Wie Verhaltensmuster über Zeit Grooming in Chats erkennen

Die meisten Systeme zur Erkennung von Grooming in Chats scheitern an einem grundlegenden Problem: Sie betrachten die falsche Analyseebene.

Grooming findet nicht in einer einzigen Nachricht statt. Stattdessen entwickelt es sich über Wochen hinweg – durch eine schrittweise Steigerung des Vertrauens, eine allmähliche Veränderung des Sprachstils und eine zunehmende Kontaktfrequenz. Würde man eine einzelne Unterhaltung isoliert betrachten, erschiene jedes einzelne Gespräch harmlos. Erst im Gesamtverlauf wird das Muster sichtbar.

Doch die meisten aktuellen Detection-Systeme klassifizieren Nachrichten einzeln, als handle es sich um Spam. Ein neuer Ansatz zeigt, wie zeitliche Signalanalyse die Lösung sein könnte – insbesondere die Funktionsweise der temporären Schicht von SENTINEL.

Warum Schlüsselwortfilter an Grenzen stoßen

Ein Schlüsselwortfilter funktioniert nach diesem Prinzip:

[nachricht] → [klassifizierer] → flag / keine Flag

Jede Nachricht wird unabhängig bewertet. Das System hat kein Gedächtnis – was in der letzten Woche passierte, beeinflusst nicht, wie die aktuelle Nachricht eingestuft wird.

Diese Logik passt zwar zu Spam-Erkennung, wo verdächtige Inhalte meist direkt in der Nachricht erkennbar sind. Bei Grooming jedoch liegt der Schlüssel nicht im Inhalt einzelner Nachrichten, sondern in der Entwicklung des Verhaltens über die Zeit. Eine Studie von An et al. (arXiv:2503.05727, 2025) bestätigt: Verhaltens- und zeitliche Merkmale werden in der Forschung deutlich unterrepräsentiert behandelt, obwohl sie in Studien eine starke Unterscheidungskraft zeigen.

Die Architektur vieler Detection-Systeme – trainiert auf Datensätzen einzelner Nachrichtenausschnitte – hat die Branche in eine Sackgasse geführt. Die zugrundeliegende Analyseebene entspricht nicht dem eigentlichen Problem.

Was dokumentierte Fälle über Grooming verraten

Untersuchungen realer Grooming-Fälle zeigen konsistente Muster, die sich über mehrere Sitzungen erstrecken:

• Beschleunigte Eskalation: Grooming folgt oft einer messbaren Entwicklung: von harmlosen Kontakten über Beziehungsaufbau bis hin zu intimeren Themen, persönlichen Informationen oder dem Wunsch nach Kommunikation außerhalb der Plattform. Die Geschwindigkeit dieser Entwicklung ist ein Signal. Ein rascher Anstieg der Vertrautheit bei einem neuen Kontakt unterscheidet sich deutlich von einer jahrelangen Freundschaft.

• Veränderung der Kontaktfrequenz: Zu Beginn ist der Kontakt meist unregelmäßig und wird als zufällig dargestellt. Mit zunehmendem Vertrauen steigt die Häufigkeit – von gelegentlichen Nachrichten bis hin zu täglichen oder sogar mehrmaligen Kontakten pro Tag. Diese Entwicklung über mehrere Sitzungen hinweg ist ein entscheidendes Merkmal.

• Sitzungsübergreifende Verhaltensmuster: Täter beenden Gespräche oft so, dass ein nahtloser Übergang zur nächsten Sitzung entsteht – etwa durch offene Threads, Verweise auf das nächste Gespräch oder das Schaffen eines Gefühls kontinuierlicher Beziehung. Diese Muster sind nur als zeitliche Abläufe erkennbar.

• Versuche der Plattformmigration: Der Wunsch, die Unterhaltung auf eine private App wie WhatsApp oder Signal zu verlagern, tritt häufig an einem bestimmten Punkt der Grooming-Phase auf. Zu diesem Zeitpunkt ist bereits ausreichend Vertrauen aufgebaut, aber der Täter fühlt sich noch nicht sicher genug für offene Eskalationen auf der überwachten Plattform. Der Zeitpunkt dieses Wunsches im Gesamtverlauf ist ein klares Signal.

Keines dieser Muster ist in einer einzelnen Nachricht sichtbar. Sie werden erst durch die Analyse der zeitlichen Entwicklung erkennbar.

Wie SENTINELs temporäre Schicht funktioniert

SENTINEL bewertet Nutzerverhalten anhand von vier Signalbereichen: linguistisch, grafisch, zeitlich und fair. Die temporäre Schicht konzentriert sich speziell auf die Erkennung von Eskalationsmustern, die erst durch die Analyse über mehrere Sitzungen sichtbar werden.

Zentrales Element ist das sogenannte Verhaltensprofil: ein gleitendes Fenster von Signalen, das über mehrere Sitzungen hinweg für eine Nutzerbeziehung oder das Verhalten eines einzelnen Nutzers auf der Plattform gesammelt wird. Dieses Profil wird mit jedem neuen Ereignis aktualisiert und dient als Grundlage für die Berechnung zeitlicher Merkmale.

Die wichtigsten zeitlichen Signale, die SENTINEL verfolgt, umfassen:

• Eskalationsgeschwindigkeit: Die Rate, mit der sich der zusammengesetzte Verhaltensrisikowert über die Zeit erhöht. Ein Nutzer, dessen Risikowert innerhalb von drei Wochen von 15 auf 60 steigt, unterscheidet sich deutlich von einem Nutzer, der diesen Wert in einer einzigen Sitzung erreicht. Die Trajektorie selbst trägt wertvolle Informationen.

• Gradient der Kontaktfrequenz: Wie sich die Kontakthäufigkeit zwischen zwei Nutzern über die Zeit verändert hat. Die erste Woche wirkte noch zufällig; in der vierten Woche gibt es mehrere Sitzungen pro Tag. Die Steigung dieser Veränderung wird als zeitliches Signal berechnet.

• Verhalten an Sitzungsgrenzen: Wie Sitzungen beginnen und enden. Wird das Gespräch dort fortgesetzt, wo es aufgehört hat? Gibt es explizite Kontinuitätsmarkierungen? Endet die Sitzung mit einer offenen Frage, die in der nächsten Sitzung beantwortet wird?

• Verschiebung der Kontaktzeiten: Wenn die Kommunikation zunehmend zu ungewöhnlichen Zeiten stattfindet – spät abends oder früh morgens – ist dies ein bekannter Eskalationsmarker. SENTINEL prüft, ob sich die Verteilung der Kontaktzeiten über den Beobachtungszeitraum verändert hat.

Diese Signale werden zu einem zeitlichen Risikobeitrag zusammengefasst, der – neben linguistischen und grafischen Signalen – in den Gesamtverhaltensrisikowert einfließt.

Warum der Verlauf wichtiger ist als ein einzelner Schwellenwert

Klassische Klassifizierungssysteme setzen auf einen festen Schwellenwert: Wird ein bestimmter Konfidenzwert überschritten, wird der Inhalt markiert. Bei nachrichtenbasierten Klassifizierern ergibt das Sinn, da der Score die Wahrscheinlichkeit widerspiegelt, dass die einzelne Nachricht bösartig ist.

Bei zeitbasierten Systemen versagt diese Logik. Entscheidend ist nicht, ob die aktuelle Nachricht einen bestimmten Schwellenwert überschreitet, sondern ob die Form des Verhaltensverlaufs bekannten Grooming-Mustern entspricht.

SENTINEL bewertet nicht einzelne Nachrichten, sondern Nutzer. Der Risikowert eines Nutzers ergibt sich aus der Analyse seiner Verhaltensmuster über einen Zeitraum. Dabei geht es nicht um das Überschreiten einer statischen Grenze, sondern um die Erkennung einer dynamischen Entwicklung.

Diese Perspektive könnte die Erkennung von Grooming revolutionieren – und zwar nicht nur in sozialen Medien, sondern in allen digitalen Kommunikationsumgebungen, in denen Vertrauen und Nähe manipuliert werden könnten.