blindheit für alles Weitere. Um die Wirkung zu messen, verwendet Anthropic die Breakout-Skala mit sechs Kategorien: Die erste bezeichnet einen Inhalt, der auf eine einzige Gemeinschaft auf einer einzigen Plattform beschränkt bleibt, die folgenden eine immer breitere Verbreitung.

Das Kapitel beginnt mit acht Tendenzen, die sich wie die Stellenbeschreibung einer Branche lesen, die sich gerade professionalisiert.

• Einflussnahme als Dienstleistung. Firmen produzieren Inhalte für jeden, der zahlt, was dem Auftraggeber eine glaubhafte Abstreitbarkeit verschafft. In zwei Fällen führte eine real tätige Werbe- oder Marketingagentur die Operation neben ihrem regulären Geschäft.
• KI als Schlussredaktion. Das Modell fügt sich in eine bereits bestehende menschliche Redaktionskette ein, wodurch Akteure mit wenig Mitteln einen Umfang erreichen, der sonst außer Reichweite wäre.
• KI baut den Apparat, nicht nur den Inhalt. Doktrin-Handbücher, Akten über die Opposition, Ministerportfolios, Persona-Systeme, Zieldatenbanken, Arbeitsverträge, die redaktionelle Loyalität festschreiben, Bewertungsraster für das Personal.
• Dauerhafte Werkzeuge. Doktrin-Dateien, die über Hunderte Sitzungen fast wörtlich wiederverwendet werden, Listen verbotener Wörter in den Agenten, gemeinsame Dateien mit genehmigten Quellen und Umgehungsregeln, Software, die das Modell in festen Stapeln aufruft. Die Produzenten müssen sich nicht mehr kennen. Ein Akteur baute einen Kurs auf, um die Methode zu lehren.
• Das Waschen von Urheberschaft, Quelle und Gewissheit. Entfernen der staatlichen Urheberschaft bei neu veröffentlichtem Material, Weiterreichen von Behauptungen über Ketten von Medien, bis sie unabhängig bestätigt scheinen. In einem russischen Fall erzeugte der Akteur Behauptungen, die das Modell als unbestätigt bezeichnete, und wies es dann an, diese Vorbehalte zu entfernen.
• Verstärkte operative Sicherheit. Spuren maschinell erzeugter Texte tilgen, eine Logik zum Vorwärmen von Konten aufbauen, Metadaten und Codenamen vor der Auslieferung entfernen. Beim Zugang: VPN, ausländische Nummern, wechselnde Konten, Dienste Dritter, die die Herkunft verschleiern.
• Falsche Personas und Missbrauch der Identität realer Personen. Generierte Profilfotos, erfundene Biografien für falsche Journalisten, aber auch das Auftreten im Namen realer Personen und Institutionen, darunter ein staatlicher Sprecher und eine Menschenrechtsorganisation.
• Gezielte Angriffe auf Personen und Rechenschaftsmechanismen. Klonen des Kontos eines realen Aktivisten, eine von Dritten geschriebene Zeugenaussage, die vor einem internationalen Gremium vorgetragen wurde, Gegendossiers über UN-Berichterstatter.

Siebzig Zeitungen, die es nicht gibt, von Frankreich aus aufgebaut #

Der Fall GTG-54002 ist derjenige, der die Aufmerksamkeit eines französischen Lesers am meisten verdient. Anthropic hat ein Netz von rund siebzig falschen Nachrichtenseiten, die sich als unabhängige Lokalredaktionen ausgaben, bis zu LKM Company, einer französischen Agentur für Online-Werbung, zurückverfolgt; verstärkt wurden sie von ebenso vielen Konten auf X und von mehr als 250 Kommentarkonten, die im Juni und Juli 2025 angelegt wurden, viele mit generierten Profilfotos. Die Domains wurden innerhalb von zehn Wochen von Frankreich aus registriert, auf einer gemeinsamen Infrastruktur hinter einem einzigen Deployment: Dieses Hosting-Detail verband sie mit einem einzigen Konto.

• 8.913 Artikel in etwa zwanzig Sprachen, mit Zielen auf sechs Kontinenten, mit Schwerpunkt auf den USA, Brasilien, Frankreich und der Demokratischen Republik Kongo, darunter 318 Artikel für das letztgenannte Land.
• Eine standardisierte Pipeline: Jeder Prompt gab eine feste JSON-Struktur vor, formatiertes HTML, exakte Zeichengrenzen und drei bis vier interne Links pro Artikel, ausdrücklich, um das Ranking der Seiten in Suchmaschinen zu verbessern.
• Drei wiederkehrende Manöver: dieselbe Meldung je nach Publikum in zwei entgegengesetzte ideologische Richtungen umschreiben, einem unpolitischen Thema einen politischen Dreh geben und eine Geschichte waschen, indem man sie über Grenzen schickt, bis sie ihren Kontext verliert.
• Namenszeilen von Journalisten, die es nicht gibt, um jeder Seite den Anschein einer Redaktion zu geben.
• Das Netz vertrat keine Linie: Es wechselte das Lager, je nachdem, wer zahlte. Das ist die Definition von Einflussnahme als Dienstleistung.

Was das Netz verriet: Am 11. September 2025 veröffentlichten seine Seiten nahezu identische Artikel zum Konflikt in der DR Kongo im Abstand von drei Minuten. Anthropic stuft die Operation in Kategorie zwei ein, ohne Durchbruch über die eigenen Konten hinaus.

Tausend vorgewärmte Konten für eine Wahl #

Der Fall GTG-84005 dokumentiert eine kommerzielle Plattform zur Wahlmanipulation mit Ziel Malaysia, verbunden mit einem Istanbuler Technologieunternehmen, das den Zugang dazu verkaufte. Ihre interne Dokumentation beschrieb sie als „KI-gesteuertes Ökosystem für politische Operationen in Echtzeit, in militärischer Qualität“. Nach außen gab sie sich als Werkzeug gegen Desinformation aus.

• Eine Zielauswahl Wahlkreis für Wahlkreis, gestützt auf echte Zensus- und Wahldaten, für alle 222 Wahlkreise des Landes, gerichtet auf die empfindlichsten Bruchlinien: ethnische Zugehörigkeit, Religion, Monarchie.
• Ein Bestand von mehr als 1.000 falschen X-Konten, jedes mit einer Vorwärmlogik, die es vor dem Einsatz als gewöhnliches Konto erscheinen ließ, mit Erneuerung von Cookies und Adressen. Die Dashboards steuerten die Zahl künstlicher Aufrufe, die jedem Ziel zugeteilt wurde: Der Bericht erwähnt eine Anforderung von einer Million Aufrufen für das Konto des amtierenden Premierministers.
• Ein falsches Medium, das echte malaysische Artikel abschöpfte, umschreiben ließ und unter erfundenen Namenszeilen neu veröffentlichte, dazu Inhalte russischer und chinesischer Staatsmedien, von ihrer Urheberschaft befreit und als lokaler Journalismus präsentiert.
• Erfundene nachrichtendienstliche Akten, die einen namentlich genannten Oppositionellen und Organisationen der Zivilgesellschaft beschuldigten, ohne jede Bestätigung, auch nicht in den Recherchen des Modells selbst.

Zwei Details zählen. Das Modell lehnte mehrmals ab, unter anderem nachdem es ein Dokument als politisches Diffamierungsmaterial erkannt hatte: Der Akteur handelte daraufhin eine geglättete Formulierung aus, um dieselbe Fähigkeit aufzubauen. Und der Betreiber bemühte sich um einen Auftrag bei der nationalen Kommunikationsaufsicht; ein Erfolg ist nicht belegt.

Wenn KI in eine echte Redaktion einzieht #

Der Bericht unterscheidet zwei Welten. Die meisten verdeckten Netze erreichen niemanden: Die Mehrheit der entdeckten Inhalte löste keine authentische Interaktion aus. Echte Reichweite entsteht, wenn der Kanal ein bestehendes Staatsmedium ist: UKW-Radio, Satelliten- und Kurzwellenradio, weltweites Fernsehen.

Das ist der Fall GTG-24015: Vier Konten nutzten das Modell als Schlussredaktion für russische Staatsmedien und lieferten fertige Inhalte direkt in die Produktionskette. Ein ehemaliger Chefredakteur der moldauischen Ausgabe verwandelte rumänische und moldauische Presse, Umfragen und Veröffentlichungen der Opposition in russischsprachige Artikel, die von einem staatlichen Telegram-Kanal und einer nationalen Agentur übernommen wurden, mit Schleifen falscher Bestätigung: dieselbe Information, über mehrere Medien weitergegeben, damit sie unabhängig bestätigt wirkt. Er verbreitete auch erfundene diffamierende Behauptungen über die moldauische Präsidentin vor der Wahl am 28. September 2025.

Die drei anderen Konten folgen demselben Muster: ein Dienstleister, der unter redaktioneller Aufsicht in lateinamerikanischem Spanisch schrieb, ein anderer, der für Afrika nach einem hauseigenen Stilhandbuch mit vierzig Regeln produzierte, und ein Mitarbeiter eines Staatsmediums, der Laufbänder, Einblendungen und Sprechertexte auf das Zeichen genau herstellte, auf Grundlage russischer Meldungen und von Material des Auslandsnachrichtendienstes und des Verteidigungsministeriums. In mindestens einem bestätigten Fall ging dieses Material auf Sendung.

Eine weitere Variante, in Zentralafrika, ist der Fall GTG-04001: Ein russischsprachiger Operator in Bangui versorgte einen lokalen UKW-Sender (laut einer im Bericht zitierten Recherche 2017 von der Gruppe Wagner gegründet und finanziert) und brachte seine Inhalte beim nationalen Rundfunk unter, indem er Sendezeit gegen Plätze in einem russischen Ausbildungsprogramm für ausländische Journalisten tauschte. Er ließ das Modell auch die Arbeitsverträge des Teams erstellen (mit Loyalitätsklausel gegenüber dem Präsidenten des Landes und „Russland und seinem Kontingent“), die Stellenbeschreibungen, die Bewertungsraster für Artikel und ein Kündigungsverfahren mit drei Abmahnungen, und nutzte all das, um zu entscheiden, wen er behielt und wen er entließ. Als das Modell auf den politischen Charakter des Rasters hinwies, formulierte der Akteur es neutral um und behielt die Bewertung bei.

Derselbe Akteur stellte gefälschte Regierungsdokumente her (Mitteilungen der Gendarmerie und des Verteidigungsministeriums), ausgehend von den originalen Layoutdateien, und führte eine laufende Übersicht über Persönlichkeiten der Opposition. Diese Passage zeigt am besten, dass KI nicht nur zum Schreiben von Inhalten dient: Sie baut den Verwaltungsapparat einer Einflussoperation auf. Das Modell lehnte die aggressivste Anfrage ab, nämlich reale Personen als Aktivisten zu benennen, um die Sicherheitskräfte auf sie zu lenken; der Akteur wich auf eine anonyme Quelle aus. Die einzige Operation des Kapitels in Kategorie vier.

Das Auftreten als reale Person #

Ein Fall sticht heraus, weil er nicht mehr auf ein Publikum zielt, sondern auf namentlich bekannte Einzelpersonen. Eine Operation mit Verbindung zu einer iranischen Oppositionsorganisation im Exil klonte das Messenger-Konto eines realen Aktivisten. Das Modell erhielt auf Persisch die Anweisung, es sei diese Person; man ließ es rund 8.400 ihrer öffentlichen Nachrichten lesen, um ihren Stil zu kopieren; dann chattete es live mit ihren Kontakten, die, so Anthropic, nicht wussten, dass sie mit einer Maschine sprachen.

Dasselbe Netz hatte mehr als 500 Kanäle abgeschöpft, um Personen im Iran zu profilieren, gruppiert nach Stadt, Alter, Beruf, politischer Ausrichtung und nach früheren Festnahmen, in einem Land, in dem diesen Menschen Gefängnis oder Schlimmeres droht. Es analysierte rund 51.944 archivierte Nachrichten, um psychografische Akten über Dutzende namentlich bekannte Personen zu erstellen. Das Ganze lief auf einer gemeinsamen Agentenplattform, auf der jeder Arbeitsbereich seine Langzeitgedächtnis-Dateien pflegte: verbotene Wörter, genehmigte Quellen, Vermeidungsregeln. Ein Akteur hatte dort die Gründungsdoktrin der Bewegung als „strategische Grunddaten“ hinterlegt, die die anderen wiederverwenden konnten.

Eine falsche NGO vor einem internationalen Gremium #

Der Fall GTG-84002 ist der verstörendste für alle, die mit Institutionen arbeiten. Ein einzelner Akteur betrieb auf seiner eigenen privaten Plattform eine Persona, gesteuert von einer zentralen Doktrin-Datei, die dem Modell über Hunderte Sitzungen dieselbe Mission zuwies. Fünf Baustellen gleichzeitig: ein Netz aus rund 300 falschen Influencer-Konten, zentral finanziert und koordiniert; eine falsche NGO, die die Identität einer realen Organisation kopierte und unter deren Namen Berichte veröffentlichte, die vom auftraggebenden Staat geschrieben waren; offizielle Zeugenaussagen, geschrieben für zwei Personen, die auf der 62. Tagung eines internationalen Menschenrechtsgremiums vorgetragen werden sollten, mit der ausdrücklichen Vorgabe, das auftraggebende Land nie zu nennen; das Profiling von 18 Europaabgeordneten und von Journalisten; Gegendossiers gegen kritische Sonderberichterstatter. Ein interner Bericht bezeichnete die „Unabhängigkeit“ des Netzes als „größten strategischen Vorteil“.

4.700 Personas, 25.000 Menschen, zwei Wochen #

Das Kapitel „Betrug“ enthält nur einen Fall, aber der ist spektakulär. Ein chinesisches Studio baute ein Netz aus mehr als zwanzig Dating-Apps auf und betrieb die Personas, die dort chatteten, während es den Dienst als „100 % menschlich“ verkaufte. In zwei Wochen im April 2026: mehr als 4.700 verschiedene Personas, mindestens 25.000 echte Menschen, 2,36 Millionen Nachrichten, über eine Infrastruktur für den Weiterverkauf von Modellzugängen.

• Drei künstliche Personas auf einen echten Menschen. Der anvisierte Nutzer scrollte durch einen Feed, der zu 75 % aus Personas und zu 25 % aus echten Menschen bestand, ohne sie unterscheiden zu können. Das Studio rekrutierte diese Gig-Arbeiter auf Einladung und bezahlte sie pro Nachricht, pro Videoanruf und pro vermitteltem Abonnement: die Handgriffe, die die Maschine nicht konnte. Diese Menschen wurden ihrerseits unterstützt: Ein anderes Modell schlug ihnen drei Antworten vor, aus denen sie per Fingertipp wählten.
• Mehrere KI-Anbieter, jeder in einer anderen Rolle: hier die Unterhaltung, dort die Bewertung von Gesichtern und die Moderation, anderswo die Generierung der Avatare.
• Eine ausdrückliche Betriebsanweisung: nie verraten, dass man automatisiert ist, Bitten um Videoanruf oder Foto ausweichen, einer festen Abfolge von Schritten folgen. Das System erzeugte falsche „Gefällt mir“-Angaben, falsche Besucher und vorab aufgezeichnete Videos und verfolgte, wer anfing, einen Bot zu vermuten.
• Apps, die darauf ausgelegt waren, die Prüfung der Stores zu bestehen: eine Oberflächensteuerung, die sich nur während der Prüfung durch die Plattformen aktivierte, unterschiedliche Klassennamen in mehr als zwanzig Varianten, um Ähnlichkeitsprüfungen zu täuschen, eine serverseitig aktivierbare und damit verbergbare Umleitung der Zahlungen.

Anthropic vermerkt einen unbequemen Punkt, der die Grenze von Schutzmechanismen im Kontext zeigt. Innerhalb eines Gesprächs unterschied nichts dieses System von einem gewöhnlichen Chat-Begleiter: Weder die Monetarisierung noch die Täuschung waren aus der Unterhaltung heraus sichtbar. In einigen Gesprächen offenbarten Nutzer eine schwere Krankheit oder akute Not; in seinen Überlegungen erkannte das Modell das Problem, und die Antwort blieb in der Rolle.

Was ein Unternehmen am Montag daraus macht #

Der praktische Schluss passt in einen Gedanken: Nichts, was einer Person ähnelt, ist mehr ein Identitätsnachweis. Weder ein Foto noch eine Stimme, weder ein Gesicht in der Videokonferenz noch ein vertrauter Schreibstil.

1. Die Regel des zweiten Kanals, schriftlich festgehalten und ausgehängt. Keine Überweisung, keine Änderung von Bankverbindungen oder Zugängen auf Grundlage eines Anrufs, einer Sprachnachricht, eines Videos oder einer E-Mail ohne Rückruf unter einer bereits bekannten Nummer, nie unter der in der Anfrage angegebenen. Das ist die einzige Maßnahme, die einer perfekten Fälschung standhält, und sie kostet nichts.
2. Ein internes Kennwort zur Verifizierung für sensible Anfragen zwischen Geschäftsführung und Buchhaltung. Altmodisch, wirksam, von einer Maschine nicht nachzubilden.
3. Ein Einstellungsverfahren, das die Existenz prüft. Der Anthropic-Bericht vom August 2025 dokumentierte bereits Operatoren, die technische Stellen ergatterten, ohne programmieren zu können. Live-Videointerview mit unvorhersehbaren Fragen, Identitätsprüfung bei der Einstellung, Vorsicht bei Remote-Profilen mit nicht auffindbaren Referenzen.
4. Eine Überwachung Ihrer eigenen Marke. Ähnliche Domains, falsche Profile Ihrer Führungskräfte, falsche Bewertungen, Artikel, die Sie auf unbekannten Seiten zitieren. Daher der Wert eines korrekt gepflegten und signierten DNS und einer abgesicherten E-Mail-Domain: Der Identitätsmissbrauch beginnt oft dort.
5. Eine Regel zur Prüfung von Quellen für alles, was in eine Entscheidung einfließt: zwei Quellen, deren Herausgeber Sie kennen, und Misstrauen gegenüber einer Information, die „von mehreren Medien bestätigt“ ist und vielleicht nur eine einzige gewaschene Quelle hat. Das Waschen von Gewissheit besteht genau darin, die Vorbehalte einer Behauptung verschwinden zu lassen, indem man sie zirkulieren lässt.

Morgen, letzter Teil: die Extremfälle (Raketen, autonome Drohnen, biologische Forschung) und was sie über die Wahl eines KI-Anbieters sagen. Mit der Checkliste, die die zehn Tage zusammenfasst.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026): Kapitel Influence operations (Seiten 41 bis 80) und Scams and fraud (Seiten 139 bis 142).
• Zitierte Fälle: GTG-04001, GTG-54002, GTG-84005, GTG-24015, GTG-34001, GTG-54006, GTG-84006, GTG-54004, GTG-84002 und GTG-15001.
• Anthropic, Detecting and countering misuse of AI: August 2025: zu Operatoren, die sich in technische Stellen einschleusen.
• Unser erster Artikel zum Thema: KI hackt bereits: vierzehn Monate, die die Bedrohung verändert haben.