Identitätsdiebstahl im Internet: Was tun? Schritte laut Polizei und BSI

Eine Rechnung für eine Bestellung, die Sie nie getätigt haben, oder eine Abbuchung, die Sie nicht kennen: So bemerken viele Betroffene, dass jemand ihre Identität missbraucht. Dieser Beitrag fasst zusammen, was die Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK), das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Verbraucherzentrale dazu schreiben. Er bleibt bei diesen drei Seiten.

Was Identitätsdiebstahl bedeutet

Bei einem Identitätsdiebstahl beziehungsweise Identitätsbetrug geben sich Kriminelle laut ProPK mit gestohlenen Daten oder Gegenständen, etwa ID-Cards oder Pässen, als andere Personen aus oder handeln in betrügerischer Absicht in deren Namen. Persönliche Daten gelangen oft durch Phishing per SMS, E-Mail, gefälschte Banken-Websites oder Fake-Shops in die Hände von Kriminellen, oder durch Datenlecks bei Unternehmen. Auch allzu freigiebige Social-Media-, Karriere- oder Dating-Profile können eine Informationsquelle sein.

Das BSI beschreibt zwei Wege. Kriminelle können ein fremdes Konto übernehmen, etwa mit Login-Daten aus Phishing-Mails oder Datenlecks. Sie können aber auch einen neuen Account in fremdem Namen erstellen und ihn mit gesammelten Bildern und privaten Daten wie Geburtsdatum und Beruf befüllen. Ein solches Social-Media-Profil kann täuschend echt aussehen.

Wie Betroffene es meist bemerken

Die Verbraucherzentrale schreibt, Betroffene erfahren meist erst vom Identitätsdiebstahl, wenn sie Rechnungen oder Inkasso-Schreiben erhalten oder unbekannte Abbuchungen auf ihrem Konto entdecken. Die ProPK nennt ebenfalls unerwartete Rechnungen oder Mahnungen. Für Betroffene bleibe häufig unklar, wie die Täter an ihre digitalen Identitäten gelangt sind und in welchem Umfang diese genutzt oder weitergegeben werden.

Die ersten Schritte im Ernstfall

Die ProPK betont, dass bei missbrauchten Daten schnelles Handeln wichtig ist, und nennt diese Punkte:

• Anzeige erstatten: Melden Sie den Vorfall bei der Polizei. Das ist auch online bei den Onlinewachen der Polizeien der Länder möglich.
• Banken informieren: Setzen Sie Ihre Bank und Zahlungsdienste sofort in Kenntnis, um weitere Schäden zu verhindern.
• Ausweis sperren: Lassen Sie verlorene oder gestohlene Ausweise sowie die Online-Ausweisfunktion (eID) umgehend sperren.
• Bonität prüfen: Fordern Sie eine kostenlose SCHUFA-Selbstauskunft an und lassen Sie bei Bedarf einen Sperrvermerk setzen.
• Zugänge sichern: Ändern Sie Passwörter, aktivieren Sie zusätzliche Sicherheitsfunktionen und sichern Sie betroffene Konten.

Konten sichern und Passwörter ändern

Die Verbraucherzentrale rät, Passwörter betroffener Accounts zu ändern, insbesondere die der E-Mail-Accounts. Das BSI empfiehlt für jeden Dienst ein eigenes Passwort. Wird zum Beispiel das Social-Media-Konto gehackt, ist so das E-Mail-Konto nicht mitbetroffen. Außerdem rät das BSI, die Zwei-Faktor-Authentisierung zu aktivieren, wo sie möglich ist, und einen Passwort-Manager zu nutzen. Wird ein Passwort erraten, veröffentlicht oder anderweitig gehackt, erschwert das den Zugriff auf Ihre Accounts.

Für Betroffene von gehackten Accounts, von Identitätsdiebstahl auf Social-Media-Plattformen und von mit Schadsoftware infizierten Geräten bietet das BSI eigene Anleitungen. Haben Kriminelle Schadprogramme oder Ransomware installiert und erpressen Sie damit, raten die Verbraucherzentralen, das Gerät vom Internet zu trennen und keine Zahlungsaufforderungen zu erfüllen. Außerdem sollten Sie die Passwörter sämtlicher Accounts ändern und gegebenenfalls IT-Fachleute hinzuziehen.

Geld, Banken und Anzeige

Haben Kriminelle bereits Geld vom Konto überwiesen, sollten Sie laut Verbraucherzentrale schnell handeln und keine falsche Scham zeigen. Informieren Sie Ihre Bank und sperren Sie die betroffenen Konten oder Karten. Stellen Sie auf jeden Fall Strafanzeige bei der Polizei.

Wer unberechtigte Abbuchungen zurückbuchen ließ, bei dem melden sich oft die Anbieter mit Zahlungsaufforderungen. Die Verbraucherzentrale empfiehlt, einem Anbieter, der sich nach einer Rückbuchung mit Zahlungsaufforderungen meldet, unter Beifügung einer Kopie der Strafanzeige als Nachweis für den Identitätsdiebstahl zu widersprechen. Dafür bietet sie einen interaktiven Musterbrief an.

Mahnungen, Inkasso und Auskunfteien

Gegen einen eventuellen Mahnbescheid muss laut Verbraucherzentrale innerhalb von 2 Wochen ab Zustellung Widerspruch eingelegt werden. Einträge über Ihre Person bei Auskunfteien und etwaige Falscheinträge sollten Sie berichtigen lassen. Bei der SCHUFA und anderen Auskunfteien kann der Identitätsdiebstahl gemeldet werden.

Als Beispiel nennt die Verbraucherzentrale einen Mann, der nie im Internet bestellt hatte und trotzdem von einem Inkassounternehmen zur Zahlung mehrerer Online-Bestellungen aufgefordert wurde. Die Täter hatten laut Beschreibung lediglich Namen und Adresse benötigt.

Mögliche Folgen

Welche Vorschriften des Strafgesetzbuchs bei einem Missbrauch greifen können, lesen Sie in Identitätsdiebstahl: Ist das eine Straftat?.

Kriminelle nutzen die gestohlenen Daten laut ProPK, um sich bei Online-Diensten anzumelden, Waren zu bestellen oder Verträge und Darlehen im Namen und auf Rechnung der Opfer abzuschließen. Die Auswirkungen können bis zu drohenden strafrechtlichen Konsequenzen reichen. Das BSI nennt finanzielle Schäden, Rufschädigung und strafrechtliche Konsequenzen. Bei strafrechtlicher Verfolgung führe die Spur zunächst zum Besitzer oder zur Besitzerin des gehackten Kontos.

Die Verbraucherzentrale führt Beispiele aus Beschwerden auf: unberechtigt abgeschlossene Abonnements für Streaming-Dienste oder Dating-Portale, kostenpflichtige Mailkonten, Warenbestellungen über Shopping-Plattformen und Mobilfunkverträge. In einem Beispiel eröffnet ein Verbraucher in der Annahme, ein Video-Ident-Verfahren zu testen, ein reales Bankkonto auf seinen Namen. Als drohender Schaden wird dort eine Anklage wegen leichtfertiger Geldwäsche genannt.

Gefälschte Profile: was die Quellen nicht sagen

Wie Sie bei den Plattformbetreibern gefälschte Profile melden oder entfernen lassen, beschreiben die hier ausgewerteten Seiten nicht. Das BSI verweist dafür auf seine gesonderte Anleitung für Betroffene von Identitätsdiebstahl auf Social-Media-Plattformen. Auch Rat bei Ihrer Verbraucherzentrale ist laut Verbraucherzentrale im Zweifel möglich.

Wie die kostenlose Analyse von Remove Me dazu passt

Die kostenlose Analyse von Remove Me funktioniert ohne Konto. Sie geben Ihre Angaben ein, und der Dienst durchsucht öffentlich sichtbare Webergebnisse, bekannte öffentliche Datenlecks (über Have I Been Pwned) und ein Register von Datenhändlern. Danach zeigt er einen Bericht, den Sie mit einem sechsstelligen Code freischalten, der per E-Mail zugeschickt wird. Remove Me versendet noch keine Löschanfragen in Ihrem Namen.