Ich wollte einen Deepfake-Detektor für Kfz-Schäden bauen. Ein echtes, unbearbeitetes Foto schlug ihn.

Der Nachmittag, an dem ein echtes Foto geradewegs durch meinen Detektor ging

Zuerst baute ich das Pixel-Forensik-Signal, weil sich das nach echter Technik anfühlte, und ich war heimlich stolz darauf. Es schließt aus Sensorrauschen und Frequenzbereichsartefakten, den Spuren, die ein Diffusionsmodell hinterlässt, wenn es einen zertrümmerten Stoßfänger halluziniert. In der Demo ist dieses Signal als simuliert gekennzeichnet, ein Platzhalter für ein gelerntes Generativ-Artefakt-Modell, das ich noch nicht trainiert habe, und das will ich gleich zu Beginn klar sagen. Aber die Logik darum herum war meine, und sie funktionierte. Ich gab ihm einen mit Diffusion gefälschten Stoßfänger, und es leuchtete genau so auf, wie ich es wollte.

Dann gab ich ihm einen inszenierten Schaden, den ich als CLM-C-1044 gekennzeichnet hatte, einen Auffahrunfall in Raleigh, und es gab das Foto sauber frei. Konsistent. Keine Artefakte. Sensorrauschen vorhanden. Das war die richtige Antwort, und genau das beunruhigte mich, denn CLM-C ist Betrug. Das Foto ist ein echtes Kamerabild. Im Szenario stammte es aus einem bereits abgeschlossenen früheren Schaden und wurde gegen einen neuen Schaden erneut eingereicht. Mein bestes Signal war nicht schwach. Es war auf die falsche Frage gerichtet. Es fragte „Ist dieses Bild gefälscht?“, und bei einem wiederverwendeten echten Foto lautet die ehrliche Antwort nein.

Ein wiederverwendetes echtes Foto besteht jeden Authentizitätstest der Welt, weil es echt ist.

Dieser Nachmittag ist der Grund, warum das, was ich am Ende gebaut habe, gar kein Detektor ist. Sie können dieselben vier Schäden selbst in der laufenden Demo routen. Jeder Schaden, jedes Bild, jeder Versicherer und jeder historische Datensatz darin ist synthetisch, sodass dort kein echter Versicherungsnehmer und kein echter Schaden vorkommt. Aber der Fehler, den es dramatisiert, ist nicht erfunden. Es ist der Fehler, in den ich hineingelaufen bin.

Warum ist ein echtes Foto der am schwersten zu erkennende Betrug?

Immer wieder komme ich auf die Asymmetrie zurück, die mein erstes Design zerstört hat. Das gesamte Wettrüsten gegen Versicherungsbetrug wird als „baut einen besseren Deepfake-Detektor“ gerahmt, und ich halte diesen Rahmen inzwischen für die Falle. Ein einzelner Authentizitätsklassifikator versagt gleichzeitig in zwei Richtungen. Er veraltet in dem Moment, in dem Bildgeneratoren besser werden, und er ist strukturell blind für den ältesten Betrug im Buch, ein echtes Foto, das aus einem früheren Schaden wiederverwendet wird, weil dieses Foto jeden Authentizitätstest besteht, indem es echt ist.

Der Druck dahinter ist real, auch wenn meine Schäden synthetisch sind. 98 % der Versicherer melden einen Anstieg manipulierter Medien, und nur 32 % fühlen sich „sehr sicher“ darin, Deepfakes zu erkennen (Verisk, 2026 State of Insurance Fraud). 36 % der Verbraucher in derselben Umfrage sagen, sie würden ein Schadenbild verändern. Deepfake-Betrugsversuche sind in drei Jahren um 2.137 % gestiegen (Facia.ai), und ein britischer Kfz-Versicherer verzeichnete in einem einzigen Jahr einen Anstieg von 300 % bei KI-manipulierten Fahrzeugbildern (The Guardian / Milliman). Der Reflex der Branche war, einen Drittanbieter-Detektor an die Einreichung anzudocken. 65 % der Versicherer betreiben inzwischen einen (Verisk, 2026). Dieser Reflex fängt die offensichtlichen Fakes und winkt das wiederverwendete echte Foto geradewegs zur Auszahlung durch.

Der Satz, den ich immer wieder ans Whiteboard schrieb, war: Authentifizierung muss ein Gate sein, kein Bericht. Ein Bericht wird gelesen, nachdem das Geld geflossen ist. Ein Gate läuft davor. Und ein Gate kann nicht auf einem einzigen Signal ruhen, das ein echtes Foto definitionsgemäß besiegt.

Agenten beraten, Code entscheidet

Eine architektonische Entscheidung habe ich früh getroffen, die ich vor einem Regulator ohne Zucken verteidigen würde: der Routing-Aufruf gehört nicht dem Sprachmodell. Ein forensisches Team aus vier Analysten plus einem adversariellen Challenger untersucht einen Schaden und liefert typisierte Urteile. Dann aggregiert ein deterministisches Policy-Gate, schlichter Code außerhalb der Agenten, diese Urteile und die Rohsignale gegen die Schwellenwerte des Versicherers und gibt eine reproduzierbare Routing-Entscheidung aus. AUTO-PROCEED, SIU-REFERRAL, HUMAN-REVIEW oder ABSTAIN. Die Vertrauensgrenze ist Code, niemals ein LLM-Selbstbericht.

Die beiden Reasoning-Rollen, Narrative-Consistency und der adversarielle Challenger, laufen über einen anbieterwechselbaren Adapter, der standardmäßig auf claude-opus-4-8 eingestellt ist, und ohne gesetzten API-Schlüssel fällt das gesamte Gate auf einen deterministischen Offline-Stub zurück und läuft trotzdem Ende zu Ende. Diese Eigenschaft gefiel mir umso mehr, je länger ich damit saß, denn Reproduzierbarkeit ist das, was ein Compliance-Officer tatsächlich braucht. Stellen Sie dem Gate dieselbe Frage zweimal, und es antwortet gleich — und kann seine Arbeit zeigen.

Agenten beraten. Code entscheidet. Ein Regulator kann eine Regel prüfen. Niemand kann ein Bauchgefühl prüfen.

Das ist 2026 keine abstrakte Vorliebe. Ein NAIC Model Bulletin zu KI wurde von 24 US-Bundesstaaten übernommen, der Colorado AI Act tritt am 30. Juni 2026 in Kraft, und die High-Risk-Frist des EU AI Act landet im August 2026 mit Strafen bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes. Das Modell auszulagern lagert die Haftung nicht aus. Wenn ein Versicherer eine Schadenentscheidung automatisiert, muss er sie verteidigen können, und „das Modell war sich sicher“ ist keine Verteidigung.

Was bedeutet „erwischt“ hier eigentlich?

Als ich schließlich zusah, wie CLM-C erwischt wurde, wollte ich genau wissen, welches Signal die Arbeit geleistet hatte, weil ich meiner eigenen Intuition dazu nicht mehr traute. Also öffnete ich die Entscheidungsanalyse und las sie Zeile für Zeile. Der Provenance-Analyst gab den Schaden frei: Aufnahme-GPS innerhalb von 1,1 km des gemeldeten Schadenorts, Aufnahmedatum konsistent mit dem Schadendatum. Der Pixel-Forensik-Analyst, auf den ich so stolz gewesen war, gab ihn ebenfalls frei, beschriftet mit simuliert direkt auf dem Bildschirm, artifact_score 0.06, Sensorrauschen vorhanden. Beide „Ist es gefälscht?“-Signale gaben ihn frei, genau wie sie sollten, weil das Foto echt ist.

Der Fang kam von den anderen beiden. Der Reuse-Analyst glich den 256-Bit-perzeptuellen Hash des Fotos mit einem historischen Schadenindex ab und fand einen abgeschlossenen früheren Schaden, HIST-4019, bei Hamming-Distanz 0, einen pixelgenauen Zwilling, der Monate zuvor eingereicht worden war. Der Narrative-Consistency-Analyst las den FNOL-Text gegen das Bild und markierte einen Widerspruch: der Bericht beschreibt eine Streifkollision, während das Foto Heckschaden zeigt. Dann prüfte der adversarielle Challenger, ein Skeptiker, den ich gezielt so prompte, dass er jedes Flag widerlegen und den Anspruchsteller freigeben soll, beide Flags und meldete, dass beide standhielten. Erst dann routete das deterministische Gate den Schaden als wiederverwendetes Beweismittel an SIU.

Das Detail, bei dem ich jeden innehalten lasse, ist dies: der Fang hängt überhaupt nicht vom simulierten Pixel-Signal ab. Die beiden Agenten, die „Ist es gefälscht?“ beantworten sollen, gaben diesen Schaden beide frei. Die beiden, die fragten „Haben wir genau dieses Bild schon gesehen, und hält die Geschichte?“, sind die, die ihn gestoppt haben. Das ist das gesamte Argument für ein Team statt eines Klassifikators, und CLM-C ist die kleinste echte Version davon, die ich bauen konnte.

Die Signale, die ich gebaut hatte, um eine Fälschung zu erkennen, gaben es beide frei. Die, die es erwischten, fragten, ob wir für dieses Foto schon einmal gezahlt hatten.

Die Zahl, mit der ich nicht vorangehe

Ich habe ein Benchmark-Ergebnis, das sehr leicht missbraucht werden kann, und ich entschärfe es lieber selbst, als zuzusehen, wie jemand es mir ohne seinen Geltungsbereich zurückzitiert. Auf einem gelabelten synthetischen Satz von 120 Schäden (47 sauber, 25 Diffusion-Fake, 20 wiederverwendet-echt, 13 mehrdeutig, 15 Metadaten-gespooft) routet das Gate jeden Schaden korrekt und liefert eine saubere Bilanz: 100 % Straight-Through bei sauberen Schäden, 0 % Falschbeschuldigung, 100 % der Entscheidungen mit prüfbarem Audit-Protokoll, Recall 1,0 gegen die Labels. Diese Zahlen sind real, und sie sind auch Eigenschaften eines konstruierten Satzes, dessen Betrugsklassen absichtlich erkennbare Signaturen tragen. Sie sind keine Open-World-Garantie, und das sage ich jedes einzelne Mal.

Die Zahl, mit der ich tatsächlich vorangehe, ist die Abdeckungslücke. Von den 35 Betrugsfällen in diesem Satz, die kein Authentizitätsartefakt tragen — den 20 wiederverwendet-echten und 15 Metadaten-gespooften Schäden — fängt eine Single-Signal-Authentizitäts-Baseline 0 von 35. Das Cross-Signal-Gate fängt 35 von 35. Diese Lücke ist die ehrliche Schlagzeile, weil sie misst, was der etablierte Ansatz nicht kann, statt das zu schmeicheln, was mein konstruierter Satz leicht macht.

Ich kenne den Unterschied zwischen einer beeindruckenden Zahl und einer belastbaren. Die belastbare Behauptung ist die Form der Lücke, nicht die Größe des Prozentsatzes.

Spurenvernichtung ist jetzt eine rote Zeile auf dem Bildschirm

Ich hatte nicht erwartet, dass das Chain-of-Custody-Stück der Teil wird, an dem Käufer hängen bleiben, aber so war es, und ich verstehe warum, nachdem ich es absichtlich scheitern ließ. Jede Entscheidung bindet den SHA-256 des Originalbilds in ein append-only, hash-verkettetes Ledger. Der verify-chain-Schritt berechnet jeden Link neu und hasht jedes Original, das noch auf der Festplatte liegt, erneut. Wenn eine GenAI-„Verbesserung“ oder ein Upscale das Original-Schadenbild überschreibt, ist der Versicherer plötzlich der Spurenvernichtung ausgesetzt, der Zerstörung von Beweismitteln, in jedem anschließenden Rechtsstreit.

Ich klickte „Ausgewähltes Original manipulieren“, führte verify aus, und eine Zeile wurde rot: Verändert, Spurenvernichtung erkannt. Das ist der gesamte Wert wörtlich gemacht. Chain of Custody hört auf, eine Phrase in einem Compliance-Deck zu sein, und wird zu einem Zustand auf dem Bildschirm, den eine automatisierte Pipeline durchsetzen und ein Anwalt lesen kann. Das Original wird im Normalbetrieb nie verändert, nur Sidecar-Artefakte, sodass an dem Tag, an dem jemand es doch bearbeitet, der Datensatz es schon weiß.

Was ich noch nicht weiß

Ich halte dieses Gate nicht für fertig, und die Fähigkeit, bei der ich mir am wenigsten sicher bin, ist auch eine, auf die ich am stolzesten bin: der Abstain-Pfad. Wenn ein Schaden wirklich mehrdeutig ist — niedrige Auflösung, unvollständige Metadaten, nichts Schlüssiges in beide Richtungen — routet CLM-D-1045 in der Demo zu ABSTAIN und dann zu HUMAN-REVIEW, statt ein Urteil zu erzwingen. Es enthält sich, statt einen Freigabe- oder Beschuldigungs-Bluff zu spielen, und der adversarielle Challenger existiert gerade deshalb, damit ein berechtigter Anspruchsteller nicht wegen eines dünnen Signals an SIU geworfen wird. Auf dem synthetischen Satz hält diese Disziplin die Falschbeschuldigung bei 0 %. In der echten Welt weiß ich noch nicht, wo die Abstain-Schwelle sitzen sollte, und so zu tun, als wüsste ich es, wäre eine eigene Art von Betrug.

Vieles habe ich bewusst als Stub belassen. Die Guidewire-ClaimCenter- und Duck-Creek-Konnektoren, das mobile Guided-Capture-SDK, ein echter C2PA-Verifier und eine echte PRNU-Kamerafingerabdruck-Datenbank sind alle zurückgestellt. Der eigene Tractable- oder CCC-Schweregrad-Score des Versicherers wird als Eingabefeld akzeptiert, nicht hier berechnet, weil dieses Gate vor der Schadenbewertung läuft und authentifiziert, was diese Systeme anschließend bewerten. Es ersetzt sie nicht, und ich würde das auch nicht behaupten.

Die vier inszenierten Schäden sind alle dort in der Demo, wenn Sie sie durch die Pipeline laufen lassen und die Belege selbst lesen wollen. Was ich Ihnen mitgeben will, ist aber nicht die Demo. Es ist die Frage, die an jenem Nachmittag in Raleigh mein Denken neu ordnete, als ich auf ein echtes Foto starrte, das mein bester Detektor gerade freigegeben hatte.

Und wenn Sie es lieber ansehen als von mir beschreiben lassen wollen: hier läuft das gesamte Gate Ende zu Ende.

Also hier ist die Frage, die ich Claims- und SIU-Führungskräften immer wieder stelle: Wenn der teuerste Bildbetrug, dem Sie gegenüberstehen, ein echtes Foto ist, für das Sie schon einmal einen Schaden gezahlt haben — was erkennt Ihr Detektor dann eigentlich?