Identitätsdiebstahl: Erkennen, Reagieren, Vorbeugen

Der digitale Wandel hat das Leben in vielerlei Hinsicht erleichtert. Durch die vermehrte Nutzung von Online-Diensten, sozialen Netzwerken und E-Commerce wurden auch neue Möglichkeiten für Cyberkriminalität geschaffen. Identitätsdiebstahl ist dabei einer der gravierendsten Bedrohungen. Neben dem finanziellen Schaden sind die emotionalen und sozialen Auswirkungen häufig schwerwiegend.

© OleCNX - stock.adobe.com

Die Kriminalität im Internet steigt und damit auch der finanzielle Schaden der Betroffenen. Laut der „Bitkom-Studie Wirtschaftsschutz 2024“ betrug der Schaden für die Wirtschaft im Jahr 2024 durch Cybercrime 178,6 Mrd. Euro [1]. Das sind rund 30 Mrd. Euro mehr als im Jahr 2023 (148,2 Mrd. Euro).

Was ist Identitätsdiebstahl?

Identitätsdiebstahl oder Identitätsmissbrauch bezeichnet die missbräuchliche Nutzung von persönlichen Daten durch Dritte. Den Anlass eines Identitätsdiebstahls bilden in der Regel eine kriminelle Handlung oder die Absicht, den wirklichen Inhaber oder die Inhaberin der Identität zu schädigen [2].

1. Identitätsdiebstahl erkennen

Da der Missbrauch personenbezogener Daten auf sehr viele verschiedene Arten erfolgen kann, sind die Folgen für die Verbraucherinnen und Verbraucher oftmals nicht direkt erkennbar.

Häufig gestohlene Daten:

• Name, Anschrift, Geburtsdatum
• Ausweis- oder Steuer ID
• Bank- und Kreditkartendaten
• Passwörter und Zugangsdaten
• Fotos und biometrische Daten
• Sozialversicherungs- und Gesundheitsdaten

Mögliche Indizien für einen Identitätsdiebstahl:

• Zahlungsaufforderungen über nicht getätigten Bestellungen.
• E-Mails über Kontoänderungen, die die Verbraucherinnen und Verbraucher nicht selbst vorgenommen haben.
• Das Einloggen bei einem Internetdienst, dem eigenen E-Mail-Anbieter oder bei einem sozialen Netzwerk ist trotz vermeintlich korrektem Passwort nicht möglich.
• In Ihrem Namen werden Beiträge im Internet veröffentlicht, E-Mails versendet oder Profile in sozialen Netzwerken erstellt.
• Sie erhalten von ihrem Dienstleister eine Benachrichtigung, dass ein neues Gerät für den Dienst registriert wurde oder der Dienst von einem ungewöhnlichen Ort aus genutzt wurde, ohne dass dies tatsächlich der Fall war.

Dabei ist zu beachten, dass nicht jede verdächtige Aufforderung, wie z.B. eine Rechnung oder eine Mahnung, auf einen Identitätsdiebstahl zurückzuführen ist. Deshalb gilt: Jede Aufforderung, insbesondere per E-Mail, immer sorgfältig auf ihre Richtigkeit prüfen.

2. Häufige Methoden des Identitätsdiebstahls

Phishing

Phishing ist eine Art der Kommunikation, meist in Form von E-Mails, die so aussieht, als stammt sie von einer vertrauenswürdigen Quelle. Betrüger senden E-Mails, SMS oder Nachrichten, die die Nachrichten von Banken, Paketdiensten oder Behörden täuschend echt imitieren. Verbraucherinnen und Verbraucher erhalten beispielsweise eine E-Mail, die angeblich von der eigenen Bank stammt und den Empfänger auffordert, seine Kontodaten zu verifizieren.

Ziel ist es, die Verbraucherinnen und Verbraucher dazu zu bringen, den Anhang zu öffnen oder einen Link anzuklicken. Dies führt dann auf eine gefälschte Website, die die Daten direkt an die Betrüger weiterleitet.

Datenleaks & Hacks

Datenleaks entstehen, wenn Unternehmen, Behörden oder Webseiten durch Sicherheitslücken in ihren Systemen gehackt werden und dadurch persönliche Daten von den Verbraucher*innen in falsche Hände geraten. Diese Nutzerdaten verkaufen die Betrüger dann oftmals im Darknet.

Social Engineering: Manipulation durch psychologische Tricks

Betrüger manipulieren Menschen psychologisch, um an sensible Informationen zu gelangen. Die Betrüger geben sich z.B. als Bankmitarbeiter oder Microsoft-Techniker aus. Sie bitten dann um sensible Informationen, wie die IBAN, um angeblich Sicherheitsvorkehrungen vorzunehmen.

Malware: Spionage durch Software

Malware ist eine Software, die auf dem Gerät der Verbraucherinnen und Verbraucher installiert wird, um Daten zu stehlen oder Schadsoftware auszuführen. Besonders gefährlich sind Keylogger, die jede Tastatureingabe aufzeichnen und Trojaner, die heimlich Passwörter und andere sensible Daten weiterleiten. Malware wird häufig durch das Öffnen von infizierten Anhängen oder den Besuch gefährlicher Websites verbreitet. Diese Websites sind nur erstellt worden, um Daten von Benutzern zu stehlen.

Öffentlich zugängliche Daten

Häufig teilen Verbraucherinnen und Verbraucher unbedacht Informationen in sozialen Netzwerken oder auf Websites und erleichtern Betrügern die Nachbildung einer digitalen Identität. Auch scheinbar harmlose Informationen, wie beispielsweise der Name des Haustieres oder der Geburtsort, können als Passworthilfe dienen.

3. Wie kann ich mich gegen Identitätsdiebstahl schützen bzw. vorbeugen?

Verbraucherinnen und Verbraucher sollen darauf achten, dass sie seriöse Anbieter nutzen, sehr kritisch prüfen, welche personenbezogene Daten sie von sich preisgeben, und kontrollieren, ob die Sicherheitsvorkehrungen zum Schutz ihrer Daten ausreichend sind. Weitere Informationen finden Interessierte beim Bundesamt zur Sicherheit in der Informationstechnik (BSI) [3].

• Starke Passwörter oder Passwortmanager: Die Passwörter für jeden genutzten Dienst sollten einzigartig sein, das heißt für jeden Dienst ein eigenes und anderes Passwort. Ein Passwortmanager kann hier sehr hilfreich sein.
• Zwei-Faktor-Authentifizierung (2FA): Wo möglich sollten Verbaucherinnen und Verbraucher mit einer Zwei-Faktor-Authentifizierung arbeiten und die genutzten Dienste über eine geschützte HTTPS-Verbindung nutzen. Hierbei ist auf das „S“ zu achten. Andere Verbindungen möglichst meiden.
• Vorsicht bei Anhängen und Links: Grundsätzlich gilt Vorsicht bei unerwarteten Nachrichten, auch wenn sie offiziell erscheinen. Wichtig: Keine Anhänge und Links öffnen. Wichtige Schreiben von Banken oder Behörden werden immer noch per Post zugestellt.
• Gerätesicherheit: Eine gute Gerätesicherheit ist wichtig. Die Software immer aktualisieren und ein aktuelles Virenschutzprogramm nutzen.
• Daten regelmäßig sichern: Es sollten mindestens drei Kopien der Daten vorhanden sein. Diese auf zwei unterschiedlichen Medien abspeichern. Eine weitere Kopie, eine sogenannte Backup-Kopie, an einem externen Speicherort aufheben.
• Datensparsamkeit: Ein sparsamer und bedachter Umgang mit den eigenen Daten im Internet ist die beste Vorbeugung gegen Identitätsdiebstahl. Tipp: Daten die Nutzer nicht preisgeben, können auch nicht missbraucht werden.

4. Was ist im Notfall zu tun?

Schadprogramm auf dem PC:

• Das Gerät vom Netzwerk trennen. WLAN ausschalten und Netzwerkkabel entfernen.
• Virenscan durchführen - mit einem aktuellen Virenschutzprogramm.
• Passwörter ändern, wenn möglich mit einem anderen Gerät.
• Das Gerät neu aufsetzen, bzw. auf Werkseinstellung zurücksetzen. Hierfür kann Unterstützung von Fachleuten hilfreich sein.

Gestohlene Zahlungsdaten:

• Sofort den Zugang zum Bankkonto sperren - mit dem kostenfreien Sperr-Notruf 116 116.
• Regelmäßige Kontrolle der Abbuchungen auf dem Bankkonto, eventuell Unterstützung durch die Bank erfragen.
• Neue Passwörter und Pins verwenden.

Gestohlene Zugangsdaten:

• Sofort neues Passwort vergeben.
• In den Einstellungen sofort alle aktiven Sitzungen beenden, denn dadurch verlieren Unbefugte den Zugriff auf das Benutzerkonto, falls sie auf anderen Gräten eingeloggt sind. Dies ist möglich über den Task Manager.
• Überprüfen, ob Einkäufe getätigt oder Einstellungen auf dem Benutzerkonto geändert wurden. Falls ja, die Anbieter kontaktieren und die Käufe rückgängig machen.
• Falls ein Zugriff auf das Benutzerkonto nicht mehr möglich ist, den Anbieter kontaktieren und informieren.
• Überprüfung aller Benutzerkonten und Änderung der Zugangsdaten. Mit dem HPI (Hasso-Plattner-Institut) Identity Leak Checker (https://sec.hpi.de/ilc/),  können Sie mithilfe ihrer E-Mailadresse prüfen, ob  ihre persönlichen Identitätsdaten bereits im Internet veröffentlicht wurden [4].

Für alle Fälle des Identitätsdiebstahls ist es wichtig Beweise zu sichern, z. B. durch Screenshots, und die Polizei zu informieren sowie gegebenfalls Strafanzeige gegen die Betrüger zu erstatten.

[1] https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2024/2024-08-28-studie-bitkom.html
[2] https://www.vis.bayern.de/digitale_welt/sicherheit_internet/identitaetsdiebstahl.htm
[3] BSI - Bundesamt für Sicherheit in der Informationstechnik
[4] Identity Leak Checker (https://sec.hpi.de/ilc/)