Eine gefälschte Anzeige mit dem Gesicht eines Geschäftsführers ist mehr als ein gestohlenes Foto. Sie kann der Einstieg in Anlagebetrug, Phishing, Identitätsmissbrauch oder eine Reputationskrise sein. Der Fall des polnischen Unternehmers Rafał Brzoska ist auch für deutsche Unternehmen relevant: Er zeigt, wie hartnäckig solche Kampagnen sein können – selbst wenn die betroffene Person über juristische Ressourcen, Öffentlichkeit und direkten Kontakt zu Behörden verfügt.
Brzoska hat Meta öffentlich scharf kritisiert und unter anderem den Vorwurf erhoben, das Unternehmen wisse von betrügerischen Anzeigen und verdiene an der gebuchten Werbefläche. Das ist seine öffentlich geäußerte Position und darf nicht als von MB Digital Marketing festgestellte Tatsache dargestellt werden. Dokumentiert ist jedoch: Die polnische Datenschutzbehörde ordnete 2024 eine zeitlich begrenzte Sperre bestimmter Fake-Anzeigen mit seinen echten Daten und seinem Bild an; ein Gericht setzte diese Schutzmaßnahme nicht aus; Meta zog seine Beschwerden im März 2025 zurück; 2026 rückte das Thema erneut in den Fokus von Behörden und Politik.
Warum das auch mittelständische Unternehmen betrifft
Betrüger brauchen keinen Prominenten. Sie brauchen Vertrauen. Ein regional bekannter Hotelier, Zahnarzt, Immobilienentwickler, Gastronom oder Geschäftsführer kann für die Zielgruppe genauso glaubwürdig sein. Bilder aus LinkedIn, Firmenwebsite oder Interviews liefern genügend Material für manipulierte Anzeigen.
Die Anzeige kann professionell aussehen: synthetische Stimme, gefälschtes Zitat, Logo eines Medienhauses und eine Landingpage, die wie eine Nachrichtenseite wirkt. Der Nutzer vertraut der bekannten Person. Für das echte Unternehmen entstehen zwei Schäden gleichzeitig: die eigentliche Betrugsmasche und die Verunsicherung der Kunden.
Der Fall Brzoska in vier Stationen
2024: Auf Facebook und Instagram erschienen Anzeigen mit Brzoskas Identität und Bild, die angebliche Investmentangebote bewarben. Die polnische Datenschutzaufsicht beschrieb auch Deepfake-Material, das den Eindruck erweckte, er habe selbst eine Gewinnplattform geschaffen.
5. August 2024: Die Behörde ordnete für drei Monate an, dass Meta Platforms Ireland Limited die betreffenden Fake-Anzeigen in Polen nicht weiter ausspielt. Eine parallele Maßnahme betraf Omena Mensah.
Dezember 2024: Das Verwaltungsgericht in Warschau lehnte es ab, die Vollziehung der Schutzanordnung auszusetzen.
24. März 2025: Die Behörde teilte mit, Meta habe seine Beschwerden gegen die Maßnahmen zurückgenommen.
2026: Betrügerische Werbung wurde erneut zum politischen und regulatorischen Thema. Polnische Behörden forderten von Meta Auskünfte zu Werbekundenprüfung, Reaktionszeiten und Umfang der Betrugsanzeigen. Gleichzeitig warnten Cybersecurity-Stellen weiter vor Fake-Investments mit bekannten Gesichtern und KI-generierten Medien.
So funktioniert die Masche
Die Anzeige leiht sich Glaubwürdigkeit von einer realen Person oder Marke. Der Klick führt auf eine gefälschte Nachrichtenseite oder Investmentplattform. Dort hinterlässt der Nutzer Kontaktdaten. Anschließend ruft ein angeblicher Berater an, drängt zu einer ersten Einzahlung und zeigt fingierte Gewinne. In aggressiveren Varianten soll der Betroffene Fernwartungssoftware installieren oder Bankdaten herausgeben.
Deepfakes erhöhen die Glaubwürdigkeit, sind aber nicht zwingend nötig. Ein statisches Foto mit erfundenem Zitat kann genauso funktionieren. Deshalb muss Markenschutz auch Fake-Profile, Lookalike-Domains, kopierte Landingpages und Werbeanzeigen ohne Video erfassen.
Ist das Bild einer Person ein personenbezogenes Datum?
Nach der DSGVO sind Informationen personenbezogen, wenn sie sich auf eine identifizierte oder identifizierbare Person beziehen. Fotos, Videos und Sprachaufnahmen können darunter fallen. Wichtig ist die Abgrenzung: Ein normales Foto ist nicht automatisch ein besonderes biometrisches Datum. Dafür kommt es auf eine spezifische technische Verarbeitung zur eindeutigen Identifizierung oder Authentifizierung an.
Bei einem konkreten Missbrauch können mehrere Rechtsgebiete gleichzeitig betroffen sein: Datenschutz, allgemeines Persönlichkeitsrecht, Recht am eigenen Bild, Kennzeichen- und Markenrechte sowie bei Betrugsabsicht Strafrecht. Ein Unternehmen sollte den Vorfall deshalb nicht nur als „Urheberrechtsproblem“ behandeln.
Wer haftet: Betrüger oder Plattform?
Der unmittelbare Täter ist derjenige, der die betrügerische Kampagne erstellt und ausspielt. Die Verantwortung einer Plattform ist eine separate rechtliche Frage und hängt von konkreten Umständen, Kenntnis, Meldungen und gesetzlichen Pflichten ab. Aus einer einzelnen Fake-Anzeige folgt nicht automatisch eine strafrechtliche Verantwortlichkeit der Plattform für den Werbetreibenden.
Gleichzeitig gelten für große Plattformen in der EU Pflichten aus dem Digital Services Act. Dazu gehören leicht zugängliche Meldeverfahren und Beschwerdemöglichkeiten. Bei unzulässiger Verarbeitung personenbezogener Daten kommt zusätzlich das Datenschutzrecht in Betracht.
Die ersten 24 Stunden: ein belastbarer Ablauf
- Beweise sichern. Screenshots und Bildschirmaufnahmen von Anzeige, Profil, Landingpage und Klickpfad erstellen. URLs, Zeitpunkte, Account-IDs, Telefonnummern, Formulare und Werbetexte dokumentieren.
- Keine riskante Eigenanalyse. Verdächtige Seiten können Schadsoftware enthalten. Nicht unnötig aus einem Administratorkonto heraus weiterklicken.
- Anzeige und Konto melden. Betrug, Identitätsmissbrauch, Nachahmung oder illegale Inhalte auswählen und Vorgangsnummern speichern.
- Umfang prüfen. Nach Namensvarianten, mehreren Domains und weiteren Anzeigen suchen.
- Kunden warnen. Offizielle Domains und Profile nennen und klarstellen, welche Angebote nicht vom Unternehmen stammen.
- Behörden einschalten, wenn nötig. Datenschutzaufsicht bei personenbezogenen Daten; Polizei bei Betrug, Identitätsmissbrauch oder Vermögensschaden; IT-/CERT-Stellen bei Phishing und schädlichen Domains.
- Eine Person führt den Fall. Marketing, IT, Recht und Geschäftsführung arbeiten mit demselben Beweisordner und derselben Kommunikationslinie.
Wo melden in Deutschland?
Plattform: Die konkrete Anzeige, das Profil und gegebenenfalls die Domain über die vorgesehenen Meldewege melden. Nach dem DSA stehen zusätzlich Notice-and-Action- und Beschwerdemechanismen zur Verfügung.
Datenschutzaufsicht: In Deutschland hängt die Zuständigkeit von der betroffenen Stelle und dem Bundesland ab. Der BfDI bietet einen Kontaktfinder zur zuständigen Aufsichtsbehörde. Bei privaten Unternehmen sind häufig Landesdatenschutzbehörden zuständig.
Polizei: Über die zentral zugänglichen Onlinewachen der Länder können unter anderem Internetbetrug und missbräuchliche Verwendung personenbezogener Daten angezeigt werden. Screenshots, PDF-Exporte, E-Mails und andere Belege sollten direkt mitgesichert werden.
Cybersecurity: Bei Phishing, kompromittierten Systemen oder schädlichen Domains sollten zusätzlich die zuständigen IT-Sicherheitsstellen bzw. Provider-Abuse-Kanäle genutzt werden.
Kunden informieren, ohne den Betrug zu verstärken
Beispiel:
„Derzeit werden Anzeigen verbreitet, die Namen und Bild von [Person/Firma] ohne Erlaubnis verwenden. Wir betreiben keine Investmentplattform und sammeln keine Zahlungen über [Fake-Domain]. Unsere offiziellen Kanäle sind: [Liste]. Wer dort Daten eingegeben oder Geld überwiesen hat, sollte unverzüglich Bank und zuständige Behörden kontaktieren.“
Die Warnung gehört auf Website und verifizierte Social-Media-Kanäle. Die komplette Betrugsanzeige sollte nicht unnötig weiterverbreitet werden.
Was Unternehmen vermeiden sollten
- Beweise erst Tage später sichern.
- Sich auf eine einzige Plattformmeldung verlassen.
- Ohne Beweise öffentlich konkrete Personen beschuldigen.
- Kundendaten oder mutmaßliche Täterdaten veröffentlichen.
- Mehrere widersprüchliche Statements aus verschiedenen Abteilungen senden.
Vorbereitung statt Improvisation
Eine Firma sollte eine Liste aller offiziellen Domains, Profile und Administratoren pflegen, Suchergebnisse und Anzeigenbibliotheken überwachen und Lookalike-Domains beobachten. Starke Mehrfaktor-Authentifizierung und möglichst wenige Adminrechte reduzieren zusätzliche Risiken.
Ein kurzer Incident-Plan reicht als Start: Wer sichert Beweise? Wer meldet? Wer spricht mit der Rechtsberatung? Wer informiert Kunden? Wer dokumentiert alle Entscheidungen? Ein vorbereiteter Warntext spart im Ernstfall wertvolle Zeit.
Die Lehre aus dem Fall Brzoska
Betrüger nutzen Vertrauen, das echte Marken über Jahre aufgebaut haben. Je bekannter die Person oder das Unternehmen, desto wertvoller wird das Bildmaterial für Social Engineering. Markenschutz ist deshalb Teil der operativen Risikovorsorge.
Wenn Ihre Marke missbraucht wird, beginnen Sie nicht mit Imagewerbung. Beginnen Sie mit Beweisen, Eskalation und einer klaren Nachricht an Ihre Kunden.
Checkliste für Beweise
- Screenshot und Bildschirmaufnahme der Anzeige.
- Direkte URL und Ziel-URL.
- Name und ID von Profil oder Seite.
- Datum, Uhrzeit und Land der Ausspielung.
- Anzeigentext, Überschrift, CTA und Telefonnummer.
- Formularfelder und Bestätigungsseite.
- Kopien aller Meldungen und Plattformantworten.
- Kundenhinweise zum Betrug.
Welche Beweise wirklich nützlich sind
Ein einzelner Screenshot ist oft zu wenig. Dokumentieren Sie den vollständigen Kontext: direkte Anzeigen-URL, Ziel-URL, Weiterleitungen, Profil- oder Seiten-ID, sichtbaren Namen des Werbetreibenden, Datum, Uhrzeit, Land der Ausspielung, Telefonnummern und die Felder des Kontaktformulars.
Führen Sie ein Incident-Log. Für jeden Fund werden Zeitpunkt, Kanal, Beweisdatei, Meldung, Vorgangsnummer und Plattformantwort notiert. So lässt sich später erkennen, ob es sich um einen Einzelfall oder um mehrere koordinierte Konten und Domains handelt.
Wenn Kunden bereits Geld verloren haben
Dann ist der Vorfall nicht mehr nur ein Markenproblem. Das Unternehmen sollte keine rechtliche Verantwortung versprechen oder anerkennen, aber Betroffene schnell zu konkreten Schritten führen: Bank oder Zahlungsdienstleister informieren, Karten und Zugänge sperren, Passwörter ändern, mögliche Fernwartungssoftware entfernen und Strafanzeige erstatten.
Wurde ein Passwort mehrfach verwendet, sollten auch andere Konten geändert werden. Wurde Fernzugriff auf ein Gerät gewährt, ist eine technische Prüfung sinnvoll.
Interne Rollen im Krisenfall
Marketing überwacht öffentliche Kanäle und erstellt Warnhinweise. IT/Security prüft Domains und technische Risiken. Rechtsberatung oder Datenschutzbeauftragte bewertet Meldewege und Datenschutzfragen. Geschäftsführung entscheidet über öffentliche Eskalation. Kundenservice erhält klare Antworten für Betroffene.
Wann eine zweite Angriffswelle wahrscheinlich ist
Nach einer öffentlichen Warnung verschwinden Betrüger nicht zwingend. Häufig wechseln sie Domain, Anzeigenkonto, kreative Gestaltung oder Schreibweise des Namens. Deshalb sollte nach der ersten Entfernung für mehrere Wochen weiter überwacht werden.
Benötigen Sie Unterstützung beim Markenschutz, bei gefälschten Anzeigen oder bei Identitätsmissbrauch?
Kontaktieren Sie MB Digital Marketing
FAQ
Reicht eine Meldung bei Facebook?
Nicht immer. Bei Datenschutzverletzungen, Phishing oder Vermögensschäden können weitere Meldungen an Datenschutzaufsicht, Polizei und Cybersecurity-Stellen nötig sein.
Ist jedes Gesichtsbild biometrisch?
Nein. Ein identifizierbares Foto ist personenbezogen, wird aber erst unter bestimmten technischen Verarbeitungen zu biometrischen Daten im Sinne der DSGVO.
Was tun, wenn die Plattform die Meldung ablehnt?
Entscheidung sichern, internen Widerspruch nutzen, den passenden DSA-Meldeweg prüfen und gegebenenfalls die zuständige nationale Behörde einschalten.
Dieser Beitrag ist eine Informations- und Handlungshilfe und keine Rechtsberatung.