Was ist Identitätsdiebstahl?

Identitätsdiebstahl ist die unautorisierte Nutzung der persönlichen Daten einer anderen Person (Name, Geburtsdatum, Ausweisnummer, Finanzdaten), um in deren Namen Betrug zu begehen. Es ist das Dachverbrechen, unter dem die meisten identitätsbasierten Online-Betrugsformen sitzen: einen Kredit aufnehmen, den das Opfer nie beantragt hat, eine Steuererstattung beantragen, bevor das Opfer es selbst tut, oder Zugriff auf Konten erlangen, die ihm allein gehören sollten. Was Identitätsdiebstahl für seine Opfer besonders teuer macht, ist die Asymmetrie: Das Verbrechen geschieht mit einer Identität, doch die Folgen landen bei der Person, der diese Identität gehört, oft lange nach dem Diebstahl selbst und weit entfernt davon, wo er stattfand.

Woher gestohlene Identitäten kommen

Persönliche Daten gelangen über mehrere Kanäle in die kriminelle Ökonomie, die auf denselben Untergrund-Marktplätzen zusammenlaufen: große Datenlecks, die Millionen Datensätze auf einmal offenlegen, Phishing, das Opfer für Opfer Details erntet, E-Mail-Scraping, das Kontakt- und Arbeitgeberkontext um ein Ziel aufbaut, und physischer Diebstahl von Post oder Dokumenten. Vollständige Identitätspakete, Name kombiniert mit Geburtsdatum, amtlicher ID-Nummer und Finanzdaten, zirkulieren als Fullz, bepreist nach Vollständigkeit und Frische. Ein einziges Datenleck kann Jahre nachgelagerten Betrugs säen, denn Opfer erfahren selten, dass ihre Daten offengelegt wurden, bevor sie bereits genutzt werden.

Wie gestohlene Identitäten eingesetzt werden

Aus denselben gestohlenen Daten folgen zwei verschiedene Betrugsmuster. True-Name-Betrug nutzt eine echte, vollständige Identität, um neue Konten zu eröffnen, Kredite zu beantragen oder bestehende Konten zu übernehmen, der direkte Weg in Account Takeover und Fake-Account-Erstellung auf fremden Namen. Synthetischer Identitätsbetrug geht den geduldigeren Weg: eine echte Sozialversicherungs- oder Ausweisnummer wird mit erfundenem Namen und erfundener Historie zu einem synthetischen Konto kombiniert, für das es niemand echten gibt, der sich beschwert, wenn der Betrug irgendwann entdeckt wird, weshalb synthetische Identitäten oft deutlich länger unentdeckt laufen als Betrug mit gestohlener Identität.

Exposition an beiden Enden senken

Einzelpersonen begrenzen ihre Exposition durch Datensparsamkeit, etwa weniger teilen, Kreditauskünfte überwachen und Kredite sperren, wenn nicht aktiv geliehen wird, doch die folgenreichere Verteidigung liegt bei den Organisationen, die Identität im großen Maßstab prüfen. Weil der meiste Identitätsdiebstahl über automatisierte Kontoerstellung und Login-Versuche monetarisiert wird und nicht über einen Angreifer, der ein Opfer manuell imitiert, unterbricht Bot-Erkennung an Registrierungs- und Authentifizierungs-Endpunkten die Ökonomie: CaptchaFox verifiziert, dass ein Mensch und kein Skript eine Anmeldung einreicht, und fängt so den volumengetriebenen Missbrauch, der aus einem Datenleck tausende betrügerische Konten macht. Identitätsverifizierung und Bot-Verifizierung ergänzen sich, statt sich zu überschneiden: Die eine bestätigt, wer jemand zu sein behauptet, die andere bestätigt, dass überhaupt eine Person diese Behauptung aufstellt.