Identität gekapert

Identitätsdiebstahl: So verhalten Sie sich richtig

Wenn plötz­lich unbe­kannte Rech­nungen und Inkas­soschreiben ins Haus flat­tern oder die Polizei zur Haus­durch­suchung anrückt, ist der Schreck groß. Oft steckt ein Iden­titäts­dieb­stahl dahinter. Wir erläu­tern, wie man sich richtig verhält.
Von

Plötz­lich flat­tern Rech­nungen und Mahnungen für niemals bestellte Produkte und Dienst­leis­tungen ins Haus - oder noch schlimmer: Die Polizei rückt für eine Haus­durch­suchung an, obwohl man nichts verbro­chen hat: Der Grund für derar­tige Vorkomm­nisse ist meist ein Iden­titäts­dieb­stahl.

In diesem Ratgeber gehen wir daher einmal darauf ein, was Iden­titäts­dieb­stahl über­haupt ist, wie Krimi­nelle an unsere Daten kommen und was sie damit machen. Außerdem geben wir Tipps, wie man sich vor einem Iden­titäts­dieb­stahl schützt und wie man am besten vorgeht, wenn die eigenen Daten bereits miss­braucht wurden. Das richtige Verhalten bei einem Identitätsdiebstahl Das richtige Verhalten bei einem Identitätsdiebstahl
Foto: Image licensed by Ingram Image/onniechua-fotolia.com, Montage: teltarif.de

Was ist Iden­titäts­dieb­stahl über­haupt?

Iden­titäts­dieb­stahl bezeichnet die miss­bräuch­liche Nutzung perso­nen­bezo­gener Daten einer Person durch eine dritte Person. Der Begriff hat sich zwar in den vergan­genen Jahren dafür einge­bür­gert, ist aus der Sicht von Juristen streng­genommen aber nicht ganz korrekt. Denn der ursprüng­lichen Person ist die Iden­tität nicht abhanden gekommen - sie hat ihre Iden­tität ja schließ­lich noch. Korrekter wäre es also, von Iden­titäts­miss­brauch zu spre­chen.

Bei einem Iden­titäts­dieb­stahl geht es in der Regel darum, dass der Krimi­nelle der ursprüng­lichen Person finan­ziell Schaden zufügen oder diese in Miss­kredit bringen will. Persön­liche Daten, die oft erbeutet werden, sind außer Name und Post­adresse das Geburts­datum, Perso­nal­aus­weis- und Reise­pass-Nummer, Fotos, die Bank­ver­bin­dung, Kredit­kar­ten­daten, Login-Daten von Zahlungs­dienst­leis­tern, Online-Shops, sozialen Netz­werken und anderen Webdiensten sowie Tele­fon­num­mern und persön­liche Vorlieben.

Proble­matisch wird es dann, wenn der Krimi­nelle zunächst nur einen Teil der Daten erbeutet und mit diesen Daten dann an weitere Daten­sätze gelangen kann. Die Folge ist, dass der Krimi­nelle sich nicht nur im Internet, sondern auch außer­halb als eine andere Person ausgeben kann und über diesen Weg Einkäufe tätigen, Straf­taten begehen und beispiels­weise in sozialen Netz­werken wie die ursprüng­liche Person auftreten und im Namen dieser Person Hass-Propa­ganda oder Fake-News verbreiten kann. In der Regel geht es den Verbre­chern aber um konkrete finan­zielle Vorteile.

Mehr zum Thema Identitätsdiebstahl

Wie kommen Krimi­nelle an meine Daten?

Daten-Lecks bei Internet-Diensten: Selbst Jahr­zehnte nach der Erfin­dung des Inter­nets gibt es keine hundert­pro­zen­tige Sicher­heit im Internet. In regel­mäßigen Abständen gibt es Berichte über unsi­chere Webdienste. Oft stehen sensible Daten von Nutzern tage- oder wochen­lang unge­schützt im Netz und können von jeder­mann einge­sehen und abge­griffen werden, bis der Betreiber endlich reagiert. Wie man heraus­findet, ob man selbst bereits Opfer eines Daten-Lecks, war erläu­tern wir im weiteren Verlauf dieses Ratge­bers.

Unsi­chere und mehr­fach verwen­dete Pass­wörter: Ein einziges Daten-Leck ist mögli­cher­weise noch kein Welt­unter­gang. Gefähr­lich wird es aber dann, wenn der Betrof­fene unsi­chere und leicht zu erra­tende Pass­wörter wie 123456 verwendet hat. Noch einfa­cher macht man es den Krimi­nellen, wenn man dieselbe Kombi­nation aus E-Mail-Adresse und Pass­wort bei mehreren Diensten verwendet. Die größte Gefahr besteht, wenn die Kombi­nation aus E-Mail-Adresse und Pass­wort, die man bei der Haupt-E-Mail-Adresse und beim eigenen Haus­bank-Konto verwendet, auch noch bei anderen Diensten benutzt.

Pass­wort-Daten­banken für Hacker: Dass Hacker wie "einsame Wölfe" in einer dunklen Bude sitzen und ganz alleine handeln, ist ein Märchen. Oft sind sie gut vernetzt und betreiben im Darknet große Daten­banken, wo sie die erbeu­teten Daten für viel Geld verkaufen. Beson­ders wert­voll sind veri­fizierte Kombi­nationen aus E-Mail-Adresse und Pass­wort, Daten für eine Zwei­faktor-Authen­tifi­zie­rung, Geburts­datum, Scans von echten Perso­nal­aus­weisen und Reise­pässen und natür­lich alle gültigen Zahlungs­daten.

Phis­hing und "Support-Anrufe": Hat ein Hacker zunächst nur die E-Mail-Adresse "erbeutet", was heut­zutage kinder­leicht ist, sendet er mögli­cher­weise Spam-Mails oder Phis­hing-Nach­richten an diese Adresse, um weitere Daten heraus­zufinden. Oft erwe­cken Phis­hing-Mails den Eindruck, der Mail-Inhaber müsse bei seiner Bank oder einem Internet-Account "eine Veri­fizie­rung" durch­führen, die "Echt­heit bestä­tigen" oder seine "Iden­tität beweisen". Andern­falls wird mit einer Account-Sperre gedroht. Fällt der Mail-Inhaber darauf herein und gibt seine Daten auf einer speziell von den Verbre­chern präpa­rierten Seite ein, die der Bank oder dem Dienst täuschend ähnlich sieht, haben die Verbre­cher weitere gültige Account-Daten erbeutet. Auch das Erbeuten von Nutzer­daten per Phis­hing-SMS an Handy-Nummern ist nach wie vor ein verbrei­tetes Phänomen.

Schad­soft­ware auf Handy oder Computer: Wer noch gar keine Daten erbeutet hat, lockt unbe­darfte Nutzer mögli­cher­weise im Browser oder in Smart­phone-Apps auf unse­riöse Seiten, um dort Daten abzu­greifen. Noch perfider ist es, wenn den Opfern Soft­ware oder Apps unter­geju­belt werden, die den Computer oder das Smart­phone ausspähen oder im Browser Login-Vorgänge mitver­folgen. Wer sich nicht sicher ist, sollte bei Computer oder Smart­phone lieber die Internet-Verbin­dung trennen und das Gerät mit einem Anti­virus-Programm durch­suchen.

Fake-Shops: Krimi­nelle, die eben­falls noch keine Daten haben, locken ihre Opfer mitunter auch auf Fake-Shops. Das sind täuschend echt ausse­hende Online-Shops, in denen reale Produkte meist zu einem sagen­haft güns­tigen Preis ange­priesen werden. Legt man dort aber einen Account mit Name, Adresse und womög­lich Zahlungs­daten an und gibt eine Bestel­lung auf, erfolgt nie eine Liefe­rung. Statt­dessen verwenden die Verbre­cher die einge­gebenen Nutzer­daten.

Persön­licher Kontakt: Man mag es nicht glauben, aber nicht nur das Internet birgt Sicher­heits­risiken, sondern auch der zwischen­mensch­liche Kontakt. Es gab tatsäch­lich Fälle, wo anonyme Anrufer bei der offen­her­zigen Sekre­tärin unter einem Vorwand private Daten des Chefs wie Geburts­datum, Name der Ehefrau oder Name des Haus­tiers erfragen konnten. Das Phänomen wird als "Social Hacking" bezeichnet. War der Chef dann so unvor­sichtig, diese Daten als Pass­wort zu benutzen, musste er sich nicht wundern, dass seine Accounts geka­pert wurden. Beim Phishing haben es Kriminelle oft auf Zahlungsdaten abgesehen Beim Phishing haben es Kriminelle oft auf Zahlungsdaten abgesehen
Schweizerische Kriminalprävention SKPPSC

Was machen Krimi­nelle mit meinen geklauten Daten?

Weitere Daten heraus­finden: Haben Verbre­cher Mail-Adresse und Pass­wort des Haupt-E-Mail-Post­fachs erbeutet, nutzt es mögli­cher­weise auch nichts, dass diese Kombi­nation woan­ders nicht verwendet wurde. Denn dann können die Krimi­nellen bei Web-Diensten, Online-Shops und sozialen Netz­werken die "Pass­wort-Zurück­setzen"-Funk­tion verwenden. Das ist für das Opfer doppelt bitter: Erstens kommen die Verbre­cher damit an weitere Accounts und zwei­tens können sie durch eine Ände­rung der Pass­wörter den Account-Inhaber überall aussperren.

Daten testen, veri­fizieren, verän­dern, weiter­ver­kaufen: So wie man selbst seine Daten pflegen und sichern sollte, pflegen auch die Hacker ihre Daten­banken und entwi­ckeln diese weiter. In der Regel werden alle Kombi­nationen aus E-Mail und Pass­wort getestet - und wenn sie noch stimmen, sind sie gleich viel mehr wert. Wer einen geka­perten Account für Bestel­lungen oder Straf­taten miss­brau­chen möchte, ändert dort dann oft die Liefer­adresse. Manchmal mischen die Hacker auch Daten aus verschie­denen Accounts. Und mit dem Weiter­ver­kauf aller dieser Daten im Darknet lässt sich wie beschrieben viel Geld verdienen.

Einkaufen auf fremde Rech­nung: Waren- und Leis­tungs­kre­dit­betrug bezie­hungs­weise Versand­betrug nennt man es, wenn Krimi­nelle online, per Telefon oder persön­lich in Laden­geschäften unter Angabe geklauter Personen- und oder Zahlungs­daten Bestel­lungen aufge­geben, mit dem Ziel, die Ware oder Leis­tung für sich oder Dritte zu erlangen, ohne selbst dafür zu bezahlen.

Straf­taten begehen: Nicht immer belassen es die Hacker dabei, über erbeu­tete Amazon- oder eBay-Zugangs­daten Smart­phones oder Fern­seher zu bestellen, die sie dann woan­dershin liefern lassen und ggf. weiter­ver­kaufen. Geklaute Kredit­karten- und Zahlungs­daten werden im Darknet oft für Waffen- oder Drogen­käufe verwendet. Hat man ohnehin schon eine Schad­soft­ware auf das Gerät des Opfers geschleust, wird dieses über das Programm oft in ein Botnetz einge­bunden, mit dem dann weitere Hacker-Angriffe oder Spam-Aussen­dungen vorge­nommen werden.

Rufschä­digung: Schlimm für den Betrof­fenen sind auch erbeu­tete Zugangs­daten für Twitter, Face­book, Insta­gram oder gar über­nom­mene Messenger-Accounts. Dann kann der Hacker im Namen und mit dem Foto des Betrof­fenen Belei­digungen, Hetze, Hass-Propa­ganda oder andere Dinge verbreiten, die ein schlechtes Licht auf den Account-Inhaber werfen und seinen Ruf nach­haltig schä­digen können. Rufschä­digend kann auch das Anlegen und Benutzen eines Dating-Profils mit den Daten des Opfers sein.

Vorbeu­gung: Wie schütze ich mich?

Daten­spar­sam­keit: Grund­sätz­lich sollte man im Internet und auch außer­halb des Inter­nets nur so viele Daten von sich preis­geben, wie unbe­dingt nötig. Auf gar keinen Fall sollten irgendwo im Internet Daten wie die Post­adresse, das Geburts­datum, Bank­daten oder gar ein Scan des Perso­nal­aus­weises oder Reise­passes kursieren. Ist das bereits der Fall, sollte man diese Daten schnellst­mög­lich löschen (lassen).

Sichere Pass­wörter verwenden: Als unsi­cher gelten alle Pass­wörter, die sehr kurz sind oder konkrete im Wörter­buch auffind­bare Begriffe, Namen oder Datums­angaben enthalten. Inzwi­schen machen glück­licher­weise viele Banken und Web-Dienste Mindest­vor­gaben wie eine Kombi­nation aus Groß- und Klein­schrei­bung sowie Ziffern und Sonder­zei­chen oder eine Mindest­länge von beispiels­weise acht Zeichen. Am besten sind sinn­lose Folgen aus Buch­staben, Ziffern und Sonder­zei­chen. In einem sepa­raten Ratgeber geben wir Ihnen Tipps für ein sicheres Pass­wort.

Pass­wörter nur einmal verwenden: Jedes Pass­wort sollte idea­ler­weise nur einmal verwendet werden. Dann ist es ausge­schlossen, dass Hacker mit nur einer erbeu­teten Kombi­nation bei anderen Web-Diensten Erfolg haben.

Sichere Pass­wort-Daten­bank anlegen: Natür­lich kann sich niemand 50, 100 oder noch mehr verschie­dene Pass­wörter merken. Man sollte also eine sichere Pass­wort-Daten­bank anlegen, in der alle Pass­wörter verzeichnet sind. Dann muss man sich für diese Daten­bank im Kopf nur ein Pass­wort merken - dieses sollte natür­lich ganz beson­ders sicher sein. Mehr dazu lesen Sie in unserem Ratgeber Gratis Pass­wort-Safe auf deut­schem Server - so gehts.

Zwei­faktor-Authen­tifi­zie­rung verwenden: Die inzwi­schen für viele Dienste verpflich­tende Zwei­faktor-Authen­tifi­zie­rung (2FA) verhin­dert, dass Hacker einfach nur mit Durch­pro­bieren von Account-Daten in Nutzer­konten einbre­chen können. Wie man die 2FA einrichtet und wie sie funk­tio­niert erläu­tern wir in unserem Ratgeber zur Zwei­faktor-Authen­tifi­zie­rung.

Biome­tri­sche Siche­rungs­ver­fahren verwenden: Nicht nur Smart­phones und Tablets, auch Laptops und andere Geräte bieten inzwi­schen Finger­abdruck-Scanner, Gesichts-Entsper­rung oder andere biome­tri­sche Siche­rungs­ver­fahren. Einen hundert­pro­zen­tigen Schutz gibt es damit zwar auch nicht, da Hacker zum Teil auch schon Finger­abdrücke erbeuten konnten und Gesichts-basierte Verfahren nicht immer zuver­lässig funk­tio­nieren. Eine biome­tri­sche Siche­rung kann aber die Hürden höher setzen, einen Account zu knacken.

Nicht auf Spam und Phis­hing herein­fallen: Sicher­heit beginnt stets im Kopf: Wer im Internet nicht auf alles klickt, nicht sofort jede E-Mail öffnet, bei E-Mail-Anhängen skep­tisch ist und lieber noch­mals beim vermeint­lichen Absender auf einem anderen Weg (Telefon, Gespräch) nach­fragt, kann sich viele Sche­rereien ersparen. Wir geben Ihnen nicht nur Tipps für mehr Sicher­heit bei E-Mails, sondern verraten Ihnen auch, wie Sie Wegwerf-E-Mail-Adressen verwenden können.

Alle Geräte mit Soft­ware-Updates aktuell halten: Gegen das Ausspähen von Daten mit Hilfe von Schad­soft­ware hilft es (außer aufmerk­samem Verhalten im Netz) auch, Betriebs­sys­teme, Soft­ware und Apps auf allen Geräten durch Updates stets aktuell zu halten. Beim Handy-Provider sollte man Premium-Dienste über eine Dritt­anbie­ter­sperre sperren lassen, wenn man sie nicht benö­tigt. Biometrische Sicherungsverfahren können für mehr Sicherheit sorgen Biometrische Sicherungsverfahren können für mehr Sicherheit sorgen
Bild: Image licensed by Ingram Image

Was sind die Folgen eines Iden­titäts­dieb­stahls?

Ein Iden­titäts­dieb­stahl kann schwer­wie­gende finan­zielle und persön­liche Folgen für die Betrof­fenen nach sich ziehen - bis hin zu psychi­schen Belas­tungen. Das Problem ist: Bevor Polizei und Ermitt­lungs­behörden von dem Iden­titäts­dieb­stahl wissen, behan­deln sie das Opfer wie einen Verbre­cher - mögli­cher­weise inklu­sive Fest­nahmen, unan­genehmen Befra­gungen oder gar Unter­suchungs­haft. Eine unan­gekün­digte Haus­durch­suchung wegen des Verdachts auf Waffen- oder Drogen­handel kann für das unbe­darfte Opfer und seine meist ahnungs­lose Familie eine trau­mati­sche Erfah­rung sein, insbe­son­dere dann, wenn die komplette Nach­bar­schaft dabei zusieht.

Schlimm ist auch, wenn das Opfer - wie leider oft - erst durch Mahnungen, Schreiben von Inkas­soun­ter­nehmen oder gericht­liche Mahn­bescheide davon erfährt, dass es auf den eigenen Namen mögli­cher­weise massen­haft unbe­zahlte Rech­nungen gibt. Mitunter haben die geprellten Firmen auch schon nega­tive Einträge bei der Schufa oder anderen Boni­täts-Auskunf­teien veran­lasst.

Oft ist es für die Betrof­fenen dann eine lang­wie­rige Aufgabe, Polizei, Ermitt­lungs­behörden, Geschä­digte und vor allem die eigene Familie, Freunde und Nach­barn zu über­zeugen, dass man nicht selbst der Verbre­cher, sondern das Opfer ist. Die Wieder­her­stel­lung der eigenen persön­lichen und finan­ziellen Repu­tation kann mehrere Monate in Anspruch nehmen.

Daten miss­braucht: Wie verhalte ich mich richtig?

Anzeige bei der Polizei: Wer plötz­lich nicht mehr in seine Accounts kommt, von den Diens­tean­bie­tern merk­wür­dige Fragen gestellt bekommt und bei wem plötz­lich Mahnungen und Inkas­soschreiben für niemals bestellte Waren oder Dienst­leis­tungen ins Haus flat­tern, sollte sofort Anzeige bei der örtli­chen Polizei stellen und darauf hinweisen, dass ein Verdacht auf Iden­titäts­dieb­stahl besteht. Dabei hilft es nichts, das eigene Fehl­ver­halten wie schlecht gewählte Pass­wörter zu beschö­nigen. Besser ist es, gegen­über den Ermitt­lungs­behörden stets mit offenen Karten zu spielen und alle gefor­derten Details zu liefern.

Proto­kol­lie­rung aller Vorkomm­nisse, Anwalt infor­mieren: Sicher­heits­halber sollte man alle erfor­der­lichen Daten nicht nur an die Polizei über­geben, sondern auch selbst akri­bisch sammeln. Wer eine Recht­schutz­ver­siche­rung hat, sollte diese infor­mieren und sich nach dem weiteren Vorgehen erkun­digen. Ein Anwalt darf nur mit Zustim­mung der Versi­che­rungs­gesell­schaft einge­schaltet werden, sonst lehnt diese viel­leicht die Kosten­über­nahme ab. In der Regel helfen die Versi­cherer bei der Suche nach einem kompe­tenten Anwalt. Eine Rechts­bera­tung bieten auch die örtli­chen Verbrau­cher­zen­tralen an, die man einschalten kann.

Infor­mation an alle Betei­ligten: Stimmen Polizei, Staats­anwalt­schaft und Recht­schutz­ver­siche­rung zu, sollte man alle Betei­ligten (Online-Shops, Banken, Zahlungs­dienst­leister, soziale Netz­werke...) über den Vorfall infor­mieren und mitteilen, dass ein Verdacht auf Iden­titäts­dieb­stahl besteht (Muster­brief der Verbrau­cher­zen­tralen). Legt man dabei eine Kopie der Anzeige bei der Polizei vor, werden Mahn- und Inkas­sover­fahren in der Regel erst einmal gestoppt. Arbeitet man bereits mit einem Anwalt zusammen, sollte dieser die betref­fenden Schreiben verfassen.

Pass­wort-Daten­banken prüfen: Die Pass­wort-Daten­banken, die die Hacker unter­ein­ander tauschen und verkaufen, gelangen in der Regel auch in die Hände von seriösen Sicher­heits­experten. Diese haben damit Abfra­gemög­lich­keiten geschaffen, über die man heraus­finden kann, ob die eigene E-Mail oder das verwen­dete Pass­wort schon einmal in der Hacker-Szene aufge­taucht sind. Diverse Portale geben darüber Auskunft, ob Ihre Daten viel­leicht schon mal irgendwo geklaut, ver­öffentlicht und miss­braucht wurden - in einem sepa­raten Ratgeber verraten wir, wo und wie Sie das heraus­finden.

Pass­wörter überall ändern: Sofort nach einem Hack alle Pass­wörter der gehackten Accounts zu ändern, ist nicht immer der rich­tige Weg. Dies sollte mit den Ermitt­lungs­behörden abge­spro­chen werden. Mögli­cher­weise kann der Account noch dazu dienen, die Verbre­cher ding­fest zu machen. Sollten die Ermitt­lungs­behörden vorerst keine Pass­wort-Ände­rung empfehlen, sollte man im Gegenzug die Haftung für alle weiteren Schäden ablehnen. Bei nicht gehackten Benut­zer­konten, die mögli­cher­weise dieselbe Kombi­nation aus Pass­wort und Benut­zer­name/E-Mail haben wie die gehackten Accounts, sollte man aber sofort die Pass­wörter ändern.

Selbst­aus­kunft bei der Schufa einholen: Wer den Verdacht hat, dass seine Kredit­wür­dig­keit sich durch einen Iden­titäts­dieb­stahl verschlech­tert hat, sollte bei der Schufa eine Selbst­aus­kunft einholen. Sind die Daten dort fehler­haft oder unvoll­ständig, sollte man die Schufa schrift­lich zur Korrektur auffor­dern. Sichere Passwörter im Internet sind unerlässlich Sichere Passwörter im Internet sind unerlässlich
Bild: teltarif.de

Fazit: Eigene Repu­tation wieder­her­stellen

Zusam­men­fas­send lässt sich sagen: Wer seine Daten im Internet und auch außer­halb nur sparsam heraus­gibt, wer im Internet aufmerksam unter­wegs ist und nicht alles anklickt, wer nicht auf vermeint­liche Schnäpp­chen in Fake-Shops herein­fällt und seine Geräte mit Soft­ware-Updates stets aktuell hält, hat schon sehr viel getan, um einem Iden­titäts­dieb­stahl vorzu­beugen. Eine hundert­pro­zen­tige Sicher­heit gibt es aller­dings nicht.

Ist man Opfer eines Iden­titäts­dieb­stahls geworden, ist es wichtig, sich nicht verschämt zurück­zuziehen und die Sache auszu­sitzen, sondern entschlossen dagegen vorzu­gehen. Zunächst sollte eine Anzeige bei der Polizei erfolgen, in der der betref­fende Tatbe­stand klar genannt wird (Betrug, Unter­schla­gung, Verleum­dung, üble Nach­rede...). Liefert man den Ermitt­lungs­behörden möglichst viele Daten, besteht die Chance, dass das Verfahren nicht vorschnell einge­stellt wird und dass man - selbst wenn die Betrüger nicht gefunden werden - nicht auf dem Schaden sitzen bleibt. Hierzu ist auch eine offene und klare Kommu­nika­tion mit den Gläu­bigern und Auskunf­teien wie der Schufa erfor­der­lich.

Die Wieder­her­stel­lung der eigenen Repu­tation mag zwar eine Menge Arbeit sein, in finan­zieller und gesell­schaft­licher Hinsicht (Nach­bar­schaft, Familie...) ist sie aber uner­läss­lich.

Wer bei Handy, Internet und Fest­netz unge­recht behan­delt wird, steht nicht alleine da. Wir erläu­tern nicht nur, wie man bei der BNetzA, der Verbrau­cher­zen­trale oder einem Anwalt Hilfe bekommt, sondern geben auch Tipps zur Selbst­hilfe.

Mehr zum Thema Identitätsdiebstahl