Identitätsdiebstahl

Als Identitätsdiebstahl (auch Identitätsbetrug, Identitätsmissbrauch) wird die missbräuchliche Nutzung personenbezogener Daten durch Vortäuschung einer (fremden) Identität einer anderen natürlichen Person durch Dritte bezeichnet.^[1]

Begriff

Merkmale

Unter Identitätsdiebstahl und -missbrauch wird der (zunächst) missbräuchliche Erwerb und die (darauf folgende) missbräuchliche Nutzung personenbezogener Daten durch dazu nicht berechtigte Dritte verstanden.^[1] Teilweise werden hierfür eigene „Geschäftsmodelle“ aufgesetzt.^[2]

Der Identitätsdiebstahl kann digital oder analog durchgeführt werden, z. B. durch Sammeln personenbezogener Daten im Müll oder Altpapier, durch Diebstahl eines Portemonnaies^[3]^[4] oder durch das Abgreifen von Kreditkartendaten über die früher verwendeten Magnetstreifen an einem manipulierten Geldautomaten einer Bank.

Ziel eines Identitätsdiebstahls kann es sein, einen betrügerischen Vermögensvorteil zu erreichen, z. B. durch Bestellung von Waren und Dienstleistungen, durch den Abschluss von Kreditverträgen, durch Erpressung der Opfer oder Schädigung von Angehörigen („Enkeltrick“).^[5]^[6]

Teilweise besteht das alleinige Motiv darin, den rechtmäßigen Inhaber der Identität in Misskredit zu bringen, so nach Ende einer Beziehung oder eines Arbeitsverhältnisses. Der Täter kann beabsichtigt, unter Verwendung der fremden Identität ein Nutzerprofil in sozialen Netzwerken anzulegen oder sich in die bestehenden einzuhacken. Den Zugang verwendet er dann, um den Betroffenen z. B. durch Verbreitung extremistischer Ansichten oder Cybermobbing zu schädigen und diskreditieren.^[7]

In seltenen Fällen missbrauchen Täter fremde Identitäten, um ihre kriminelle Vergangenheit zu verschleiern.^[8]

Objekte

Bei einem Identitätsdiebstahl werden zunächst personenbezogene Daten wie Name, Geburtsdatum, Adresse, Telefonnummern, E-Mail-Adressen, IP-Adresse, Führerschein-, Personalausweis- oder Sozialversicherungsnummern, Bankdaten oder Kreditkartennummern, Zugangsdaten und Fotos gesammelt.^[9]

Begehungsformen

Identitätsdiebstähle können in vielen unterschiedlichen digitalen und analogen Formen vorkommen. Aufgrund des digitalen Fortschritt sind die Ausführungsformen dynamisch. So sind aufgrund der Digitalisierung der Verwaltung weitere Gefahrenquellen durch die missbräuchliche Verwendung fremder Identitäten bei digitalen Behördendienstleistungen (E-Government) entstanden.

Teilweise werden diese Daten von den (späteren) Opfern vermeintlich freiwillig zur Verfügung gestellt, z. B. durch Ausfüllen von Fragenbögen anlässlich einer vermeintlichen Wohnungsangebots oder durch Eingabe auf eine Internetseite, die vorgibt, ein seriöses Unternehmen zu sein. Diese Phishing genannte Methode kann beispielsweise durch den Nachbau einer Website eines bekannten Online-Shops oder durch die Versendung von gefälschten E-Mails im vermeintlichen Namen einer Bank erfolgen.☃☃ Über die Nutzung eines Links und die Eingabe von Daten in Formularen auf den Websites werden dann die eingegebenen Daten abgegriffen.

Durch Phishing, Pharming und Spoofing verschaffte Identitäten verschaffen sich dann die Täter Zugang zu Daten bei Onlineberatungen, Kontaktportalen, Online-Marktplätzen usw. und vermarkten die gewonnenen Daten an „interessierte Kreise“. Auf Kosten der Täter werden dann Verträge abgeschlossen oder andere der zuvor aufgezeigten kriminellen Aktivitäten (Erpressung der Opfer, Schädigung der Angehörigen, Bloßstellung der Betroffenen) vorgenommen.

Ein Identitätsdiebstahl liegt auch dann vor, wenn ein bestehender Account gehackt und von unbefugten Dritten beispielsweise für Betrug verwendet wird.^[10]

Schäden

Die missbräuchliche Nutzung einer fremden Identität kann für die Opfer zu finanziellen Schäden bis hin zu einer Verschuldung führen.

Wenn kriminelle Handlungen im Namen des Opfers des Identitätsdiebstahls durchgeführt werden, kann dies zu ungerechtfertigten Strafverfolgungsmaßnahmen und Strafen führen. Der Diebstahl einer Identität kann auch Karrieren, Beziehungen und ganze Leben zerstören.^[11]

Nicknapping

Ein besonderes Problem stellt das Nicknapping (zusammengesetzt aus Nick, als Abkürzung für Nickname und napping in Anspielung auf Kidnapping) dar: das Auftreten im Internet unter dem Namen oder Pseudonym eines anderen Diskussionsteilnehmers oder Benutzers.^[12] Bei Internetportalen und Diskussionsplattformen, die eine Registrierung erfordern, ist meist eine Zuordnung der entsprechenden Person zu einem Benutzerkonto und einer E-Mail-Adresse vorhanden.

Seit das Internet auch und verstärkt im öffentlichen Rahmen genutzt wird, ist es vielfach möglich, statt seines realen Namens einen beliebigen Namen zu verwenden. Dies gilt für Mailinglisten ebenso wie für das Usenet und Foren.

Dabei ist es möglich, nicht nur erfundene, sondern auch Namen real existierender Personen zu verwenden, die von der Verwendung durch Dritte nicht zwingend etwas mitbekommen müssen. Auch das Verwenden von Pseudonymen in sachlich ähnlichen Foren oder Portalen kann eine Form des Nicknappings darstellen, sofern keine Unabhängigkeit der beteiligten Personen gegeben ist und das Pseudonym in der entsprechenden Themengesellschaft einer bekannten Person zugeordnet wird, also einen hohen Wiedererkennungswert hat.

Strafrechtlich ist der Missbrauch eines echten Namens und der eines Nicknames sehr unterschiedlich zu bewerten. Während die Verwendung eines falschen Namens in Verbindung mit weiteren Daten und Fakten zur Person immer strafbar ist, kann die Verwendung desselben Nicks in unterschiedlichen Systemen nicht verfolgt werden, da Nicknames nicht geschützt sind und die Verwendung nur innerhalb des jeweiligen Systems kontrolliert werden kann. Rechtlich dem „bürgerlichen Namen“ gleichgestellt sind nur im Ausweis eingetragene Künstlernamen.

Rechtslage

Deutschland

Strafrecht

Der Identitätsdiebstahl ist in Deutschland kein eigenes strafbewehrtes Delikt.^[11] Jedoch sind die kriminelle Erhebung und Verwendung einer fremden Identität strafbar.

Die unbefugte Erhebung ist unter den Tatbestandsvoraussetzungen des Ausspähen von Daten (§ 202a StGB), Abfangen von Daten (§ 202b StGB) oder der Vorbereitung hierzu (§ 202c StGB) und der Weitergabe als Datenhehlerei (§ 202d StGB) strafbar. Auch das Bundesdatenschutzgesetz enthält in § 42 BDSG eine eigene Strafvorschriften für die unbefugten gewerbsmäßigen Erhebung und Verarbeitung großer Mengen personenbezogener Daten. Verändert der Täter nach der Erhebung die Daten, z. B. um den Betroffenen von dem Zugang auszusperren, fällt dies unter den Tatbestand der Datenveränderung (§ 303c StGB). Bei der Verwendung können die folgenden Straftatbestände betroffen sein: Fälschung beweiserheblicher Daten und Täuschung im Rechtsverkehr bei Datenverarbeitung (§ 269StGB und § 270 StGB), Betrug (§ 263 StGB), Computerbetrug (§ 263a) oder Erpressung (§ 253 StGB).

Eine besonders häufige Form des Datenmissbrauchs ist der sogenannte Waren- oder Leistungskreditbetrug. Hierbei werden meist online oder per Telefon, aber auch in Ladengeschäften unter Angabe fremder Personen- und/oder Zahlungsdaten Bestellungen aufgegeben, mit dem Ziel, die Ware oder Leistung ohne Leistung der Zahlung für sich oder Dritte zu erlangen.

Verwendet der Täter ein Portraitbild seines Opfers stellt dies nach dem Kunsturhebergesetz (§ 33 KUG) ebenfalls eine Straftat dar.

Im Zusammenhang mit Stalking kann das Bestellen von Waren und Dienstleistungen den Straftatbestand der Nachstellung gem. § 238 Abs. 1 Ziff. 3 bis 8 StGB erfüllen.

Bei dem Begehung zwecks Diskreditierung des Opfers kann eine Üble Nachrede gem. § 186 StGB oder Verleumdung gem. § 187 StGB erfüllt sein.^[13]

Die Erlangung oder Verwendung der Daten kann, je nach Tatbegehung, unter mehrere Rechtsnormen fallen.^[14]

Zivilrechtliche Ansprüche

Aus zivilrechtlicher Sicht ergeben sich unterschiedliche Ansprüche z. B. auf Unterlassung, oder Schadensersatz wegen Verletzung der Persönlichkeitsrecht.

Der Verwender eines durch § 12 BGB geschützten Namen hat bei Verwendung nach einem Identitätsdiebstahl ein Unterlassungsanspruch. Darunter kann auch der Schutz des Pseudonyms fallen. Erfolgt die Verwendung auf einer Plattform kann der Unterlassungsanspruch nicht nur gegen den Täter, sondern auch gegen den Betreiber einer Plattform geltend gemacht werden. Allerdings trifft den Geschädigten die Beweislast, dass es dem Betreiber technisch möglich und zumutbar war, Verletzungen zu verhindern (BGHZ 158, 236 – Internetversteigerung I; BGH NJW 08, 3714 – eBay (Urteil des BGH vom 10.04.2008 - I ZR 227/05)).^[15]

Bei Verletzung von personenbezogenen Daten können sich Schadensersatz- und Schmerzensgeldanspruch aus dem Datenschutzrecht (DSGVO und BDSG) ergeben.^[16]

Schweiz

Seit dem 1. September 2023 steht in der Schweiz der Missbrauch einer fremden Identität (gem. Art. 179^decies StGB) unter Strafe.^[17] Hiernach macht sich strafbar, wer die Identität einer anderen Person ohne deren Einwilligung verwendet, um dieser zu schaden oder um sich oder einem Dritten einen unrechtmässigen'Vorteil zu verschaffen. Die Strafandrohung liegt bei einer Freiheitsstrafe von bis zu einem Jahr oder einer Geldstrafe.^[18]

Statistiken

Deutschland

Eine Studie aus dem Jahr 2016 von PwC gibt an, dass jede dritte deutsche Person bereits von Identitätsdiebstahl betroffen war.^[19] 30 % hiervon haben einen wirtschaftlichen Schaden, im Schnitt 1.366 €, erlitten. Als häufigste Form des Identitätsdiebstahls beziffert die Studie den Spam-Versand von E-Mails, gefolgt von der Erstellung von Fake-Accounts und dem Diebstahl von Kreditkarten-Daten.

Für das Jahr 2020 weist das Bundeskriminalamt (BKA) missbräuchliche Transaktionen in Höhe von 85.000 € aus, die im Zusammenhang mit digitalem Identitätsdiebstahl stehen.^[20] Mit Verweis auf die Plattform HaveIBeenPwnd und das Hasso-Plattner-Institut beziffert das BKA die Anzahl kompromittierter Accounts auf 11–12 Milliarden. Zum 15. April 2023 weist HaveIBeenPwnd etwa 12,5 Milliarden kompromittierte Accounts aus.^[21]

Die Aufklärungsquote für Identitätsdiebstahl liegt im Jahr 2020 bei 30 %.^[22]

USA

Die am häufigsten auftretenden Formen von Identitätsdiebstahl sind Kreditkartenbetrug, Kontenraub und Bankbetrug; in den USA sollen diese Straftaten nach einer Studie der Federal Trade Commission (FTC) im Jahr 2002 einen Schaden von insgesamt rund 37 Milliarden US-Dollar verursacht haben – 33 Milliarden US$ für Geschäftskunden und knapp 4 Milliarden US$ bei Privathaushalten.^[23] Auch wurde ein Anstieg der Schadenssumme festgestellt – im Jahr 2005 belief sie sich auf rund 57 Milliarden US$.^[24]

Identitätsdiebstahl ist eine der am stärksten zunehmenden Kriminalitätsformen in hochtechnisierten Ländern. Bei der US-amerikanischen Handelsaufsicht Federal Trade Commission gingen beispielsweise im Jahr 2002 168.000 Meldungen sowie 380.000 Beschwerden wegen Identitätsdiebstahls ein.

Im Jahr 2007 war die kalifornische Stadt Napa mit 300 Beschwerden pro 100.000 Einwohnern die Stadt mit den meisten Beschwerden wegen Identitätsdiebstahl in den USA.

2017 wurden auf der FCC-Website zahlreiche Kommentare mit gestohlenen Identitäten gepostet, die sich gegen die Netzneutralität aussprachen – mutmaßlich, um das öffentliche Meinungsbild zu verfälschen.^[25]