Menschen suchen nach einer Liste von Romance-Scammern, weil sie schnell prüfen möchten, ob ein Profil, eine Telefonnummer, ein Foto, eine Wallet, eine Bankverbindung oder ein Konto schon einmal gesehen wurde. Eine Liste von Romance-Scammern kann bei der Triage helfen, beantwortet aber für Dating- und Social-Plattformen oder Bank-Fraud-Teams nur selten die eigentliche operative Frage vollständig. Die echte Lücke ist meist nicht das Fehlen von Listen. Das Problem ist, dass statische Listen häufig wechselnde Identitäten, neue Zahlungswege, wiederverwendete Medien, verknüpfte Konten und den für Maßnahmen nötigen Kontext nicht erfassen.
In der Praxis müssen Teams mehr wissen als nur: „Ist das schon einmal aufgetaucht?“ Sie müssen wissen, was dieses Signal bedeutet, wie aktuell es ist, womit es sonst verbunden ist und wie es sich in der Prüfung nutzen lässt. Dieser Artikel erklärt, wofür Listen gut sind, wo sie versagen und was ein Live-Intelligence-Ansatz ergänzen kann, ohne mehr zu versprechen, als er leistet.
Was Menschen meinen, wenn sie nach einer Liste von Romance-Scammern suchen
Wenn Menschen nach einer Liste von Romance-Scammern suchen, meinen sie in der Regel eine durchsuchbare Sammlung scambezogener Identifikatoren im Zusammenhang mit Romance Fraud. Dazu können Namen, Profilfotos, Telefonnummern, Social-Handles, E-Mail-Adressen, Bankdaten, Krypto-Wallets und andere Kennungen gehören, die in Scam-Meldungen oder Ermittlungen aufgetaucht sind.
Verschiedene Teams nutzen solche Listen auf unterschiedliche Weise:
- Trust-and-Safety-Teams nutzen sie, um Account-Reviews zu unterstützen, Meldungen zu verknüpfen und Enforcement-Entscheidungen vorzubereiten.
- Bank-Fraud-Teams nutzen sie für Zahlungsrisikoprüfungen, die Prüfung von Begünstigten und die Anreicherung von Fällen rund um Kundenmeldungen.
Die meisten Suchenden möchten eine einfache Ja-oder-nein-Antwort: Wurde dieses Profil, diese Nummer, diese Wallet oder dieses Konto schon einmal gesehen? Das Problem ist, dass Romance Scams selten so einfach bleiben. Sie sind anpassungsfähig und laufen oft über mehr als einen Kanal, mehr als eine Identität und mehr als eine Zahlungsmethode.
Dieselbe Person kann unterschiedliche Profilnamen verwenden, Messenger-Konten wechseln, ein Foto wiederverwenden, ein Gespräch vom Plattform-Chat zu Telegram oder E-Mail verlagern und Zahlungsdaten rotieren. In einem Fall ist vielleicht eine Telefonnummer entscheidend, in einem anderen aber auch was hilft, wenn Teams eine Scam-Telefonnummer melden, was Fraud-Teams bei einem Bankkonto eines Scammers prüfen oder Wallet-Screening in Scam-Fällen.
Deshalb sollte eine Liste meist als Ausgangspunkt für die Triage betrachtet werden, nicht als vollständiges Bild einer Person oder einer größeren Kampagne. Auch Fotoprüfungen gehören routinemäßig zur Prüfung von Romance-Scams; einen tieferen Einblick finden Sie unter Prüfung von Profilfotos.
Warum statische Listen aktive Romance-Scam-Operationen nicht erfassen
Statische Listen altern schnell. Romance-Scam-Operationen wechseln Identifikatoren, sobald ein Konto, eine Nummer, eine Wallet oder ein Profil nicht mehr funktioniert. Was in einer Tabelle oder Datenbank aktuell aussieht, kann der laufenden Operation bereits einen Schritt hinterherhinken.
Das ist eine der zentralen Grenzen eines listenbasierten Ansatzes: Er erfasst oft nur das zuletzt sichtbare Artefakt. Eine prüfende Person sieht vielleicht eine Telefonnummer, eine Wallet oder eine Bankverbindung und behandelt sie als den entscheidenden Datenpunkt. In Wirklichkeit kann dieselbe Operation über andere Chats und Kanäle bereits mehrere Ersatzvarianten im Einsatz haben. Dieses Problem verschärft sich, wenn der Kontakt zwischen Plattformen, E-Mail und Messenger-Konten wechselt oder wenn Sprachkontakt hinzukommt; selbst eine Telefonnummer kann in manchen Fällen ein schwacher Anker sein, wie Caller-ID-Spoofing in Scam-Operationen zeigt.
Eine weitere Lücke ist das Timing. Von Scammern kontrollierte Kanäle können nach dem Kontakt geändert, entfernt oder verändert werden. Nachrichten können gelöscht werden, Accounts verschwinden, und geteilte Artefakte sind später möglicherweise nicht mehr sichtbar, wenn Ermittlerinnen oder Ermittler sie prüfen. Deshalb ist die Erfassung zum Zeitpunkt des Kontakts wichtig. Active Defense speichert jede Nachricht in dem Moment, in dem sie eingeht, sodass ein späteres „für alle löschen“ die gespeicherte Kopie nicht entfernt.
Viele statische Listen schaffen es außerdem nicht, zusammengehörige Belege über verschiedene Chats hinweg zu verbinden. Häufige Beispiele sind:
- derselbe Payment-Handle in unterschiedlichen Geschichten
- dasselbe Foto, das unter verschiedenen Identitäten wiederverwendet wird
- dasselbe Konto, das in ein neues Gespräch weitergeleitet wird
Genau hier ist Actor Linkage nützlicher als eine flache Liste isolierter Einträge. Wenn Chats einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto gemeinsam haben, lassen sie sich einer Person zuordnen. Für Trust-and-Safety- und Bank-Fraud-Teams bietet das eine operativere Sicht als einzelne Einträge ohne Beziehung zueinander.
Ohne Aktualität, Verknüpfung und Belege auf Nachrichtenebene entstehen in Moderation und Ermittlungen leicht blinde Flecken. Domains und Links können sich genauso schnell ändern wie Accounts. Teams, die Links prüfen, möchten daher vielleicht auch Domain-Reputation in Scam-Ermittlungen prüfen genauer betrachten.
Wie bessere Intelligence für Plattformen und Banken aussieht
Für Plattformen und Banken ist eine bessere Antwort als eine statische Liste von Romance-Scammern Intelligence, die aktuell, strukturiert und in realen Fallabläufen nutzbar ist. Teams brauchen nicht einfach nur ein Verzeichnis problematischer Namen. Sie brauchen Belege, die sie prüfen, verknüpfen und ohne komplette manuelle Neuerstellung in Enforcement-, Zahlungsrisiko- und Ermittlungssysteme übernehmen können.
Dahinter steht das Modell von Active Defense. Active Defense setzt KI-Köder-Personas ein, die Scammer auf Telegram und per E-Mail im Gespräch halten, und wandelt das, was Scammer preisgeben, in einen Threat-Intelligence-Feed um. Statt im Nachhinein auf verstreute Meldungen zu warten, erfasst das System, was der Scammer im Gespräch liefert, und strukturiert es für die Verteidigung.
Der Feed kann enthalten:
- Krypto-Wallets
- Bankdaten
- Telefonnummern
- Messenger-Konten
- Links
- Geschenkkarten
- Payment-Handles
- Datei- und Foto-Hashes
Jeder extrahierte Indikator wird mit einem Confidence Score versehen. Das ist in der Praxis wichtig, weil nicht jedes Signal dasselbe operative Gewicht haben sollte. Manche Indikatoren sind strukturell besser gestützt als andere, und Teams brauchen eine Möglichkeit, höher vertrauenswürdige von schwächeren Signalen zu trennen, bevor sie sie in Triage, Review-Queues oder nachgelagerte Kontrollen übernehmen. Für Teams, die Review-Standards festlegen, sind Confidence und Fehlerbehandlung Teil der operativen Fragestellung und keine Nebensache.
Der nächste Schritt über eine flache Liste hinaus ist die Verknüpfung. Wenn Chats einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto gemeinsam haben, lassen sie sich einer Person zuordnen. Das gibt Trust-and-Safety-Teams einen besseren Blick auf wiederholten Missbrauch über verschiedene Konten und Geschichten hinweg. Und es hilft Bank-Fraud-Teams zu erkennen, wie sich Muster bei der Zahlungsabschöpfung wiederholen, selbst wenn sich die umgebende Identität ändert.
Jeder Kunde erhält seinen eigenen Feed mit STIX-2.1-Export. Das erleichtert die Einbindung der Intelligence in bestehende Tools, während Teams ihre eigenen Workflows und Entscheidungspunkte beibehalten können. Für Organisationen, die Erfassung und Aufsicht bewerten, ist außerdem wichtig, dass Antworten standardmäßig von KI entworfen und von einer menschlichen Operatorin oder einem menschlichen Operator freigegeben werden; mehr dazu finden Sie unter So funktioniert das Review-Modell.
Es geht hier nicht darum, isolierte Artefakte zu veröffentlichen oder Opfer zu benennen. Es geht darum, von Scammern gelieferte Belege in strukturierte Intelligence zu verwandeln, die Verteidiger nutzen können. Wer breitere Muster sehen möchte, kann auch wöchentliche Scam-Briefings und monatliche Scam-Datenberichte lesen.
Fragen, die Teams zu einer Liste von Romance-Scammern stellen
Reicht eine Liste von Romance-Scammern aus, um zu entscheiden, ob ein Konto oder eine Zahlungsangabe Teil eines Betrugs ist?
Nein. Eine Liste von Romance-Scammern kann die Triage unterstützen, reicht aber allein nicht aus, um zu entscheiden, dass ein Konto, eine Bankverbindung oder eine Wallet Teil eines Betrugs ist. Teams brauchen Kontext: wann der Identifikator aufgetaucht ist, aus welchem Gespräch er stammt, ob er mit anderen Chats verknüpft ist und wie stark das Signal ist. Ein einzelner Treffer kann nützlich sein, aber für eine Fallentscheidung braucht es meist mehr als einen Match gegen einen flachen Datensatz.
Was sollten Trust-and-Safety-Teams außer Namen und Profilfotos prüfen?
Sie sollten auf das umgebende Missbrauchsmuster achten, nicht nur auf die dargestellte Identität. Sinnvolle Prüfungen sind:
- verknüpfte Messenger-Konten und E-Mail-Adressen
- wiederholte Zahlungsaufforderungen oder Payment-Handles
- wiederverwendete Fotos oder Dateien
- weitergeleitete Konten, die das Gespräch von der Plattform weg verlagern
- gemeinsame Links oder andere Indikatoren über getrennte Meldungen hinweg
Damit lässt sich eine schwierigere Frage beantworten als nur „Taucht dieser Name schon einmal auf?“ Es hilft zu zeigen, ob getrennte Konten Teil derselben Person sein könnten.
Worauf sollten Bank-Fraud-Teams außer auf ein einzelnes gemeldetes Konto oder eine Wallet achten?
Bank-Fraud-Teams müssen die Sicht in der Regel über die erste Begünstigtenangabe in einer Kundenmeldung hinaus erweitern. Eine gemeldete Bankverbindung oder Krypto-Wallet kann nur ein einziger Sammelpunkt in einem größeren Muster sein. Hilfreich ist zu prüfen, ob derselbe Fall auch andere Zahlungswege, Kontaktkanäle oder wiederverwendete Artefakte umfasst, die derselben Person zugeordnet sind. So wird ein Fall oft verständlicher, als wenn ein einzelnes Konto als die ganze Geschichte behandelt wird.
Wie kann ein Team falsche Sicherheit beim Einsatz von Scam-Indikatoren vermeiden?
Behandeln Sie Indikatoren als bewertete Signale, nicht als endgültigen Beweis. Teams sollten stärkere von schwächeren Signalen trennen und sie im Kontext prüfen. Active Defense extrahiert Indikatoren aus Nachrichten und vergibt für jeden einen Confidence Score. Das unterstützt einen sorgfältigeren Workflow: höher bewertete Elemente für schnellere Triage nutzen, bei niedriger bewerteten vorsichtiger vorgehen und keinen einzelnen Indikator zu einer eigenständigen Schlussfolgerung machen.
Wie können wir eine Live-Intelligence-Quelle vor einem größeren Rollout bewerten?
Beginnen Sie mit praktischen Fragen:
- Ist die Erfassung aktuell genug für die laufende Fallbearbeitung?
- Sind die Belege für bestehende Systeme strukturiert?
- Kann die Quelle Verknüpfungen über Chats hinweg zeigen?
- Gibt es menschliche Prüfung im Antwortprozess?
- Lässt sich der Feed vor einer breiteren Einführung testen?
Für Teams, die das in begrenztem Rahmen bewerten möchten, bietet Active Defense ein kostenloses Feed-Sample für qualifizierte Leads und einen 90-Tage-Pilot für bis zu 500 Gespräche zu 1.900 EUR netto, der anschließend auf das Abonnement angerechnet wird.
Wie ein Live-Feed Ermittlungen und Enforcement unterstützen kann
Für Trust-and-Safety-Teams ist ein Live-Feed nützlich, wenn er in Review- und Enforcement-Arbeit passt. Er kann aktuelle Scam-Indikatoren zu Account-Ermittlungen hinzufügen, helfen, wiederholten Missbrauch über getrennte Profile oder Gespräche hinweg zu verbinden, und die Priorisierung erleichtern, welche Fälle eher zu einer größeren Operation gehören als zu einer einmaligen Meldung. Das ist wichtig, wenn dieselbe Person Namen wechselt, Kontaktpunkte rotiert oder Medien wiederverwendet und das zugrunde liegende Muster dabei gleich bleibt.
Für Bank-Fraud-Teams kann dieselbe Intelligence Kontext zu dem liefern, was Kundinnen und Kunden in Romance-Scam-Fällen melden. Dazu gehören Zahlungsaufforderungen, Begünstigtendaten, Gift-Card-Forderungen, Krypto-Wege und die Kontaktkanäle, über die das Gespräch weitergeführt wird. Statt ein einzelnes gemeldetes Zahlungsziel als den gesamten Fall zu behandeln, können Teams betrachten, wie es in ein breiteres Muster passt, das derselben Person zugeordnet ist.
Nützlich wird das durch die Kombination aus drei Dingen:
- Nachrichtenhistorie, die zum Zeitpunkt des Kontakts erfasst wurde
- extrahierten Indikatoren mit Confidence Scores
- Actor Linkage über gemeinsame Indikatoren, wiederverwendete Fotos oder weitergeleitete Konten hinweg
Zusammen eingesetzt unterstützen diese Elemente die Fallanreicherung besser als jeder einzelne Datenpunkt für sich.
Auch die Art der Erfassung ist wichtig. Antworten an Scammer werden standardmäßig von KI entworfen und von einer menschlichen Operatorin oder einem menschlichen Operator freigegeben, sodass der Prozess auf Aufsicht statt auf unbeaufsichtigte Automatisierung ausgelegt ist. Teams, die Betriebsmodell und Review-Kontrollen bewerten, können dafür die bestehende Erklärung zum Human-in-the-Loop-Ansatz nutzen.
Auf Deployment-Ebene laufen Console und API auf Azure in Deutschland. Für Teams, die fortlaufende Muster statt einzelner Fälle verstehen möchten, liefern die Briefings und Reports mehr Kontext zu Scam-Aktivitäten aus Live-Gesprächen.