„named entity resolution“ wird oft verwendet, um zwei verwandte, aber unterschiedliche Aufgaben zu bezeichnen: benannte Dinge in Texten zu finden und zu entscheiden, welche Datensätze auf denselben Akteur in der realen Welt verweisen. In diesem Beitrag erhalten Threat-Intelligence- sowie Trust-and-Safety-Analysten eine klare Abgrenzung, praktische Beispiele und ein Modell dafür, wie sich beides in Scam-Untersuchungen gemeinsam einsetzen lässt – auf Basis von Active Defense workflows, wöchentlichen Scam-Briefings und monatlichen Scam-Datenberichten.
Bei Abuse- und Fraud-Arbeit kann die Vermischung dieser Begriffe zu schwachen Datenmodellen, verrauschtem Linking oder übersehenen Verbindungen zwischen Gesprächen führen. Die Grundidee ist einfach: Die Extraktion identifiziert potenzielle Indikatoren wie Wallets, Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- oder Foto-Hashes. Die Resolution verknüpft anschließend zusammengehörige Beobachtungen zu einem Akteur, wenn die Belege dafür ausreichen.
Was meist mit named entity resolution gemeint ist
Online wird „named entity resolution“ oft unscharf verwendet. In der Praxis müssen Analysten jedoch meist zwei verschiedene Aufgaben trennen:
- Entitäten in Texten oder Medien erkennen
- auflösen, ob sich zwei Erwähnungen, Datensätze oder Chats auf dasselbe beziehen
Eine benannte Entität ist schlicht ein Verweis auf etwas Identifizierbares in dem Bereich, der für Sie relevant ist. Je nach Workflow kann das eine Person, Organisation, ein Ort, ein Konto, eine Wallet, eine Telefonnummer, eine Domain oder eine Bankverbindung sein. In der Scam-Analyse sind viele der nützlichsten Entitäten gar keine klassischen Eigennamen, sondern operative Kennungen, die sich beobachten, bewerten und vergleichen lassen.
Deshalb ist es hilfreich, die Fragen getrennt zu halten. Die Extraktion fragt: Was steckt in dieser Nachricht? Die Resolution fragt: Welche Beobachtungen gehören zusammen?
Der Unterschied ist wichtig, weil die Ergebnisse verschieden sind. Die Extraktion wandelt Rohinhalte in strukturierte Felder um, die Analysten durchsuchen, filtern und exportieren können. Die Resolution ergänzt Beziehungen über Nachrichten, Chats und Akteure hinweg, sodass wiederkehrende Aktivitäten gruppiert statt als isolierte Ereignisse behandelt werden.
Ein einfaches Threat-Intelligence-Beispiel zeigt die Trennung. Eine Nachricht kann eine Wallet-Adresse und einen Telegram-Handle enthalten. Eine andere kann dieselbe Wallet in einem anderen Format enthalten oder ein weitergeleitetes Konto, das auf dieselbe Operation zurückführt. Die erste Aufgabe ist, diese Werte korrekt zu erkennen. Die zweite ist zu entscheiden, ob sie eine Verknüpfung stützen.
Resolution kann zudem auf mehr als einer Ebene stattfinden:
- Mention-zu-Mention
- Datensatz-zu-Datensatz
- Clustering auf Akteursebene
Das ist wichtig, wenn Sie Werkzeuge bewerten. Dieselbe Formulierung kann im Marketing von Anbietern Extraktion, Matching, Deduplizierung oder vollständiges Akteurs-Clustering meinen. Analysten sollten daher über das Label hinaus auf Methode und Ergebnis schauen: Was wird extrahiert, was verknüpft, auf welcher Ebene und auf Basis welcher Belege?
Zuerst die Extraktion: unübersichtliche Scam-Chats in strukturierte Daten überführen
Extraktion ist der Schritt, in dem unstrukturierte Scam-Inhalte zu maschinell nutzbaren Beobachtungen werden. Analysten starten nicht mit sauberen Formularen oder normalisierten Datensätzen. Sie beginnen mit Chat-Texten, Fotos, Sprachnachrichten und Dateien, die Fragmente operativer Daten in uneinheitlichen Formaten enthalten können.
In diesem Bereich gehören zu den nützlichen Entitäten oft:
- Krypto-Wallets
- Bankdaten
- Telefonnummern
- Messenger-Konten
- Links
- Geschenkkarten
- Payment-Handles
- Datei- und Foto-Hashes
Das klingt zunächst einfach, bis man sich das Ausgangsmaterial ansieht. Scam-Gespräche sind meist kurz, informell und repetitiv. Sie können mitten im Thread die Sprache wechseln, kopierte Skripte wiederverwenden oder wichtige Details in Anhänge statt in Klartext auslagern. Ein System, das für sauber formulierte Geschäftsdokumente gebaut wurde, wird hier vieles Relevante übersehen.
Es hilft auch, bei der Terminologie präzise zu sein. Nicht jede Entität in der Scam-Analyse ist im klassischen NLP-Sinn ein Eigenname. Eine Wallet-Adresse, ein Payment-Handle, ein weitergeleitetes Konto oder ein Bild-Hash ist für operative Zwecke dennoch eine Entität, auch wenn sie nicht wie eine Person, ein Ort oder eine Organisation aussieht. Das ist ein Grund, warum der Ausdruck „named entity resolution“ für Analysten im Fraud- und Abuse-Bereich irreführend sein kann.
Eine praktische Qualitätsregel ist, jedem extrahierten Indikator einen Score zu geben. Manche Werte sind strukturell eindeutig, etwa eine korrekt formatierte Wallet oder Bankverbindung. Andere hängen stärker vom Kontext, von Formatierungsrauschen oder davon ab, wie der Wert in Medien erscheint. Scoring hält die Extraktion nützlich, ohne so zu tun, als trüge jede Beobachtung dasselbe Gewicht.
Dieses Modell nutzt Active Defense, wenn das, was Betrüger auf Telegram und per E-Mail senden, in einen Threat-Intelligence-Feed überführt wird. Jeder Indikator trägt einen Confidence Score, sodass Analysten starke Signale von schwächeren unterscheiden können.
Ebenso wichtig: Jede Nachricht wird in dem Moment gespeichert, in dem sie eingeht. Wenn ein Betrüger später „delete for everyone“ nutzt, bleibt der ursprüngliche Beleg dennoch verfügbar. Das gibt Analysten eine stabile Historie, um Zeitachsen zu rekonstruieren, Extraktionslogik erneut auszuführen und aktuelle Erkenntnisse mit früheren Beobachtungen zu vergleichen.
Entity Resolution: entscheiden, was zu demselben Akteur gehört
Entity Resolution ist der Prozess, Datensätze zu verknüpfen, die auf dasselbe reale Objekt oder denselben Akteur verweisen, auch wenn die Belege mit Abweichungen, Duplikaten oder Lücken eintreffen. In Scam-Untersuchungen bedeutet das meist nicht, eine rechtliche Identität zu beweisen. Häufiger ist das praktische Ziel ein operativer Akteur: ein Betrüger, eine Gruppe oder ein Kontenset, das in mehreren Gesprächen auftaucht.
Analysten lösen Entitäten typischerweise anhand von Mustern auf wie:
- geteilte Indikatoren
- wiederverwendete Bilder
- wiederkehrende Zahlungsziele
- sich überschneidende Kontaktpunkte
- Weiterleitungsmuster
Diese Muster sind wichtig, weil Scam-Operationen selten vollständig konsistent bleiben. Ein Handle kann sich ändern, während die Wallet gleich bleibt. Ein Zahlungsweg kann sich über ansonsten unterschiedliche Chats hinweg wiederholen. Ein Bild kann nach Größenänderung oder erneuter Komprimierung wieder auftauchen. Resolution ist der Schritt, in dem solche Beobachtungen verglichen und zu etwas operativ Nützlichem zusammengeführt werden.
In Active Defense werden Chats, die einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto teilen, einem Akteur zugeordnet. Diese Formulierung ist wichtig, weil die Verknüpfung auf beobachteten Belegen beruht und nicht auf einem Anspruch auf Gewissheit. Analysten sollten eher in Confidence, konkurrierenden Hypothesen und Cluster-Qualität denken als in einem simplen Ja-oder-Nein-Identitätsabgleich.
Beide großen Fehlertypen verursachen Probleme. Ein False Merge zieht nicht zusammengehörige Aktivitäten in einen Fall, was Reports verzerren, den scheinbaren Umfang eines Akteurs aufblähen und Ermittlungen in die falsche Richtung lenken kann. Ein übersehener Merge bewirkt das Gegenteil: Er lässt zusammenhängende Aktivität getrennt, sodass Beständigkeit, Wiederverwendung und Ausmaß verborgen bleiben.
Hashes spielen dabei eine besondere Rolle. Datei-Hashes sind für exaktes Matching nützlich, weil sie zeigen, wann dieselbe Binärdatei erneut auftaucht. Perzeptuelle Foto-Hashes helfen bei einem anderen Problem: wiederverwendete Bilder zu erkennen, selbst wenn die Datei nicht identisch ist.
Ein nützliches Resolution-System bewahrt auch die zugrunde liegenden Beobachtungen. So können Cluster überprüft, hinterfragt und neu aufgebaut werden, wenn neue Nachrichten eintreffen, neue Indikatoren bewertet werden oder sich eine frühere Verknüpfung als schwächer erweist als zunächst angenommen.
Wie beides in Threat Intelligence sowie Trust and Safety zusammenspielt
Am einfachsten lässt sich die Beziehung als Pipeline verstehen. Die Extraktion erzeugt aus Rohgesprächen und Medien potenzielle Beobachtungen. Das Scoring ordnet ein, wie verlässlich diese Beobachtungen erscheinen. Die Resolution nutzt sie dann, um Chats, Datensätze und Akteure miteinander zu verbinden, wenn die Belege stark genug sind.
Diese Abfolge passt direkt zu den Zielen von Analysten. Strukturierte Extraktion hilft Teams dabei, Reports zu deduplizieren, nach wiederverwendeter Infrastruktur zu suchen und einen Fall mit einem anderen zu vergleichen. Resolution ergänzt den übergeordneten Blick: Welche Gespräche gehören zu derselben Operation, welche Muster kehren immer wieder, und welche Cluster verdienen zuerst Aufmerksamkeit?
Ein einfacher Workflow macht die Übergabe klar:
- ein neues Gespräch liefert eine Wallet
- derselbe Chat enthält ein Kontaktkonto
- ein Foto im Thread liefert einen Foto-Hash
- spätere Gespräche teilen eine oder mehrere dieser Beobachtungen
- diese Gespräche können dann zur Prüfung durch Analysten gruppiert werden
Hier ist Urteilsvermögen entscheidend. Ein geteilter Indikator kann je nach Kontext eine starke Verknüpfung, eine schwache Verknüpfung oder bloßer Zufall sein. Gute Systeme lassen Menschen daher an den Punkten eingebunden, an denen Entscheidungen das größte Gewicht haben: wie interagiert wird, wie viel Confidence einer vorgeschlagenen Verknüpfung zukommt und wann ein Cluster bereit ist, als ein Akteur behandelt zu werden.
Deshalb kann auch fortgesetzte Interaktion die Analyse verbessern. Active Defense setzt AI-Decoy-Personas ein, um Betrüger auf Telegram und per E-Mail im Gespräch zu halten, aber Antworten werden standardmäßig von KI entworfen und von einem menschlichen Operator freigegeben. Je mehr Nachrichten von Betrügern eintreffen, desto mehr Gelegenheiten hat die Extraktion, Wallets, Konten, Links, Hashes und andere Indikatoren sichtbar zu machen. Auch die Resolution erhält mehr Belege, darunter Muster der Wiederverwendung über Chats hinweg.
Das Ergebnis ist nicht nur eine Menge isolierter Felder, sondern verknüpfte Beobachtungen, die sich in bestehende Workflows einfügen lassen. Jeder Kunde erhält seinen eigenen Feed, einschließlich STIX-2.1-Export. Console und API laufen auf Azure in Deutschland.
Fragen, die Analysten zu named entity resolution stellen
Ist named entity resolution dasselbe wie named entity recognition?
Nein. Named Entity Recognition ist der Extraktionsschritt: nützliche Dinge in Text oder Medien finden und kennzeichnen. Entity Resolution ist der Verknüpfungsschritt: entscheiden, ob getrennte Beobachtungen auf denselben Akteur, dasselbe Kontenset oder denselben Datensatz verweisen.
Aus Analystensicht gilt: Recognition sagt Ihnen, was gesehen wurde. Resolution sagt Ihnen, was zusammengehört.
Diese Unterscheidung ist wichtig, weil das eine gut funktionieren kann, während das andere trotzdem scheitert. Eine Pipeline kann eine Wallet, Telefonnummer oder ein Messenger-Konto korrekt extrahieren und dennoch die falschen Chats zusammenführen. Sie kann auch eine Entität bei der Extraktion übersehen und damit die Belege gar nicht erst erzeugen, die für die Verknüpfung nötig wären.
Was ist der Unterschied zwischen Entity Resolution und Deduplizierung?
Deduplizierung bedeutet meist, exakte oder nahezu exakte Wiederholungen zu entfernen. Entity Resolution geht weiter. Sie fragt, ob unterschiedlich aussehende Datensätze trotzdem auf denselben operativen Akteur verweisen.
Ein paar Beispiele machen den Unterschied deutlicher:
- doppelte Datei, gleicher Hash: Deduplizierungsproblem
- wiederverwendetes Foto mit perzeptueller Übereinstimmung: mögliches Resolution-Signal
- unterschiedliche Chats mit demselben Zahlungsziel: Resolution-Problem
- wiederholte Kopie derselben Nachricht: zuerst Deduplizierung
Deduplizierung reduziert also Rauschen, während Resolution Beziehungen aufbaut.
Warum ist Confidence Scoring für extrahierte Indikatoren wichtig?
Nicht jeder extrahierte Indikator verdient dasselbe Vertrauen. Manche Werte lassen sich strukturell leicht prüfen. Andere hängen stärker von Kontext, Formatierung oder Medienqualität ab. Confidence Scoring hilft Analysten, starke von schwachen Beobachtungen zu trennen, und verhindert, dass jedes Feld als gleich verlässlich behandelt wird.
Bei Active Defense trägt jeder extrahierte Indikator im Threat-Intelligence-Feed einen Confidence Score.
Kann Entity Resolution auch mit Fotos, Dateien und weitergeleiteten Konten arbeiten, nicht nur mit Textfeldern?
Ja. Resolution sollte alle Belege nutzen, die operativ nützlich sind. Textindikatoren sind nur ein Teil des Gesamtbildes. Exakte Datei-Hashes können die Wiederverwendung von Binärdateien zeigen. Perzeptuelle Foto-Hashes können die Analyse wiederverwendeter Bilder unterstützen. Weitergeleitete Konten können ebenfalls Gespräche verbinden, die unzusammenhängend wirken würden, wenn man nur Klartext vergleicht.
Deshalb ist ein gutes Resolution-Modell nicht nur auf Namen oder Textstrings beschränkt.
Das praktische Fazit
Named Entities sind die Dinge, die Sie extrahieren; Entity Resolution ist die Arbeit, zu entscheiden, welche Beobachtungen auf denselben Akteur verweisen.
Für Threat-Intelligence- und Trust-and-Safety-Analysten ist diese Trennung praktisch, nicht akademisch. Bessere Extraktion verbessert die Abdeckung: mehr nützliche Indikatoren gelangen in den Datensatz. Bessere Resolution verbessert Kontext und Nutzbarkeit: getrennte Beobachtungen werden zu Fällen, Mustern und Akteurs-Clustern, die Entscheidungen stützen können.
Eine einfache Regel hilft bei der Bewertung von Werkzeugen oder beim Entwurf interner Workflows:
- Extraktion und Resolution als eine Pipeline aufbauen
- sie als getrennte Aufgaben bewerten
- die Belege hinter jeder vorgeschlagenen Verknüpfung prüfen
Dieser Ansatz hält Datenmodelle sauberer, macht Fehler leichter diagnostizierbar und gibt Analysten eine bessere Grundlage für Prüfung, Eskalation und nachgelagerte Intelligence-Nutzung.