Eine Website auf Basis künstlicher Intelligenz, die Tausende gefälschter Reisepässe und Führerscheine produzierte, hat ihren mutmaßlichen Betreiber vor ein Bundesgericht gebracht.
Der 27-jährige ukrainische Staatsangehörige Yurii Nazarenko bekannte sich schuldig, OnlyFake betrieben zu haben – eine abonnementbasierte Plattform, die für Kunden weltweit mehr als 10.000 gefälschte Identitätsdokumente erstellte.
„Die Herstellung betrügerischer Ausweise und anderer Dokumente durch OnlyFake gefährdet uns alle und muss gestoppt werden“, sagte US-Staatsanwalt Jay Clayton in der Pressemitteilung des DOJ.
Das KI-gestützte Geschäft mit gefälschten Ausweisen
Bundesstaatsanwälte werfen OnlyFake vor, Kunden die Erstellung realistischer digitaler Kopien US-amerikanischer Führerscheine, Reisepässe, Sozialversicherungskarten und Ausweise aus rund 56 weiteren Ländern ermöglicht zu haben.
Nutzer konnten persönliche Angaben wie Name, Geburtsdatum und Identifikationsnummern anpassen oder zufällig generierte Identitätsdaten verwenden.
Das fertige Produkt konnte so gerendert werden, dass es entweder wie ein Flachbettscan oder wie eine Tischaufnahme aussah – Formate, die bei der digitalen Identitätsprüfung häufig zum Einsatz kommen.
Die Behörden werfen dem Dienst vor, dass der Hauptzweck dieser KI-generierten Dokumente darin bestand, die Know-Your-Customer-(KYC-)Prüfungen bei Banken und Kryptowährungsbörsen zu umgehen.
KYC-Kontrollen, die im Rahmen des USA PATRIOT Act vorgeschrieben sind, sollen Geldwäsche, Terrorismusfinanzierung und andere Finanzkriminalität verhindern, indem sie bei der Kontoeröffnung die Identität der Kunden überprüfen.
Indem OnlyFake gefälschte Dokumente anbot, die so gestaltet waren, dass sie automatisierten Dokumentenprüfungen standhielten, zielte die Plattform Berichten zufolge auf Schwachstellen in digitalen Identitätsprüfungen im gesamten Finanzsektor ab.
Die Plattform arbeitete ausschließlich mit Kryptowährungen und bot Berichten zufolge Mengenrabatte für bis zu 1.000 gefälschte Dokumente auf einmal an – ein Hinweis auf ein Geschäft im kommerziellen Maßstab.
Verdeckte FBI-Ermittler führten zwischen Mai und Juni 2024 mehrere kontrollierte Käufe durch und erwarben gefälschte Führerscheine des Bundesstaats New York, US-Reisepässe und eine Sozialversicherungskarte, um die Fähigkeiten der Website zu bestätigen.
Nach Angaben der Staatsanwaltschaft ermöglichte künstliche Intelligenz die Automatisierung und Skalierung des Geschäfts.
Das System war darauf ausgelegt, die offizielle Formatierung, Typografie und visuellen Sicherheitsmerkmale echter, von Behörden ausgestellter Ausweise nachzubilden. Diese Automatisierung ermöglichte es Kunden mit wenig technischem Fachwissen, auf Abruf überzeugende Identitätsdokumente zu erstellen.
Die Ermittler werfen Nazarenko außerdem vor, Finanzaktivitäten verschleiert zu haben, indem er Kryptowährungszahlungen über mehrere Wallets leitete und E-Mail-Aufzeichnungen löschte, nachdem Medienberichte Anfang 2024 auf die Website aufmerksam gemacht hatten.
Er wurde im September 2025 aus Rumänien ausgeliefert, hat sich zur Einziehung von 1,2 Millionen US-Dollar aus den Erlösen bereit erklärt und muss mit einer Höchststrafe von 15 Jahren Haft rechnen. Die Strafmaßverkündung ist für Juni 2026 angesetzt.
Schutz vor KI-gestütztem Betrug
Da KI-generierte Dokumente und synthetische Identitäten immer ausgefeilter werden, reichen herkömmliche KYC-Kontrollen allein nicht mehr aus.
Betrüger setzen zunehmend Automatisierung, Deepfake-Medien und die Erstellung von Konten in großem Maßstab ein, um Schutzmaßnahmen bei der Kontoeröffnung zu umgehen.
Organisationen müssen mit einer mehrschichtigen Verifizierung, kontinuierlicher Überwachung und adaptiven Risikokontrollen reagieren, die sich gemeinsam mit neuen Bedrohungen weiterentwickeln.
- Mehrschichtige Identitätsprüfung implementieren , die biometrische Lebenderkennung, die Analyse der Dokumentenauthentizität und den Abgleich mit vertrauenswürdigen externen Datenbanken kombiniert.
- KI-gestützte Erkennungstools einsetzen, um synthetische Medien zu identifizieren, Deepfake-Bilder und wiederholt verwendete Dokumentvorlagen, die bei groß angelegten Betrugsversuchen zum Einsatz kommen.
- Adaptive, risikobasierteKontrollen beim Onboarding einsetzen , die bei Hochrisikoregionen, Geräten oder Transaktionsmustern eine verstärkte Sorgfaltsprüfung auslösen.
- Überwachen Sie die massenhafte Erstellung von Konten, gemeinsam genutzte Geräte-Fingerabdrücke und anomales Verhalten bei der Kontoeröffnung, das auf koordinierte Betrugsaktivitäten hindeuten kann.
- Gestaffelte Kontoberechtigungen und eine verstärkte Verifizierung anwenden , bevor Transaktionen mit hohem Wert oder Auszahlungen von Kryptowährungen ermöglicht werden.
- Die Überwachung nach dem Onboarding stärken mit verhaltensbezogenen Analysen und der Überwachung von Transaktionen, um frühe Anzeichen von Geldwäsche oder dem Missbrauch synthetischer Identitäten zu erkennen.
- Phishing-resistente Multi-Faktor-Authentifizierung verlangen und den Zugriff nach dem Prinzip der geringsten Privilegien beschränken, um Risiken durch Kontoübernahmen und internen Missbrauch zu reduzieren.
- KYC-Abläufe kontinuierlich prüfen und Pläne zur Reaktion auf Vorfälle durch Red-Team-Simulationen testen, um sicherzustellen, dass die Organisation KI-gestützten Identitätsbetrug wirksam erkennen und darauf reagieren kann.
Diese Maßnahmen tragen dazu bei, die Sicherheit der Identitätsprüfung zu stärken, die Betrugsrisiken zu senken und die Widerstandsfähigkeit gegen KI-gestützten Identitätsmissbrauch zu verbessern.
KI-gestützter Identitätsbetrug nimmt rasant zu
Der Fall OnlyFake zeigt, wie schnell KI Identitätsbetrug skalieren kann: Die technische Einstiegshürde für Kriminelle sinkt, während der Druck auf Finanzinstitute und digitale Plattformen steigt.
Da synthetische Dokumente überzeugender und leichter zu erstellen werden, reichen compliancegetriebene Identitätsprüfungen allein nicht aus, um Risiken zu beherrschen.
Diese veränderte Bedrohungslage veranlasst Organisationen, Zero-Trust-Lösungen zu erkunden, die Identität und Zugriffsberechtigungen auch nach der ersten Kontoeröffnung kontinuierlich überprüfen.