27 % der deutschen Internetnutzer/innen sind bereits einmal Opfer von Cyberkriminalität geworden. Zu den häufigsten Cyberverbrechen gehören Betrug beim Online-Shopping und Online-Banking, unbefugter Zugriff auf Online-Konten sowie Phishing-Angriffe. Neun von zehn Opfern haben irgendeine Form von Schaden erlitten, wobei viele finanzielle Verluste verzeichnen mussten.

Online-Betrug steht oft in direktem Zusammenhang mit dem weiter gefassten Phänomen des Identitätsdiebstahls. In diesem Artikel erörtern wir, was Identitätsdiebstahl ist, welche Formen es gibt und wer haftet, wenn Identitätsdiebstahl auftritt. Außerdem untersuchen wir, wie Unternehmen das Betrugsrisiko effektiv senken können.

Das Wichtigste auf einen Blick

• Identitätsdiebstahl ist in Deutschland kein eigener Straftatbestand, aber die mit dem Diebstahl einer Identität verbundenen Handlungen können verschiedene Straftatbestände erfüllen.
  
• Bei Identitätsdiebstahl verwenden Betrügerinnen und Betrüger die persönlichen Daten Dritter ohne deren Erlaubnis für betrügerische Zwecke oder um andere zu täuschen.
  
• Die Täter nutzen gestohlene Identitäten, um nicht autorisierte Zahlungen zu veranlassen, Verträge abzuschließen oder Konten zu übernehmen.
  
• Grundsätzlich haften die Opfer nicht für entstandene Schäden, sofern sie nicht fahrlässig gehandelt haben.
  
• Moderne Lösungen wie Stripe Radar helfen Unternehmen, verdächtige Transaktionen frühzeitig zu erkennen und Betrugsrisiken durch sichere Prozesse, effektiven Datenschutz und technische Schutzmaßnahmen zu senken.
  

Was ist Identitätsdiebstahl?

Identitätsdiebstahl liegt vor, wenn ein Betrüger oder eine Betrügerin die persönlichen Daten einer anderen Person ohne Erlaubnis verwendet, um sich selbst oder Dritten einen Vorteil zu verschaffen. Der Betrüger oder die Betrügerin nutzt Identifikationsmerkmale wie den Namen, das Geburtsdatum, die Adresse oder das digitale Log-in einer Person für betrügerische Zwecke. Ziel ist es oft, sich als die ursprüngliche Person auszugeben oder Handlungen in deren Namen auszuführen.

Von Identitätsdiebstahl sind vor allem Privatpersonen betroffen, deren persönliche Daten unrechtmäßig verwendet werden. Die persönlichen Folgen reichen von finanziellen Verlusten über langfristige Probleme bei der Nutzung von Diensten bis hin zu Schwierigkeiten bei der Überprüfung und Korrektur persönlicher Daten.

Auch Unternehmen können indirekt betroffen sein. Dies geschieht am häufigsten, wenn ein Betrüger oder eine Betrügerin eine gestohlene Identität nutzt, um betrügerische Geschäfte zu tätigen, wie etwa Einkäufe zu tätigen oder Verträge im Namen einer anderen Person abzuschließen. Die beteiligten Unternehmen können finanzielle Verluste erleiden und müssen zusätzlich Zeit aufwenden, um Transaktionen zu prüfen und abzuwickeln. Betrug kann den Ruf eines Unternehmens schädigen und zu einem Vertrauensverlust bei Kundinnen und Kunden sowie Geschäftspartnern führen.

Welche Arten von Identitätsdiebstahl gibt es?

Identitätsdiebstahl kommt in verschiedenen Formen vor. Die Methoden variieren je nach Kontext und Ziel des Täters und reichen von typischem digitalen Betrug bis hin zu weniger verbreiteten, komplexeren Szenarien.

• Zahlungsbetrug: Kriminelle nutzen die Zahlungsangaben oder das Zahlungsdienst-Login einer anderen Person, um nicht autorisierte Transaktionen durchzuführen.
  
• Identitätsdiebstahl, um Verträge abzuschließen und Bestellungen aufzugeben: Betrüger/innen geben sich als jemand anderes aus, um Kauf-, Miet- oder Dienstleistungsverträge abzuschließen oder Waren zu bestellen.
  
• Account-Takeover-Betrug (ATO): Kriminelle verschaffen sich Zugang zu bestehenden Online-Konten, die sie dann ohne Erlaubnis nutzen. Sie können diese Konten nutzen, um im Namen des Kontoinhabers Bestellungen aufzugeben, Daten einzusehen oder zu kommunizieren.
  
• Kontoeröffnungsbetrug: Täter/innen können gestohlene Identitäten nutzen, um neue Konten bei Banken oder Online-Diensten zu eröffnen. Diese Konten werden für Dinge wie Kredite, Abonnements oder andere finanzielle Verpflichtungen genutzt, die der Person zugeschrieben werden, deren Identität gestohlen wurde.
  
• Identitätsdiebstahl bei der Interaktion mit Behörden: In seltenen Fällen werden gestohlene Identitäten genutzt, um die Identität einer Person gegenüber einer Regierungsbehörde nachzuweisen oder staatliche Leistungen zu beantragen.
  
• SIM-Swapping (Subscriber Identity Module): Betrüger/innen übernehmen die Kontrolle über die Handynummer einer Person, indem sie ihre Nummer auf eine neue SIM-Karte übertragen. Sie können dann Sicherheits-Passcodes abfangen und Zugang zu anderen Konten erhalten.
  
• Social-Media-Identitätsdiebstahl: Kriminelle kopieren oder übernehmen die Social-Media-Profile von Personen, um Inhalte unter deren Namen zu teilen oder andere zu täuschen.
  

Wie erhalten betrügerische Akteure Zugang zu Identitätsinformationen?

Um Identitätsbetrug zu begehen, müssen Täter/innen zunächst Zugang zu persönlichen Daten erhalten. Viele dieser Informationen stammen aus öffentlich zugänglichen Quellen wie sozialen Netzwerken oder Online-Profilen. Betrüger/innen können auch Informationen nutzen, die aus Datenlecks oder gehackten Datenbanken stammen.

Oftmals geben die Opfer ihre Daten jedoch selbst an Kriminelle weiter, ohne es überhaupt zu merken. Opfer von Phishing-Angriffen geben beispielsweise Kreditkartendaten, Passwörter oder Sicherheitscodes auf gefälschten Websites ein. Diese Angriffe beginnen meist als E-Mails oder Textnachrichten, die wie offizielle Mitteilungen von Banken, Zahlungsdienstleistern (PSPs) oder bekannten Unternehmen aussehen. Diese enthalten oft einen Link, der auf eine täuschend echt aussehende Website führt, die die Nutzer/innen auffordert, ihre Daten einzugeben.

Wenn Sie Opfer eines Identitätsdiebstahls geworden sind, bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Erste-Hilfe-Checkliste.

Wer haftet bei Identitätsdiebstahl?

Bei Online-Betrug stellt sich für Unternehmen und Einzelhändler in Deutschland sowie für Privatpersonen hauptsächlich die Frage, wer im Falle eines Identitätsdiebstahls haftet. Die Antwort hängt von den Einzelheiten des jeweiligen Falles ab. In erster Linie geht es darum, welche Sorgfaltspflichten verletzt wurden.

Grundsatz: Opfer haften nicht

Grundsätzlich sind Opfer von Identitätsdiebstahl nicht persönlich verantwortlich für Schäden, die durch die Nutzung ihrer gestohlenen Identität entstehen. Das liegt daran, dass rechtlich gesehen die Verantwortung bei den Personen liegt, die diese Identität unrechtmäßig nutzen, um Verträge abzuschließen, Zahlungen zu tätigen oder andere Handlungen vorzunehmen. Folglich ist ein Opfer von Identitätsdiebstahl keine Vertragspartei von vertraglichen Verpflichtungen, die unter Verwendung seiner Identität eingegangen wurden.

Ausnahme: Mitverschulden

Dieser Grundsatz gilt nicht, wenn das eigene Fehlverhalten des Opfers dazu beigetragen hat, dass seine Identität gestohlen wurde. Wer leichtsinnig mit sensiblen Daten umgeht oder grundlegende Sicherheitsmaßnahmen nicht beachtet, kann in einigen Fällen zumindest eine Teilschuld tragen. Entscheidend ist immer, ob eine Sorgfaltspflicht verletzt wurde.

Online-Banking und Zahlungsdienstleistungen

Beim Online-Banking tragen die Nutzer/innen eine erhebliche Verantwortung dafür, dass ihre Anmeldedaten und Sicherheitsprozesse sicher bleiben. In vielen Fällen erstatten Banken Verluste, die durch nicht autorisierte Zahlungen entstehen. Es kann jedoch auch eine Selbstbeteiligung anfallen. Das Gesetz begrenzt diese Selbstbeteiligung in der Regel auf 50 €, wenn das Zahlungsinstrument verloren geht oder missbräuchlich verwendet wird und die Verluste nicht rechtzeitig verhindert werden konnten. In bestimmten Fällen kann auf diese Selbstbeteiligung vollständig verzichtet werden, z. B. wenn der/die Nutzer/in den Verlust nicht hätte erkennen können oder die Bank selbst für den Verlust verantwortlich war.

Es gibt jedoch keine Haftungsbeschränkung, wenn eine Person in betrügerischer Absicht oder grob fahrlässig gehandelt hat. Grobe Fahrlässigkeit umfasst die Weitergabe von Anmeldedaten oder die nicht sichere Aufbewahrung von Anmeldedaten. § 675v Abs. 3 des Bürgerlichen Gesetzbuchs (BGB) sieht vor, dass der/die Nutzer/in in solchen Fällen persönlich für Verluste haften kann.

Kundinnen und Kunden haften im Allgemeinen nicht für Verluste, die ihnen entstehen, wenn Banken oder Zahlungsdienstleister (PSPs) die gesetzlich vorgeschriebene starke Kundenauthentifizierung (SCA) nicht anwenden. Sie müssen auch keine Verluste ausgleichen, die nach der Meldung ihrer Karte als gestohlen oder vermisst entstehen, sofern sie dies ausreichend schnell getan haben.

Phishing und vorsätzliche Täuschung

Aus rechtlicher Sicht kann die aktive Eingabe sensibler Daten auf gefälschten Websites oder in betrügerischen Nachrichten als grob fahrlässige Handlung angesehen werden. In solchen Fällen kann das Opfer zumindest teilweise für entstandene Verluste haften.

Die rechtliche Beurteilung von Phishing hängt jedoch immer von den Besonderheiten des jeweiligen Falles ab. Insbesondere berücksichtigen die Gerichte, wie professionell das Erscheinungsbild des Betrugs war und ob es für das Opfer deutliche Warnsignale gab. Moderne Betrugsmaschen nutzen oft täuschend echte Kommunikationskanäle und kennen viele Details über ihre Opfer, sodass der Eindruck entsteht, sie würden rechtmäßig im Namen einer Bank, Behörde oder einer anderen vertrauenswürdigen Stelle handeln.

Die jüngsten Gerichtsentscheidungen verdeutlichen, dass allein die Tatsache, dass ein Phishing-Angriff erfolgreich war, nicht automatisch darauf schließen lässt, dass das Opfer grob fahrlässig gehandelt hat. Vielmehr muss im Einzelfall geprüft werden, ob es auch für den durchschnittlichen sorgfältigen Nutzer schwierig gewesen wäre, den Betrug zu erkennen. Da Cyberangriffe immer professioneller werden, werden diese differenzierten Maßstäbe immer wichtiger im Hinblick auf die Frage, wer haftet und ob Opfer Schadensersatz verlangen können.

Betrügerische Bestellungen und Verträge

Eine Person, deren Identität verwendet wird, um Waren zu bestellen oder Verträge ohne ihre Beteiligung abzuschließen, haftet in der Regel nicht für die dadurch entstandenen Schäden. Rechnungen, Mahnungen oder Inkassoschreiben müssen nicht bezahlt werden, solange eindeutig nachgewiesen werden kann, dass ein Identitätsbetrug stattgefunden hat. Es ist jedoch wichtig, unverzüglich auf solche Aufforderungen zu reagieren und zu klären, was passiert ist.

In solchen Fällen trägt das betroffene Unternehmen in der Regel zunächst das finanzielle Risiko. Kann nicht nachgewiesen werden, dass tatsächlich ein Vertrag mit der betreffenden Person zustande gekommen ist, sind etwaige Zahlungsansprüche gegen sie in der Regel unwirksam. Unternehmen müssen daher prüfen, ob die Person, die eine Bestellung aufgibt oder einen Vertrag abschließt, tatsächlich die Person war, für die sie sich ausgegeben hat.

Wenn ein Unternehmen durch Betrug einen Verlust erleidet (z. B. weil es Waren versendet oder Dienstleistungen erbracht hat), ist es unwahrscheinlich, dass es etwas zurückerhält, es sei denn, die tatsächlichen Täter/innen können ermittelt oder Ansprüche gegen sie geltend gemacht werden. Das Risiko, einen Vertrag mit jemandem abzuschließen, der eine falsche Identität verwendet, liegt daher bei dem Unternehmen, das es versäumt hat, die Identität seiner Kundinnen und Kunden vor der Unterzeichnung ordnungsgemäß zu überprüfen.

Wie können Unternehmen in Deutschland das Betrugsrisiko senken?

Es ist praktisch unmöglich, sich vollständig vor Identitätsbetrug zu schützen. Unternehmen können das Risiko jedoch deutlich senken und potenzielle Schäden mindern, indem sie geeignete technische, rechtliche und organisatorische Maßnahmen ergreifen.

Identitätsprüfungen und sichere Authentifizierung implementieren

Unternehmen sollten die Identität ihrer Kundinnen und Kunden sorgfältig überprüfen, insbesondere bei risikoreichen Transaktionen, wie teuren Bestellungen, Verträgen mit längeren Laufzeiten oder neuen Kundenkonten. Zusätzliche Verifizierungsverfahren, Multifaktor-Authentifizierung (MFA) und Plausibilitätsprüfungen können helfen, betrügerische Nutzerinnen und Nutzer frühzeitig zu erkennen.

Verdächtige Aktivitäten kennzeichnen

In vielen Fällen gibt es bestimmte Warnsignale dafür, dass ein Betrug begangen wird. Dazu gehören ungewöhnlich hohe Bestellwerte, kurzfristige Änderungen von Lieferadressen, Mehrfachbestellungen in einem kurzen Zeitraum oder widersprüchliche Kundeninformationen. Durch automatische Risikobewertungen und die Schulung von Mitarbeiterinnen und Mitarbeitern lassen sich verdächtige Aktivitäten oft schon vor Vertragsabschluss erkennen.

Mitarbeiter/innen schulen

Phishing-Angriffe und Social-Engineering-Methoden betreffen nicht nur Kundinnen und Kunden, sie können sich auch gegen Unternehmen richten. Regelmäßige Schulungen können Mitarbeiterinnen und Mitarbeitern helfen, verdächtige Anrufe, E-Mails oder Nachrichten zu erkennen und angemessen darauf zu reagieren. Dadurch sinkt das Risiko, dass sensible Unternehmens- oder Kundendaten in die Hände von Betrügerinnen und Betrügern fallen.

Datenschutz und IT-Sicherheit erhöhen

Da gestohlene persönliche Daten häufig aus Datenschutzverletzungen oder Sicherheitsvorfällen stammen, ist es besonders wichtig, dass Unternehmen alle gespeicherten Informationen schützen. Unternehmen in Deutschland müssen geeignete technische und organisatorische Maßnahmen ergreifen, um personenbezogene Daten zu schützen, Zugriffsrechte einzuschränken und Sicherheitslücken regelmäßig zu überprüfen.

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) legen ebenfalls Anforderungen an die Sicherheit und Nachvollziehbarkeit digitaler Geschäftsprozesse fest. Unternehmen müssen sicherstellen, dass steuerlich relevante Informationen vor Verlust, Manipulation und unbefugtem Zugriff geschützt sind und jederzeit transparent und prüfbar bleiben. Daher geht es bei wirksamem Informationssicherheits- und Datenschutzmanagement um mehr als nur um die Einhaltung der gesetzlichen Vorschriften. Es kann auch dazu beitragen, Identitätsbetrug und finanzielle Verluste von vornherein zu verhindern.

Klare Prozesse für den Betrugsfall etablieren

Trotz all dieser Vorsichtsmaßnahmen kann es immer noch zu Betrug kommen. Unternehmen sollten daher festlegen, wie sie verdächtige Aktivitäten überprüfen, wie sie betroffene Kundinnen und Kunden informieren und wie etwaige Schäden dokumentiert werden. Klare interne Prozesse erleichtern eine schnelle Reaktion und können dazu beitragen, finanzielle Verluste und Reputationsschäden zu mindern.

Welche rechtlichen Aspekte müssen Unternehmen in Deutschland beachten?

Identitätsdiebstahl stellt nicht nur ein finanzielles Risiko für Unternehmen in Deutschland dar, sondern kann auch rechtliche Konsequenzen haben. Deutsche Unternehmen müssen eine Reihe verschiedener rechtlicher Verpflichtungen beachten, insbesondere in Bezug auf den Umgang mit personenbezogenen Daten, die Betrugsprävention und die Reaktion auf Sicherheitsvorfälle.

• Datenschutzpflichten
  Unternehmen, die personenbezogene Daten abwickeln, müssen die Bestimmungen der Datenschutz-Grundverordnung (DSGVO) erfüllen, insbesondere Artikel 32, der vorschreibt, dass Unternehmen geeignete technische und organisatorische Maßnahmen ergreifen müssen, um die Sicherheit dieser Daten zu gewährleisten. Wenn es aufgrund unzureichender Sicherheitsmaßnahmen zu einer Datenschutzverletzung kommt, können Aufsichtsbehörden Bußgelder verhängen und betroffene Personen in einigen Fällen Schadensersatzansprüche geltend machen.

• Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten
  Wenn ein Sicherheitsvorfall zu einer Verletzung des Schutzes personenbezogener Daten führt, ist das betreffende Unternehmen verpflichtet, den Vorfall der zuständigen Datenschutzbehörde zu melden. Diese Meldung muss innerhalb von 72 Stunden erfolgen, nachdem das Unternehmen von der Verletzung Kenntnis erlangt hat.

• Rechenschafts- und Dokumentationspflichten
  Im Rahmen ihrer Rechenschaftspflichten müssen Unternehmen transparente Dokumentationen über ihre Datenschutz- und Sicherheitsmaßnahmen führen. Die GoBD schreiben zudem vor, dass steuerlich relevante digitale Prozesse ordnungsgemäß dokumentiert und nachvollziehbar sein müssen. Eine vollständige Dokumentation, die belegt, dass ein Unternehmen die gesetzlichen Verpflichtungen erfüllt hat, kann im Falle eines Streitfalls hilfreich sein.

• Vertragliche Sorgfaltspflicht gegenüber Kundinnen und Kunden
  Unternehmen sind verpflichtet, geeignete Maßnahmen zur Vermeidung von Betrug und Missbrauch zu ergreifen. Welche Maßnahmen sie ergreifen müssen, hängt von der Art des Geschäftsmodells, dem Risikopotenzial und den typischen Branchenstandards ab. Unternehmen, die offensichtliche Risiken ignorieren oder grundlegende Sicherheitsmaßnahmen nicht umsetzen, könnten für eventuelle Schäden haftbar gemacht werden.

• Datenverarbeiter und Prüfung von Lieferanten
  Viele Unternehmen nutzen externe Dienstleister für IT-Systeme, Zahlungsabwicklung oder Cloud-Dienste. Wenn diese Dienstleister personenbezogene Daten abwickeln, müssen die Anforderungen der DSGVO an Auftragsverarbeiter beachtet werden. Grundsätzlich bleiben diese Unternehmen für die rechtmäßige Verarbeitung dieser Daten verantwortlich. Sie sollten daher die Sicherheitsstandards ihrer Dienstleister regelmäßig überprüfen.

• Strafverfolgung von Identitätsbetrug
  Identitätsdiebstahl an sich ist nach deutschem Recht kein eigener Straftatbestand. Die zugrunde liegenden Handlungen erfüllen jedoch oft andere Straftatbestände, wie Betrug, Computerbetrug oder Ausspähen von Daten. Unternehmen sollten daher verdächtige Vorfälle immer dokumentieren und prüfen, ob es sinnvoll ist, Strafanzeige zu erstatten.

Wie Stripe Ihnen bei der Betrugsprävention helfen kann

Heutzutage erfordert die effektive Prävention von Identitäts- und Zahlungsbetrug automatisierte Systeme, die verdächtige Aktivitäten frühzeitig erkennen und Risiken in Echtzeit bewerten. Stripe Radar ist eine Lösung zur Betrugsprävention, die Transaktionen automatisch analysiert und potenziellen Betrug erkennt. Die auf künstlicher Intelligenz (KI) basierende Technologie nutzt Daten aus dem globalen Zahlungsnetzwerk von Stripe, um bekannte Betrugsmuster zu erkennen und neue Risikosignale konsequent zu berücksichtigen.

Radar nutzt verschiedene Faktoren zur Bewertung von Transaktionen, darunter verdächtige Kaufmuster, ungewöhnliche Geräte- oder Standortinformationen sowie Hinweise auf frühere Betrugsversuche. Die Lösung nutzt diese Informationen, um eine Risikobewertung in Echtzeit zu erstellen, sodass verdächtige Zahlungen mit größerer Genauigkeit überprüft oder blockiert werden können. Das Ziel von Radar ist es, betrügerische Nutzer/innen frühzeitig zu identifizieren, ohne eine große Anzahl legitimer Transaktionen ablehnen zu müssen.

Häufig gestellte Fragen rund um Identitätsdiebstahl