KI macht Betrug fast kostenlos skalierbar, warnt NordVPN-CTO

Ein funktionierender Satz gestohlener Zugangsdaten, eine geschäftliche E‑Mail, eine aktive Kreditkarte und ein Ausweis kosten laut NordVPN‑Forschung inzwischen etwa $19.

Die Verantwortlichen für Verbrauchercybersicherheit sagen, dass KI sowohl den Diebstahl als auch den darauf folgenden Betrug praktisch kostenlos skalierbar gemacht hat.

Für Investoren verwandelt das still und leise ein Commodity‑VPN‑Geschäft in einen höherwertigen Kampf um Identität und Betrug.

Marijus Briedis, Chief Technology Officer von NordVPN, sagte im On The Margin‑Podcast, dass gestohlene Identitäten inzwischen schockierend billig seien.

Er verwies auf aktuelle NordVPN‑Forschung in Litauen und sagte, es koste wenig, „eine funktionierende Geschäfts‑E‑Mail, eine funktionierende Kreditkarte und irgendeine Art von Ausweis zu bekommen; heutzutage sind das etwa neunzehn Dollar.“

Der Grund ist die Skalierung. „Diese Leaks passieren im Grunde genommen heutzutage fast jeden Tag“, sagte er. „Man operiert auf Datenebene und, ehrlich gesagt, ist es einem im Grunde egal. Man kombiniert diese Daten aus verschiedenen Quellen und legt sie in einen Korb … eine neue Datenbank, und man versucht einfach, sie möglichst oft zu verkaufen.“

Die gemeldeten Verluste liegen bereits auf Rekordniveau. Der IC3‑Jahresbericht des FBI erfasste 2024 Cybercrime in Höhe von $16.6 billion, ein Plus von 33 % gegenüber dem Vorjahr, und das Deloitte Center for Financial Services erwartet, dass generative‑AI‑Betrugsfälle in den USA bis 2027 $40 billion erreichen werden, von $12.3 billion im Jahr 2023.

Warum KI Betrug industrialisiert hat

Die Werkzeuge sind fast auf null zusammengeschrumpft. Einen gefälschten Webshop aufzusetzen, um Kartendaten abzugreifen, sei heutzutage „wie ein Zehn‑Minuten‑Job, inklusive Domainkauf, Website‑Aufsetzung, Push in die Produktion, wie wir es nennen“, sagte Briedis.

Deshalb skalierten Betrugs‑ und Phishing‑Kampagnen „exponentiell“, besonders rund um Black Friday, und er erwartet, dass KI‑Tools das von hier an „im Grunde exponentiell“ weiter vorantreiben werden.

Die nächste Front sei die Stimme, und die laufe bereits.

„Es gibt schon ausgeklügelte Angriffe, bei denen Leute zuerst versuchen, Ihren Angehörigen anzurufen, um Ihre Stimme und Ihre Sprechweise zu bekommen, und dann diese KI‑generierte Stimme nutzen, um Ihren Angehörigen anzurufen und Sie zu betrügen“, sagte Briedis. Er erwartet, dass Betrug weiterhin „Text, Stimme, Video“ kombiniert.

Das hat Unternehmen bereits echtes Geld gekostet. Briedis verwies auf den Fall 2024 bei Arup, der Londoner Ingenieursgruppe, deren Finanzmitarbeiter in Hongkong nach einem Videocall $25.6 million überwies, in dem jeder andere Teilnehmer ein KI‑generiertes Deepfake war.

„Der Buchhalter wurde dazu verleitet, fünfundzwanzig Millionen an die Betrüger zu schicken, weil er zu der Zeit in dem Zoom‑Meeting mit allen Führungskräften war“, sagte er.

Die automatisierte Grenze beunruhigt auch andere in der Branche. Varun Kabra, Chief Growth Officer beim identitätsorientierten Blockchain‑Projekt Concordium und ehemaliger Manager bei der Datenschutzfirma Proton, sagte im selben Podcast, dass KI‑Agenten beginnen, im Namen von Menschen Transaktionen durchzuführen, und niemand sehen könne, wer wirklich dahinterstehe.

„Die Gegenpartei auf der anderen Seite, in diesem Fall die Fluggesellschaft oder die Ticketplattform, was auch immer es ist, hat keine Möglichkeit zu verifizieren, ob wirklich ein verantwortlicher Mensch hinter der Transaktion steht“, sagte er.

„Und das könnte eine Tür zu Betrug öffnen, Bots, die sich als Menschen ausgeben, Agenten ohne Verantwortlichkeit.“

Er setzte eine Frist: „Wir sind wahrscheinlich sechs bis zwölf Monate entfernt, in denen diese Transaktionen die Mensch‑zu‑Mensch‑Transaktionen überholen könnten, und daher ist die Verantwortlichkeit Mensch‑zu‑Agent das größte Problem, das die Welt lösen muss.“

Für Investoren bedeutet das: Der heutige Betrugsmarkt basiert auf gestohlenen menschlichen Identitäten, der nächste aber auf Maschinenidentität, Agenten, die ausgeben, ohne dass ein Mensch im Loop ist, dem die Schuld gegeben werden kann.

Warum das VPN zum Produkt für Betrugsabwehr wird

NordVPN hat sich vom reinen VPN zu einem Bündel für Betrugsabwehr ausgeweitet, und Briedis sagte, die übersehene Schwachstelle sei das Session‑Cookie.

„Viele Leute loggen sich gern in ihr Konto ein und vergessen es danach. Sie loggen sich nicht aus. Und in der Regel ist das das Problem, denn wenn das Cookie erzeugt wird und durch Info‑Stealer oder Malware oder was auch immer geleakt wird, kann dieses Cookie mit verschiedenen Techniken genutzt werden, um sich in Ihr Konto einzuloggen und Ihre Daten zu übernehmen“, sagte er.

Sein Maßstab für die Einführung eines Features sei nicht technischer Natur. „Die größte und beste QA unseres Produkts ist meine Mutter“, sagte er.

„Wenn das Feature zu geekig ist und sie nicht versteht, wie man es benutzt, ist das ein sehr gutes Indiz dafür, ob wir es ausrollen sollten oder nicht.“

Der Pivot ist auch eine Margengeschichte. Ein eigenständiges VPN ist heute ein preisgetriebenes Commodity‑Produkt, während Identitäts‑ und Betrugsschutz bindender und höherwertig ist und an die Bankdaten eines Kunden gekoppelt ist.

Marktschätzungen für Identitätsschutz gegen Identitätsdiebstahl reichen für 2025 von grob $14 billion bis $17 billion, wobei die meisten Prognosen ein niedrig‑zweistelliges jährliches Wachstum erwarten.

Das Zeichen kam im April 2025, als Gen Digital, das Norton 2022 mit Avast fusioniert hat, etwa $1 billion für die Consumer‑Finance‑App MoneyLion zahlte und damit Banking‑ und Kredittools an sein Identitätsschutzgeschäft anschloss. Nords „mehr als VPN“ ist dieselbe Wette von der privaten Seite.

Diese Firma aus Vilnius, zuletzt mit $3 billion bewertet in einer Finanzierungsrunde von Warburg Pincus 2023, konkurriert mit Gen Digital und McAfee, während ExpressVPN, Surfshark und Proton die direkten VPN‑Rivalen bleiben.

Briedis sagte, der Graben sei Vertrauen, und das unterscheide einen bezahlten Anbieter von der Masse der kostenlosen Anbieter.

„Es gibt kostenlose VPNs, viele kostenlose VPNs“, sagte er und stellte in Frage, wie diese ihre Infrastruktur am Laufen halten: „Vielleicht machen sie etwas mit den Daten, wir wissen es nicht.“

Seine eigene Antwort sei ein jährliches Audit: „Wir führen jedes Jahr No‑Logs‑Audits durch. Wir haben als erstes VPN in der Branche damit begonnen.“

Das regulatorische Risiko, das Investoren beobachten sollten

Der Verkauf von Privatsphäre hat einen politischen Preis. Briedis sagte, Nord habe ganze Märkte verlassen, statt Nutzerdaten zu speichern.

„Manche Länder wollen die Daten haben, um Zugriff zu erhalten“, sagte er. „Wir werden in diesem Land im Allgemeinen nicht operieren; wir ziehen einfach unsere Server dort ab.“

Indien ist der klarste Fall: Die CERT‑In‑Regeln von 2022 verlangten von VPN‑Anbietern, Kundendaten bis zu fünf Jahre aufzubewahren, und NordVPN, ExpressVPN, Surfshark, Proton und Hide.me zogen alle ihre indischen Server ab, statt zu konformieren.

Für ein Unternehmen, dessen Versprechen ist, nichts zu speichern, ist ein Datenaufbewahrungsgesetz weniger eine Kostenfrage als eine Räumungsankündigung.

Nicht jeder sieht Privatsphäre wie Briedis. Kabra zieht eine klare Linie zwischen Privatsphäre und Anonymität:

„Ich denke immer, dass Privatsphäre und Anonymität völlig verschiedene Dinge sind“, sagte er und argumentierte, ein Account könne eine verifizierte menschliche Verknüpfung tragen, während Zero‑Knowledge‑Beweise die Identität verborgen hielten.

Das ist der entgegengesetzte Instinkt zu einem No‑Logs‑VPN, das darauf ausgelegt ist, überhaupt nichts wissen zu wollen.

Was das für Investoren bedeutet

Für Investoren ist es eine Verschiebung der Nachfrage: KI senkt die Angriffs‑Kosten schneller, als Nutzer ihre Vorsicht erhöhen, und das Geld wandert von reinen VPNs zu gebündeltem Identitäts‑, Betrugs‑ und Dark‑Web‑Schutz.

Briedis beschreibt es als Kampf ohne Ziellinie: Egal welche Abwehr, die Angreifer entwickeln sich ebenfalls weiter, sagte er, und nannte es einen „niemals endenden Kampf“.

Seine Quintessenz ist, dass die Software nur die halbe Lösung ist. „Es geht wieder um Aufklärung … wie man sich verhält“, sagte er.

„Normalerweise geht es bei all diesen Szenarien um Dringlichkeit, darum, Sie zu einer Handlung zu drängen, die Sie im normalen Verhalten nicht ausführen sollten.“