27 % der deutschen Internetnutzer/innen waren bereits Opfer von Cyberkriminalität. Besonders verbreitet sind der Betrug beim Online-Shopping und Online-Banking sowie unberechtigte Zugriffe auf Online-Accounts und Phishing-Angriffe. Dabei erlitten neun von zehn Betroffene einen Schaden, der in vielen Fällen finanzieller Natur war.

Häufig steht Online-Betrug in direktem Zusammenhang mit einem übergeordneten Vergehen: dem Identitätsdiebstahl. In diesem Artikel erfahren Sie, was Identitätsdiebstahl ist, welche Formen von Identitätsbetrug es gibt und wer bei Identitätsdiebstahl haftet. Außerdem zeigen wir, wie Unternehmen Betrugsrisiken wirkungsvoll verringern können.

Das Wichtigste auf einen Blick

• Identitätsdiebstahl ist in Deutschland keine eigenständige Straftat, doch die damit verbundenen Handlungen können verschiedene Straftatbestände erfüllen.
  
• Bei einem Identitätsdiebstahl nutzen betrügerisch Agierende unbefugt persönliche Daten Dritter für betrügerische Zwecke oder zur Täuschung anderer.
  
• Täter/innen nutzen gestohlene Identitäten unter anderem, um unberechtigte Zahlungen auszulösen, Verträge abzuschließen oder Konten zu übernehmen.
  
• Opfer haften grundsätzlich nicht für Schäden, sofern sie nicht grob fahrlässig gehandelt haben.
  
• Moderne Lösungen wie Stripe Radar helfen Unternehmen dabei, verdächtige Transaktionen frühzeitig zu erkennen.
  

Was ist Identitätsdiebstahl?

Identitätsdiebstahl bezeichnet das unbefugte Verwenden personenbezogener Daten einer anderen Person, um sich selbst oder Dritten Vorteile zu verschaffen. Dabei werden Identitätsmerkmale wie Name, Geburtsdatum, Adressdaten oder digitale Zugangsinformationen missbraucht. Ziel ist es häufig, sich als eine andere Person auszugeben oder in ihrem Namen Handlungen vorzunehmen.

Betroffen sind vor allem Privatpersonen, deren persönliche Daten unrechtmäßig verwendet werden. Die persönlichen Folgen reichen von finanziellen Schäden bis hin zu langfristigen Problemen bei der Nutzung von Diensten oder bei der Klärung und Korrektur der eigenen Daten.

Auch Unternehmen sind indirekt betroffen. Sie werden häufig genutzt, um betrügerische Handlungen unter fremder Identität abzuwickeln, zum Beispiel wenn missbräuchlich Agierende im Namen anderer Personen Käufe tätigen oder Verträge abschließen. Dadurch können Unternehmen wirtschaftliche Schäden entstehen sowie zusätzlicher Aufwand für die Prüfung und Bearbeitung der Vorgänge. Darüber hinaus können Betrugsfälle zu Reputationsschäden oder Vertrauensverlusten bei Kundinnen und Kunden sowie Geschäftspartnerinnen und -partnern führen.

Welche Formen von Identitätsbetrug gibt es?

Identitätsbetrug kann in unterschiedlichen Ausprägungen auftreten. Die konkreten Methoden unterscheiden sich je nach Ziel und Kontext und reichen von häufigen digitalen Betrugsfällen bis hin zu selteneren, komplexeren Szenarien.

• Zahlungsbetrug: Personen mit betrügerischer Absicht nutzen fremde Zahlungsdaten oder Zugangsdaten zu Zahlungsdiensten, um unautorisierte Transaktionen durchzuführen.
  
• Identitätsmissbrauch bei Vertragsabschlüssen und Bestellungen: Täter/innen geben sich als andere Person aus, um Kauf-, Miet- oder Dienstleistungsverträge abzuschließen oder Waren zu bestellen.
  
• Kontomissbrauch: Betrügerisch Agierende verschaffen sich Zugriff auf bestehende Online-Konten und nutzen diese ohne Erlaubnis weiter. Sie können darüber Bestellungen auslösen, Daten einsehen oder im Namen der betroffenen Person kommunizieren.
  
• Neukonto-Eröffnung: Unter Verwendung gestohlener Identitätsdaten können missbräuchlich Agierende auch neue Konten bei Banken oder Online-Diensten eröffnen. Diese werden unter anderem für Kredite, Abonnements oder andere finanzielle Verpflichtungen genutzt, die der betroffenen Person zugeschrieben werden.
  
• Behördliche Identitätsnutzung: In selteneren Fällen werden fremde Identitäten genutzt, um sich gegenüber staatlichen Stellen auszuweisen oder Leistungen zu beantragen.
  
• SIM-Swapping: Betrügerisch Agierende übernehmen die Kontrolle über die Mobilfunknummer einer Person, indem sie diese auf eine neue SIM-Karte übertragen. Dadurch können sie Sicherheitscodes abfangen und Zugriff auf weitere Konten erhalten.
  
• Social-Media-Identitätsmissbrauch: Täter/innen kopieren oder übernehmen Social-Media-Profile von Personen, um in deren Namen Inhalte zu verbreiten oder Dritte zu täuschen.
  

Wie gelangen Personen mit betrügerischer Absicht an Identitätsdaten?

Identitätsbetrug setzt voraus, dass Täter/innen an personenbezogene Informationen gelangen. Viele Daten stammen aus öffentlich zugänglichen Quellen wie sozialen Netzwerken oder Online-Profilen. Darüber hinaus können betrügerisch Agierende Informationen aus Datenlecks oder gehackten Datenbanken nutzen.

In vielen Fällen stellen die Betroffenen den betrügerisch Agierenden ihre Daten jedoch, ohne es zu wissen, selbst zur Verfügung. Beim sogenannten Phishing geben sie beispielsweise Kreditkartendaten, Passwörter oder Sicherheitscodes auf gefälschten Webseiten ein. Ausgangspunkt sind häufig E-Mails oder SMS, die wie offizielle Mitteilungen von Banken, Zahlungsdienstleistern oder bekannten Unternehmen wirken. Diese enthalten oft einen Link, der zu einer täuschend echt gestalteten Webseite führt, auf der Nutzer/innen zur Eingabe ihrer Daten aufgefordert werden.

Wenn Sie selbst Opfer eines Identitätsdiebstahls geworden sind, finden Sie beim Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Checkliste zur ersten Hilfe.

Wer haftet bei Identitätsdiebstahl?

Für Unternehmen und Händler/innen in Deutschland stellt sich ebenso wie für Privatpersonen beim Online-Betrug vor allem die Frage, wer bei einem Identitätsdiebstahl haftet. Die Antwort hängt stark vom konkreten Einzelfall ab und davon, welche Sorgfaltspflichten verletzt wurden.

Grundsatz: Keine Haftung für Opfer

Grundsätzlich gilt, dass Opfer eines Identitätsdiebstahls in der Regel nicht selbst für die daraus entstehenden Schäden aufkommen müssen. Denn rechtlich liegt die Verantwortung bei den Personen, die die Identität unrechtmäßig nutzen und dadurch Verträge abschließen, Zahlungen auslösen oder andere Handlungen vornehmen. Betroffene sind in solchen Fällen nicht Vertragspartner/innen der entstandenen Verpflichtungen.

Ausnahme: Mitverschulden durch nachlässiges Handeln

Ausnahmen von diesem Grundsatz kann es jedoch geben, wenn der Identitätsmissbrauch durch ein eigenes Fehlverhalten begünstigt wurde. Wer besonders leichtfertig mit sensiblen Daten umgeht oder grundlegende Sicherheitsmaßnahmen missachtet, kann unter Umständen zumindest teilweise in die Verantwortung genommen werden. Entscheidend ist dabei stets, ob eine Verletzung der gebotenen Sorgfaltspflichten vorliegt.

Online-Banking und Zahlungsdienste

Im Online-Banking tragen Nutzer/innen eine hohe Verantwortung für den Schutz ihrer Zugangsdaten und Sicherheitsverfahren. Bei nicht autorisierten Zahlungen wird ein entstandener Schaden in vielen Fällen von der Bank ersetzt. Allerdings kann es eine begrenzte Eigenhaftung geben. Diese liegt gesetzlich in der Regel bei maximal 50 €, wenn das Zahlungsinstrument verloren geht oder missbraucht wird, und der Schaden nicht rechtzeitig verhindert werden konnte. In bestimmten Fällen entfällt diese Haftung sogar vollständig, etwa wenn der Schaden für die Nutzer/innen nicht erkennbar war oder die Bank selbst für den Verlust verantwortlich ist.

Keine Haftungsbegrenzung gibt es hingegen, wenn in betrügerischer Absicht oder grob fahrlässig gehandelt wurde. Letzteres kann unter anderem der Fall sein, wenn Zugangsdaten weitergegeben oder unsicher aufbewahrt werden. In solchen Fällen tragen die Nutzer/innen den Schaden gemäß § 675v Abs. 3 BGB unter Umständen selbst.

Wenn Banken oder Zahlungsdienstleister keine vorgeschriebene Starke Kundenauthentifizierung einsetzen, haften Kundinnen und Kunden im Regelfall nicht für den entstandenen Schaden. Ebenso besteht kein Ersatzanspruch für Schäden, die nach einer rechtzeitigen Sperrmeldung entstehen.

Phishing und vorsätzliche Täuschung

Wer sensible Daten aktiv auf gefälschten Webseiten oder in betrügerischen Nachrichten eingibt, handelt rechtlich oft in einem Bereich, der als grobe Fahrlässigkeit gewertet werden kann. In solchen Fällen kann eine Haftung der betroffenen Person für entstandene Schäden zumindest teilweise in Betracht kommen.

Die rechtliche Bewertung von Phishing-Fällen hängt jedoch stets von den konkreten Umständen ab. Gerichte berücksichtigen dabei insbesondere, wie professionell der Betrugsversuch gestaltet war und ob für die Betroffenen erkennbare Warnsignale bestanden. Moderne Betrugsmaschen nutzen häufig täuschend echte Kommunikationswege, verfügen über detaillierte Vorinformationen zu den Opfern und erwecken dadurch den Eindruck legitimer Kontaktaufnahmen durch Banken, Behörden oder andere vertrauenswürdige Stellen.

Aktuelle gerichtliche Entscheidungen verdeutlichen, dass aus dem bloßen Erfolg eines Phishing-Angriffs nicht automatisch auf ein grob fahrlässiges Verhalten der betroffenen Person geschlossen werden kann. Vielmehr ist im Einzelfall zu prüfen, ob die Täuschung auch für durchschnittlich sorgfältige Nutzer/innen schwer erkennbar war. Angesichts zunehmend professioneller Cyberangriffe gewinnen diese differenzierten Maßstäbe sowohl für die Haftungsfrage als auch für mögliche Erstattungsansprüche von Betroffenen an Bedeutung.

Waren- und Vertragsbetrug im fremden Namen

Wird eine Identität genutzt, um Waren zu bestellen oder Verträge abzuschließen, ohne dass die betroffene Person beteiligt ist, haftet diese in der Regel nicht für die daraus entstehenden Forderungen. Rechnungen, Mahnungen oder Inkassoschreiben müssen nicht bezahlt werden, solange eindeutig nachgewiesen werden kann, dass ein Identitätsmissbrauch vorliegt. Wichtig ist jedoch, auf solche Forderungen fristgerecht zu reagieren und den Sachverhalt klarzustellen.

Das wirtschaftliche Risiko eines Identitätsmissbrauchs trägt in solchen Fällen häufig zunächst das betroffene Unternehmen. Kann nicht nachgewiesen werden, dass tatsächlich ein Vertrag mit der betroffenen Person zustande gekommen ist, bestehen regelmäßig keine wirksamen Zahlungsansprüche gegen sie. Unternehmen müssen daher prüfen, ob die bestellende oder vertragschließende Person tatsächlich diejenige war, für die sie sich ausgegeben hat.

Entsteht dem Unternehmen durch den Betrug ein Schaden, beispielsweise weil Waren versandt oder Leistungen erbracht wurden, bleibt es grundsätzlich auf diesem Schaden sitzen, sofern die tatsächlichen Täter/innen nicht ermittelt oder in Anspruch genommen werden können. Das Risiko eines Vertragsabschlusses mit einer falschen Identität liegt damit beim Unternehmen, das die Identität der Kundin beziehungsweise des Kunden vor Vertragsschluss nicht ausreichend überprüft hat.

Wie können Unternehmen in Deutschland Betrugsrisiken verringern?

Ein vollständiger Schutz vor Identitätsbetrug ist in der Praxis kaum möglich. Unternehmen können jedoch durch geeignete organisatorische, technische und rechtliche Maßnahmen das Risiko erheblich reduzieren und mögliche Schäden begrenzen.

Identitätsprüfungen und sichere Authentifizierung

Besonders bei risikobehafteten Geschäften sollten Unternehmen die Identität ihrer Kundinnen und Kunden sorgfältig prüfen. Dies gilt insbesondere bei hochpreisigen Bestellungen, Vertragsabschlüssen mit längeren Laufzeiten oder der Eröffnung neuer Kundenkonten. Zusätzliche Verifizierungsverfahren, Mehrfaktor-Authentifizierung oder Plausibilitätsprüfungen können dazu beitragen, betrügerische Aktivitäten frühzeitig zu erkennen.

Auffällige Vorgänge erkennen

Viele Betrugsfälle weisen bestimmte Warnsignale auf. Dazu gehören ungewöhnlich hohe Bestellwerte, kurzfristige Änderungen von Lieferadressen, mehrere Bestellungen in kurzer Zeit oder widersprüchliche Kundenangaben. Durch automatisierte Risikoprüfungen und geschulte Mitarbeiter/innen lassen sich verdächtige Vorgänge häufig bereits vor der Vertragsabwicklung identifizieren.

Mitarbeiter/innen sensibilisieren

Nicht nur Kundinnen und Kunden, sondern auch Unternehmen selbst können Ziel von Phishing-Angriffen und Social-Engineering-Methoden werden. Regelmäßige Schulungen helfen Mitarbeiterinnen und Mitarbeitern dabei, verdächtige E-Mails, Anrufe oder Nachrichten zu erkennen und angemessen darauf zu reagieren. Dies reduziert das Risiko, dass sensible Unternehmens- oder Kundendaten in die Hände von betrügerisch Agierenden gelangen.

Datenschutz und IT-Sicherheit stärken

Da gestohlene personenbezogene Daten häufig aus Datenlecks oder Sicherheitsvorfällen stammen, kommt dem Schutz gespeicherter Informationen eine besondere Bedeutung zu. Unternehmen in Deutschland müssen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzen, Zugriffsrechte beschränken und Sicherheitslücken regelmäßig überprüfen

Darüber hinaus stellen die GoBD Anforderungen an die Sicherheit und Nachvollziehbarkeit digitaler Unternehmensprozesse. Unternehmen müssen gewährleisten, dass steuerlich relevante Daten vor Verlust, unbefugtem Zugriff und Manipulation geschützt werden sowie jederzeit nachvollziehbar und prüfbar bleiben. Ein wirksames Informationssicherheits- und Datenschutzmanagement dient daher nicht nur der Einhaltung gesetzlicher Vorgaben. Es kann auch dazu beitragen, Identitätsmissbrauch und die daraus resultierenden wirtschaftlichen Schäden bereits im Vorfeld zu erschweren.

Klare Prozesse für Betrugsfälle etablieren

Trotz aller Vorsichtsmaßnahmen lassen sich Betrugsfälle nicht vollständig ausschließen. Unternehmen sollten deshalb festlegen, wie verdächtige Vorgänge geprüft, betroffene Kundinnen und Kunden informiert und mögliche Schäden dokumentiert werden. Klare interne Prozesse erleichtern eine schnelle Reaktion und können dazu beitragen, finanzielle Verluste sowie Reputationsschäden zu begrenzen.

Welche rechtlichen Aspekte müssen Unternehmen in Deutschland beachten?

Identitätsdiebstahl birgt für Unternehmen in Deutschland nicht nur finanzielle Risiken, sondern kann auch rechtliche Konsequenzen nach sich ziehen. Insbesondere beim Umgang mit personenbezogenen Daten, der Verhinderung von Betrugsfällen und der Reaktion auf Sicherheitsvorfälle bestehen verschiedene gesetzliche Pflichten.

• *Datenschutzrechtliche Pflichten *
  Unternehmen, die personenbezogene Daten verarbeiten, müssen die Vorgaben der DSGVO einhalten. Dazu gehört gemäß Art. 32 DSGVO vor allem die Pflicht, geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen. Kommt es aufgrund unzureichender Sicherheitsmaßnahmen zu einem Datenleck, können Aufsichtsbehörden Bußgelder verhängen und betroffene Personen unter bestimmten Voraussetzungen Schadensersatzansprüche geltend machen.

• Meldepflichten bei Datenschutzverletzungen
  Führt ein Sicherheitsvorfall zu einer Verletzung des Schutzes personenbezogener Daten, besteht eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde. Die Meldung muss innerhalb von 72 Stunden erfolgen, nachdem das Unternehmen Kenntnis von der Verletzung erlangt hat.

• Nachweis- und Dokumentationspflichten
  Unternehmen müssen ihre Datenschutz- und Sicherheitsmaßnahmen nachvollziehbar dokumentieren. Dies ergibt sich unter anderem aus der Rechenschaftspflicht. Darüber hinaus verlangen die GoBD eine ordnungsgemäße Dokumentation und Nachvollziehbarkeit steuerlich relevanter digitaler Prozesse. Eine lückenlose Dokumentation kann im Streitfall helfen, die Einhaltung gesetzlicher Pflichten nachzuweisen.

• Vertragliche Sorgfaltspflichten gegenüber Kundinnen und Kunden
  Unternehmen sind verpflichtet, angemessene Maßnahmen zu ergreifen, um Missbrauch und Betrugsfälle zu verhindern. Welche Maßnahmen erforderlich sind, hängt von der Art des Geschäftsmodells, dem Risikopotenzial und den üblichen Branchenstandards ab. Werden erkennbare Risiken ignoriert oder grundlegende Sicherheitsmaßnahmen unterlassen, können Haftungsansprüche entstehen.

• Auftragsverarbeitung und Dienstleisterkontrolle
  Viele Unternehmen nutzen externe Dienstleister für IT-Systeme, Zahlungsabwicklungen oder Cloud-Dienste. Werden dabei personenbezogene Daten verarbeitet, sind die Anforderungen der DSGVO an die Auftragsverarbeitung zu beachten. Unternehmen bleiben grundsätzlich für die rechtmäßige Datenverarbeitung verantwortlich und sollten daher die Sicherheitsstandards ihrer Dienstleister regelmäßig überprüfen.

• Strafrechtliche Relevanz von Identitätsbetrug
  Identitätsdiebstahl selbst ist im deutschen Strafrecht kein eigenständiger Straftatbestand. Die zugrunde liegenden Handlungen erfüllen jedoch häufig andere Straftatbestände, unter anderem Betrug, Computerbetrug oder Ausspähen von Daten. Unternehmen sollten Verdachtsfälle daher stets dokumentieren und prüfen, ob eine Strafanzeige sinnvoll ist.

So unterstützt Sie Stripe bei der Betrugsprävention

Die wirksame Verhinderung von Identitäts- und Zahlungsbetrug erfordert heute automatisierte Systeme, die verdächtige Aktivitäten frühzeitig erkennen und Risiken in Echtzeit bewerten. Mit Radar bietet Stripe eine Lösung zur Betrugsprävention, die Transaktionen automatisiert analysiert und potenzielle Betrugsfälle identifiziert. Die Technologie basiert auf künstlicher Intelligenz und nutzt Erkenntnisse aus dem globalen Zahlungsnetzwerk von Stripe, um bekannte Betrugsmuster zu erkennen und neue Risikosignale fortlaufend zu berücksichtigen.

Bei der Bewertung von Transaktionen werden verschiedene Faktoren einbezogen. Dazu zählen unter anderem auffällige Kaufmuster, ungewöhnliche Geräte- oder Standortinformationen sowie Hinweise auf frühere Betrugsversuche. Auf dieser Grundlage erfolgt eine Risikobewertung in Echtzeit, sodass verdächtige Zahlungen gezielter überprüft oder blockiert werden können. Ziel von Radar ist es, betrügerische Aktivitäten frühzeitig zu erkennen, ohne gleichzeitig eine große Zahl legitimer Transaktionen abzulehnen.

Häufig gestellte Fragen zum Identitätsdiebstahl