Wir bauten einen Detektor für gefälschte Bewertungen, der perfekt funktionierte — bis jemand ihn durch BypassGPT laufen ließ
Das Erste, das meine Zuversicht erschütterte, war keine gefälschte Bewertung. Es war eine Preisliste.
Ein Broker in einem Telegram-Kanal — einem der offenen, über 13.000 Mitglieder, kein Passwort, keine Fassade — hatte eine Preisliste veröffentlicht. Fünfzig Cent pro Upvote. Fünf Dollar für eine Bewertung von einem Konto mit dem Abzeichen "Verifizierter Kauf". Mengenrabatte. Die angebotenen Konten waren keine frisch erstellten Wegwerfprofile, die ein Spamfilter im Schlaf erkennen könnte; sie waren zwei, drei, vier Jahre alt, mit echten Kaufhistorien und jener Art unregelmäßiger Aktivität, die ein Mensch hinterlässt. Ich hatte wochenlang angenommen, dass die Erkennung gefälschter Bewertungen ein schwieriges Machine-Learning-Problem war. Als ich auf diese Preisliste starrte, verstand ich, dass es ein schwieriges Machine-Learning-Problem war, das die Gegenseite besser finanzierte als die meisten Marken, die sie ins Visier nahm.
Das war der Moment, in dem ich aufhörte, gefälschte Bewertungen als schlechten Text zu betrachten, und anfing, sie als koordinierte Ökonomie zu begreifen. Alles, was wir schließlich bei Veriprajna aufbauten — und alles, was ich zuerst falsch machte — ging aus dieser Verschiebung hervor.
Betrug hörte an dem Tag auf, ein Qualitätsproblem zu sein, an dem er zu einer bepreisten Ware wurde. Man kann einen Markt nicht wegfiltern.
Ein Angriff mit 47 Bewertungen, der jedes Werkzeug übersteht, das Sie besitzen
Lassen Sie mich beschreiben, wie ein moderner Angriff tatsächlich aussieht, denn die Kluft zwischen der Vorstellung, die man von gefälschten Bewertungen hat, und ihrer tatsächlichen Funktionsweise ist der Hauptgrund, warum bestehende Werkzeuge versagen.
Ein Wettbewerber will Ihr Produkt begraben. Er engagiert einen Broker über eine dieser Telegram-Gruppen. Der Broker kontrolliert einen Stall gealterter, kompromittierter Konten und setzt sie gegen ein einzelnes Angebot ein. Innerhalb von 72 Stunden landen 47 Fünf-Sterne-Bewertungen beim Konkurrenzprodukt — Ihres bleibt sauber, deren Angebot klettert nach oben. Der Bewertungstext wurde von GPT-4 verfasst und dann durch ein Werkzeug wie BypassGPT geschleust, um die perplexitätsbasierten Detektoren zu überlisten, die nach "zu glattem" maschinellem Schreiben suchen. Jede Bewertung nennt beiläufig ein bestimmtes Produktmerkmal, das aus dem Q&A-Bereich des Angebots selbst abgegriffen wurde. Die Veröffentlichungszeiten sind über drei Zeitzonen gestaffelt, damit sich nichts häuft.
Jede einzelne Bewertung wirkt legitim. Sie passieren die Inhaltsfilter der großen Bewertungsplattformen. Sie bestehen GPTZero. Die Konten sind alt genug, um jeder "Neues-Konto"-Heuristik zu entgehen. Ihr Markenschutzteam bemerkt nichts — bis sich Ihre Zahlen bewegen, und das tun sie: Ein zusätzlicher betrügerischer Stern kann die Nachfrage eines Wettbewerbers um 38 % steigern, und gefälschte negative Bewertungen können den Umsatz eines Ziels um bis zu ein Viertel senken, während Ihre Durchschnittsbewertung den Schaden still absorbiert.
Das ist kein Gedankenexperiment. Amazon reichte im Juli 2024 seine erste gemeinsame Klage mit dem Better Business Bureau gegen den Bewertungs-Broker ReviewServiceUSA.com ein. Trustpilot entfernte 2024 4,5 Millionen gefälschte Bewertungen — 7,4 % aller eingereichten, gegenüber 6,1 % im Vorjahr. Tripadvisor fing 2,7 Millionen betrügerische Einreichungen ab, darunter KI-generierte Immobilienfotos, die "Geisterhotels" erschufen, die Reisende tatsächlich buchten und dann vor einem leeren Grundstück standen. Das Ausmaß ist nicht marginal. Forscher schätzen, dass rund 30 % der Online-Bewertungen gefälscht sind und US-Unternehmen laut dem Weltwirtschaftsforum jährlich rund 152 Milliarden Dollar kosten.
Das also ist das Problem, das ich zu verstehen glaubte. Und hier lag ich falsch.
Der Detektor, der perfekt funktionierte — und dann nicht mehr
Unsere erste Version war ein Textklassifikator. Er las Bewertungstexte und bewertete, wie wahrscheinlich sie maschinell erzeugt waren. Das ist das Naheliegende, was man baut, und ich will ehrlich sein: Ich stand dahinter. Er machte sich großartig in der Demo. Auf unserem Testdatensatz erkannte er KI-geschriebene Bewertungen mit jener Art von Genauigkeit, bei der man beginnt, den Launch-Beitrag im Kopf zu entwerfen.
Dann ließen wir ihn auf Bewertungen los, die durch einen Humanizer gelaufen waren.
Es gibt inzwischen mehr als 30 dieser Werkzeuge — BypassGPT, Undetectable.ai, StealthWriter, Humanize AI und ein Dutzend weiterer. Sie nehmen maschinell erzeugten Text und rauen ihn gerade so weit auf, dass ein Detektor versagt: Sie entfernen die verräterischen Kommas, fügen Verbindungswörter ein, tauschen das Vokabular aus, das Klassifikatoren mit GPT-Ausgaben zu verknüpfen lernen. Unsere Genauigkeit ging nicht sanft zurück. Sie stürzte ab. Die Bewertungen, die wir zuvor mit hoher Zuversicht erwischt hatten, glitten nun als "wirkt menschlich" durch.
Ich erinnere mich an die darauf folgende Diskussion. Die Hälfte des Teams wollte weiter feintunen — mehr Trainingsdaten, adversariale Beispiele, den Humanizern hinterherjagen. Das ist ein nachvollziehbarer Instinkt, und es ist eine Falle. Ich hatte mir die Forschung angesehen: Von mehr als 30 getesteten Humanizer-Werkzeugen erzeugten nur 13 zuverlässig Text, der die besten Detektoren täuschte. Der klassenbeste Textklassifikator, Originality.ai, erwischt die meisten von ihnen noch. Aber "die meisten" ist die falsche Messlatte, wenn ein Angreifer eine Bewertung durch fünf Humanizer laufen lassen und diejenige einreichen kann, die am saubersten abschneidet. Ein reiner Textdetektor liefert sich ein Wettrennen, das er strukturell bereits verloren hat.
Ein Ein-Signal-Detektor ist kein schwacher Detektor. Es ist ein Detektor, bei dem Sie dem Angreifer genau gesagt haben, wie er ihn schlagen kann.
Das tiefere Problem war eines, das ich an dem Tag hätte erkennen sollen, an dem ich diese Telegram-Preisliste las. Ein Teil des schädlichsten Betrugs ist überhaupt nicht KI-geschrieben. Wenn ein Broker ein Netzwerk echter Menschen dafür bezahlt, zu posten — incentivierte Menschen, die moderne Version der alten Mechanical-Turk-Farm —, ist der Text wirklich menschlich. Es gibt kein sprachliches Anzeichen zu finden, weil keine Maschine im Spiel ist. Ein Textklassifikator, der eine bezahlte Bewertung von einer echten Person betrachtet, sieht nichts Falsches, denn auf der Ebene der Sprache ist auch nichts falsch. Und die Asymmetrie wächst von beiden Enden — Anfang 2026 gaben 23 % der Bewertungsschreiber zu, zumindest gelegentlich KI zu nutzen, während nur 31 % der Verbraucher zuversichtlich waren, eine KI-geschriebene Bewertung erkennen zu können.
Da warfen wir das Textmodell als Herzstück hinaus. Nicht ganz hinaus — es ist immer noch ein Signal —, aber es war nicht länger das Signal.
Was fängt eine koordinierte Kampagne tatsächlich ab?
Die Neurahmung, die das Projekt rettete: Eine einzelne gefälschte Bewertung ist nahezu unmöglich zu erkennen, aber eine Kampagne hinterlässt Fingerabdrücke, die die einzelnen Bewertungen nicht hinterlassen.
Diese 47 Bewertungen haben etwas gemeinsam, selbst wenn jede einzelne sauber ist. Sie treffen in einem Schwall ein. Sie verweisen auf dasselbe abgegriffene Merkmal. Die Konten, die sie veröffentlicht haben, leuchten — wenn man die Beziehungen zwischen Verkäufern, Bewertern und Produkten abbildet — als ein Cluster auf, das nicht natürlich vorkommt: dieselbe Gruppe von Konten, die dieselbe enge Auswahl von Produkten im selben Zeitfenster bewertet. Deshalb sind die Plattformen, die Betrug ernst nehmen, zu Graphmethoden übergegangen: Amazons Stack lässt tiefe Graph-Neuronale-Netze über das Verkäufer-Bewerter-Produkt-Netzwerk laufen, gerade weil die Netzwerkstruktur eine Koordination verrät, die der Text niemals verraten wird. Wir haben in dieselbe Richtung gebaut — indem wir Verhaltenssignale (wie sich ein Konto im Laufe der Zeit verhält), zeitliche Signale (wann Bewertungen relativ zueinander eintreffen) und relationale Signale (wer mit wem verbunden ist) auf die linguistische Schicht aufsetzten.
Keines davon allein ist ausreichend. Ein Schwall kann ein echter viraler Moment sein. Ein Cluster kann eine echte Fangemeinde sein. Aber die Kombination — ein Schwall aus merkmalsabgreifendem Text, aus einem relational verdächtigen Cluster, mit gestaffeltem Timing, das entworfen wurde, um ungestaffelt zu wirken — ist die Signatur einer bezahlten Kampagne, und sie übersteht den Humanizer, weil der Humanizer nur die Wörter umschreibt.
Dieselbe Logik gilt für Bilder, die die Grenze sind, die niemand sauber gelöst hat. Geisterhotels und fabrizierte Produktaufnahmen breiten sich aus, weil die KI-Bilderzeugung billig geworden ist — und für eine Marke im Gastgewerbe steht dabei nichts Abstraktes auf dem Spiel: McAfee bezifferte die Verluste durch KI-gesteuerten Reisebetrug 2025 auf rund 13 Milliarden Dollar, etwa tausend Dollar pro Opfer, ein Großteil davon über Angebote geleitet, die bis zum Check-in echt aussahen. Es gibt einen Standard für Inhaltsprovenienz, C2PA, der ein Bild kryptografisch bereits bei der Aufnahme signiert — Samsungs Galaxy S25 wurde das erste Verbrauchertelefon, das Fotos nativ signiert, und 2026 ist wirklich ein Wendepunkt für dieses Ökosystem. Aber hier ist der operative Haken, vor dem ich jede Marke warnen würde: Plattformen entfernen die Metadaten während der Bildverarbeitung. Der Berechtigungsnachweis, der belegt, dass ein Foto echt ist, wird in dem Moment gelöscht, in dem es auf den Marktplatz hochgeladen wird, wo es am meisten zählt. Provenienz ist ein echtes Werkzeug mit einem echten Loch darin für den E-Commerce, und etwas anderes vorzugeben verkauft einer Marke falschen Trost.
Warum haben die Werkzeuge der Plattformen das nicht bereits gelöst?
Das ist die Frage, die mir am häufigsten gestellt wird, und sie ist berechtigt. Amazon gibt jährlich mehr als 500 Millionen Dollar aus und beschäftigt 8.000 Menschen mit gefälschten Bewertungen. Es blockierte 2024 über 275 Millionen davon. Warum sollte irgendjemand überhaupt etwas bauen müssen?
Weil die Plattformen ihren Krieg führen, nicht Ihren. Amazon schützt Amazon — und selbst bei diesen Ausgaben sagen 49 % der US-Verbraucher, sie seien überzeugt, dort gefälschte Bewertungen gesehen zu haben. Die Bewertungsmanagement-Plattformen haben dieselbe Grenze in die andere Richtung gezogen. Bazaarvoice betreibt mehr als 1.000 Betrugserkennungsregeln über 2,3 Milliarden Shopping-Sitzungen pro Monat, und es ist wirklich gut darin — innerhalb seines eigenen Netzwerks. Eine gefälschte Bewertung über Ihr Produkt, die auf Amazon liegt, ist für Bazaarvoice schlicht unsichtbar. Schlimmer noch, die Syndizierung schneidet in beide Richtungen: Eine gefälschte Bewertung, die Bazaarvoices Erfassung passiert, kann sich innerhalb von 48 Stunden über mehr als 50 Händlerseiten verbreiten, was bedeutet, dass die Behebung am Quellknoten erfolgen muss und nicht als Whack-a-Mole auf jedem nachgelagerten Angebot.
Die Textdetektoren haben ihre eigene Obergrenze — sie sind ein einziges Signal, wie ich auf die harte Tour lernte. Die Audit-Dienste wie The Transparency Company führen tägliche Durchläufe durch und reichen Beschwerden ein, aber sie sind auf bekannte Muster abgestimmt und tun sich schwer gegen die maßgeschneiderten Broker-Taktiken, die sich gezielt anpassen, um ihnen zu entgehen. Und das eine Werkzeug, dem Verbraucher tatsächlich vertrauten, um dies für sie zu prüfen, Fakespot, wurde im Juli 2025 nach neun Jahren eingestellt — Mozilla fand kein tragfähiges Modell. Das Sicherheitsnetz wurde kleiner, gerade als die Angriffe besser wurden.
Kein Anbieter überwacht das gesamte Feld, in dem Ihre Marke lebt. Jeder bewacht seinen eigenen Hof, und der Betrug lebt in der Straße dazwischen.
Diese Lücke — plattformübergreifend, markenseitig, signalverschmolzen — ist das, was wir zu besetzen aufbrachen. Nicht um die Plattformen zu ersetzen, sondern um einer Marke einen einzigen Blick über Amazon, Google, Yelp, Trustpilot und Tripadvisor zugleich zu geben, mit einer Erkennung, die rund um ihre Produktkategorie herum aufgebaut ist statt um ein generisches Regelwerk. Dafür ist das System zur Bewertungsintegrität und Erkennung synthetischer Inhalte, das wir gebaut haben da.
Der Kunde, der keine sauberere Bewertungsseite wollte
Ich hatte mit Erkennungsgenauigkeit geworben — Recall, Precision, wie viele Fälschungen wir erwischen würden. Dann kam ich in ein Gespräch mit einer Leiterin für Markenschutz, die das gesamte Produkt in etwa zwei Minuten für mich neu einrahmte.
Sie begann nicht mit Genauigkeit. Sie fragte, was wir der FTC übergeben könnten.
Im Oktober 2024 trat die Consumer Reviews and Testimonials Rule der FTC in Kraft, und sie bewirkte etwas Subtileres als "gefälschte Bewertungen sind verboten". Sie schuf einen "hätte wissen müssen"-Standard. Wenn gefälschte Bewertungen auf Ihren Angeboten liegen und Sie keinen angemessenen Prozess haben, um sie zu erkennen und darauf zu reagieren, ist das Fehlen eines Erkennungssystems selbst der Verstoß. Die Strafe beträgt 53.088 Dollar pro Verstoß, inflationsbereinigt zum Stand Januar 2025, und jeder Tag, an dem ein Verstoß andauert, zählt separat. Eine koordinierte Kampagne aus 100 gefälschten Bewertungen, unbehandelt gelassen, bedeutet 5,3 Millionen Dollar an Risiko. Die FTC verschickte im Dezember 2025 ihre ersten Verwarnungsschreiben unter der Regel an 10 Unternehmen, dies hörte also vor etwa einem Jahr auf, theoretisch zu sein.
Und es sind nicht nur US-Marken. Die britische Competition and Markets Authority eröffnete im März 2026 fünf Ermittlungen unter dem neuen Digital Markets, Competition and Consumers Act, mit Strafen von bis zu 10 % des weltweiten Umsatzes. Artikel 50 des EU AI Act, der eine maschinenlesbare Offenlegung KI-generierter Inhalte vorschreibt, tritt im August 2026 in Kraft. Kaliforniens SB 942 fügte im Januar 2026 Anforderungen zur Offenlegung von KI-Inhalten hinzu. Der regulatorische Boden verschob sich unter jeder Marke auf einmal.
Was mich diese Leiterin lehrte, ist, dass Erkennung notwendig, aber nicht ausreichend ist. Das Ergebnis, das eine regulierte Marke tatsächlich braucht, ist der Nachweis der Sorgfaltspflicht — ein Prüfprotokoll, das zeigt, dass ein angemessener Erkennungs- und Reaktionsprozess existierte und lief, gleichgültig welche einzelne gefälschte Bewertung durchrutschte. Das kann man heute nicht von der Stange kaufen; die Plattformen geben Ihnen ihre Erkennungsdaten nicht, und die Punktlösungen erzeugen keine compliance-tauglichen Aufzeichnungen. Also bauten wir das System so, dass es diese Spur als erstklassiges Ergebnis erzeugt, nicht als nachträglichen Einfall. Das verteidigbare Artefakt unter einer "hätte wissen müssen"-Regel ist keine makellose Bewertungsseite — es ist der dokumentierte Beweis, dass Sie hingeschaut haben.
Sollte eine Marke dies selbst bauen, kaufen oder auf die Plattformen warten?
Man fragt mich, ob man nicht einfach warten kann, bis die Plattformen aufholen. Meine ehrliche Antwort: Die Plattformen laufen so schnell sie können an einem Problem, das sie als Selbstschutz definiert haben, und die regulatorische Uhr läuft nun gegen Sie, und zwar gesondert. Warten ist eine Position, und nach Oktober 2024 ist es eine Position mit einem angehängten Geldbetrag.
Die zweite Frage lautet meist, ob man dies intern aufbauen kann. Man kann — aber sehen Sie sich an, was ernsthafte interne Programme kosten. Amazons Operation mit einer halben Milliarde Dollar und 8.000 Personen ist der Maßstab dafür, was es braucht, um dies in großem Maßstab zu tun, und die meisten Marken stellen so etwas nicht auf, um ihre eigenen Angebote über fünf Marktplätze hinweg zu überwachen. Die realistischen Optionen sind ein maßgeschneidertes System, das auf Ihre Kategorie abgestimmt ist, oder ein Stapel von Teilwerkzeugen, den Sie zusammenflicken und hoffen, dass er sich überlappt. Die großen Beratungsfirmen verkaufen Ihnen Letzteres in ein Rahmenwerk verpackt, sechs bis zwölf Monate bevor irgendeine Technologie tatsächlich läuft.
Der dritte Punkt, den man anspricht, ist das Wettrüsten — wenn Humanizer sich weiter verbessern, ist dann nicht jeder Detektor nur vorübergehend? Das ist die richtige Sorge, und genau deshalb kann die Antwort kein Textklassifikator sein. Ein Mehr-Signal-System verschlechtert sich langsam, wenn ein Signal angegriffen wird, weil der Angreifer Verhalten, Timing und Netzwerkstruktur gleichzeitig überwinden muss, nicht bloß Wörter umschreiben. Ein Wettrüsten gewinnt man nicht mit der besseren Waffe. Man gewinnt es, indem man den Angriff mehr kosten lässt als den Ertrag. Wenn Betrug fünfzig Cent pro Upvote kostet, ist die Erhöhung der Kosten einer erfolgreichen Kampagne das ganze Spiel.
Die Telegram-Preisliste lehrte mich etwas, bevor es irgendein Modell tat, und es ist die Sache, zu der ich immer wieder zurückkehre. Die Gegenseite behandelt dies als ein Geschäft mit einer Gewinn-und-Verlust-Rechnung. Jahrelang behandelten Marken es als ein zu filterndes Ärgernis. Die Marken, die dieses Jahrzehnt mit intakten Bewertungen überstehen, werden diejenigen sein, die begonnen haben, ihr Bewertungsökosystem so zu behandeln, wie es die Angreifer bereits tun — als umkämpfte Infrastruktur, die es bewusst zu verteidigen gilt. Das ist die Verschiebung, die ich zuerst vornehmen würde, und es ist genau die, von der das System, das wir gebaut haben, ab der ersten Codezeile ausgeht.
Eine gefälschte Bewertung, die Sie nie erwischen, kostet Sie einen Verkauf. Ein Erkennungssystem, das Sie nie gebaut haben, kostet Sie nach Oktober 2024 53.088 Dollar pro Tag. Das sind nicht dasselbe Problem, und das zweite ist dasjenige, das die meisten Marken noch nicht bepreist haben.
