Zevenentwintig procent van de Duitse internetgebruikers is weleens slachtoffer geworden van cybercriminaliteit. Tot de meest voorkomende vormen van cybercriminaliteit behoren fraude met online winkelen en online bankieren, en daarnaast ongeautoriseerde toegang tot online accounts en phishingaanvallen. Negen op de tien slachtoffers heeft een of andere vorm van schade opgelopen, en velen van hen kampen met financieel verlies.

Online fraude houdt vaak direct verband met het bredere fenomeen identiteitsdiefstal. In dit artikel bespreken we wat identiteitsdiefstal is, welke vormen er bestaan en wie er aansprakelijk is als zich identiteitsdiefstal voordoet. We gaan ook in op de manier waarop ondernemingen het frauderisico effectief kunnen verkleinen.

Kernpunten

• Identiteitsdiefstal is in Duitsland geen afzonderlijk strafbaar feit, maar de handelingen die komen kijken bij het stelen van iemands identiteit kunnen wel kwalificeren als diverse andere strafbare feiten.
  
• Bij identiteitsdiefstal gebruiken fraudeurs de persoonsgegevens van derden zonder hun toestemming voor frauduleuze doeleinden of om anderen te misleiden.
  
• Daders gebruiken gestolen identiteiten om ongeautoriseerde betalingen te initiëren, contracten te sluiten of accounts over te nemen.
  
• In principe zijn slachtoffers niet aansprakelijk voor eventuele schade, zolang ze niet nalatig hebben gehandeld.
  
• Moderne oplossingen zoals Stripe Radar helpen ondernemingen om verdachte transacties vroegtijdig te herkennen en de frauderisico's te verminderen door middel van veilige processen, effectieve gegevensbescherming en technische beveiligingsmaatregelen.
  

Wat is identiteitsdiefstal?

Identiteitsdiefstal is het zonder toestemming gebruiken van persoonsgegevens van een ander door een fraudeur, met als doel om voordeel te behalen voor zichzelf of voor derden. De fraudeur gebruikt identificerende kenmerken zoals de naam, de geboortedatum, het adres of de digitale inloggegevens van een persoon voor frauduleuze doeleinden. Het doel is vaak om zich voor te doen als de oorspronkelijke persoon of om handelingen in diens naam te verrichten.

Identiteitsdiefstal raakt voornamelijk particulieren wier persoonsgegevens onrechtmatig worden gebruikt. De persoonlijke gevolgen variëren van financiële verliezen tot langdurige problemen bij het gebruik van diensten of problemen met de verificatie en correctie van persoonsgegevens.

Ook ondernemingen kunnen indirect worden getroffen. Dit gebeurt het vaakst wanneer een fraudeur een gestolen identiteit gebruikt om op frauduleuze wijze zaken te doen, zoals het doen van aankopen of het sluiten van contracten uit naam van een ander. De betrokken ondernemingen kunnen financiële schade oplopen en bovendien extra tijd kwijt zijn aan het controleren en verwerken van transacties. Fraude kan de reputatie van een onderneming schaden en leiden tot verlies van vertrouwen bij klanten en zakenpartners.

Welke soorten identiteitsdiefstal zijn er?

Identiteitsdiefstal komt in verschillende vormen voor. De methoden variëren naargelang de context en het doel van de dader, en variëren van typische digitale fraude tot minder vaak voorkomende, complexere scenario's.

• Betaalfraude: Kwaadwillenden gebruiken de betaalgegevens of log-in van een betaaldienst van iemand anders om ongeautoriseerde transacties uit te voeren.
  
• Identiteitsfraude om contracten af te sluiten en bestellingen te plaatsen: Frauduleuze actoren doen zich voor als iemand anders om koop-, huur- of serviceovereenkomsten af te sluiten, of om goederen te bestellen.
  
• Account takeover-fraude (ATO): Kwaadwillenden krijgen toegang tot bestaande online accounts die ze vervolgens zonder toestemming gebruiken. Ze kunnen deze accounts gebruiken om bestellingen te plaatsen, gegevens te bekijken of te communiceren in naam van de accounthouder.
  
• Nieuwe-accountfraude: Daders kunnen gestolen identiteiten gebruiken om nieuwe accounts te openen bij banken of online diensten. Deze accounts worden gebruikt voor zaken zoals leningen, abonnementen of andere financiële verplichtingen die worden toegeschreven aan de persoon wiens identiteit is gestolen.
  
• Identiteitsfraude in de omgang met overheden: In zeldzame gevallen worden gestolen identiteiten gebruikt om iemands identiteit te bewijzen bij een overheidsinstelling of om staatsuitkeringen aan te vragen.
  
• Sim-swapping: Frauduleuze actoren nemen de controle over iemands mobiele nummer over door hun nummer over te dragen naar een nieuwe simkaart. Ze kunnen dan beveiligingscodes onderscheppen en toegang krijgen tot andere accounts.
  
• Identiteitsfraude op social media: Kwaadwillenden kopiëren of nemen de socialemediaprofielen van mensen over om content onder hun naam te delen of om anderen te misleiden.
  

Hoe krijgen frauduleuze actoren toegang tot identiteitsgegevens?

Om identiteitsfraude te plegen, moeten daders eerst toegang krijgen tot AVG: persoonsgegevens. Veel van deze informatie is afkomstig uit openbaar beschikbare bronnen, zoals sociale netwerken of online profielen. Frauduleuze actoren kunnen ook informatie gebruiken die is verkregen uit datalekken of gehackte databases.

Vaak geven slachtoffers hun gegevens echter zelf aan kwaadwillenden zonder het zelfs maar te beseffen. Slachtoffers van phishing-aanvallen voeren bijvoorbeeld creditcardgegevens, wachtwoorden of beveiligingscodes in op nepwebsites. Deze aanvallen beginnen doorgaans als e-mails of sms'jes die lijken op officiële communicatie van banken, betaaldienstverleners (PSP's) of bekende ondernemingen. Deze bevatten vaak een link die leidt naar een bedrieglijk echt lijkende website die gebruikers vraagt hun gegevens in te voeren.

Als je het slachtoffer bent geweest van identiteitsdiefstal, biedt het Federale Bureau voor Informatiebeveiliging (BSI) een eerstehulpchecklist.

Wie is aansprakelijk in geval van identiteitsdiefstal?

Bij online fraude is de belangrijkste vraag voor ondernemingen en retailers in Duitsland, evenals voor particulieren, wie aansprakelijk is in geval van identiteitsdiefstal. Het antwoord hangt af van de bijzonderheden van elk geval. Het gaat er vooral om welke zorgplichten zijn geschonden.

Principe: Slachtoffers zijn niet aansprakelijk

In principe zijn slachtoffers van identiteitsdiefstal niet persoonlijk verantwoordelijk voor eventuele schade veroorzaakt door het gebruik van hun gestolen identiteit. Dat komt omdat, juridisch gezien, de verantwoordelijkheid ligt bij de personen die deze identiteit onrechtmatig gebruiken om contracten af te sluiten, betalingen te doen of andere handelingen te verrichten. Bijgevolg is een slachtoffer van identiteitsdiefstal geen partij bij contractuele verplichtingen die met behulp van hun identiteit zijn aangegaan.

Uitzondering: Medeschuld

Dit principe is niet van toepassing als het eigen wangedrag van het slachtoffer heeft bijgedragen aan de diefstal van hun identiteit. Iedereen die roekeloos omgaat met gevoelige gegevens of die nalaat elementaire veiligheidsmaatregelen in acht te nemen, kan in sommige gevallen op zijn minst een gedeeltelijke verantwoordelijkheid dragen. De doorslaggevende factor is altijd of een zorgplicht is geschonden.

Online bankieren en betaaldiensten

Bij online bankieren dragen gebruikers een aanzienlijke verantwoordelijkheid voor het veilig bewaren van hun inloggegevens en beveiligingsprocessen. In veel gevallen vergoeden banken verliezen die zijn geleden als gevolg van ongeautoriseerde betalingen. Er kan echter ook een eigen risico van toepassing zijn. De wet beperkt dit eigen risico doorgaans tot € 50 als het betaalinstrument verloren of misbruikt is, en de verliezen niet op tijd konden worden voorkomen. In bepaalde gevallen kan dit eigen risico volledig komen te vervallen, bijvoorbeeld als de gebruiker het verlies niet kon opmerken of de bank zelf verantwoordelijk was voor het verlies.

Er is echter geen beperking van de aansprakelijkheid als een persoon heeft gehandeld met frauduleuze opzet of grove nalatigheid. Grove nalatigheid omvat het delen van inloggegevens of het niet veilig opslaan van inloggegevens. Sectie 675v, paragraaf 3 van het Duitse Burgerlijk Wetboek (BGB) bepaalt dat de gebruiker in dergelijke gevallen persoonlijk aansprakelijk kan zijn voor verliezen.

Klanten zijn over het algemeen niet aansprakelijk voor verliezen die ze oplopen als banken of betaaldienstverleners (PSP's) geen wettelijk voorgeschreven SCA (sterke cliëntauthenticatie) toepassen. Ze zijn ook niet verplicht om verliezen te vergoeden die optreden nadat ze hun kaart als gestolen of vermist hebben gemeld, op voorwaarde dat ze dit snel genoeg hebben gedaan.

Phishing en opzettelijke misleiding

In de ogen van de wet kan het actief invoeren van gevoelige gegevens op nepwebsites of in frauduleuze berichten worden gezien als een daad van grove nalatigheid. In dergelijke gevallen kan het slachtoffer op zijn minst gedeeltelijk aansprakelijk zijn voor eventuele opgelopen verliezen.

De juridische beoordeling van phishing hangt echter altijd af van de details van elke zaak. De rechtbanken houden met name rekening met hoe professioneel het uiterlijk van de zwendel was, en of er duidelijke waarschuwingssignalen voor het slachtoffer waren. Moderne zwendelpraktijken maken vaak gebruik van bedrieglijk echt lijkende communicatiekanalen en kennen veel details over hun slachtoffers, waardoor de indruk wordt gewekt dat ze rechtmatig optreden namens een bank, overheidsinstantie of andere betrouwbare instantie.

De nieuwste rechterlijke beslissingen illustreren dat louter omdat een phishing-aanval succesvol is, dit niet betekent dat er automatisch kan worden geconcludeerd dat het slachtoffer met grove nalatigheid heeft gehandeld. Er moet veeleer per geval worden beoordeeld of het ook voor de gemiddelde zorgvuldige gebruiker moeilijk zou zijn geweest om de zwendel te ontdekken. Naarmate cyberaanvallen steeds professioneler worden, worden deze gedifferentieerde benchmarks steeds belangrijker met betrekking tot wie aansprakelijk is en of slachtoffers schadevergoeding kunnen eisen.

Frauduleuze bestellingen en contracten

Een persoon wiens identiteit wordt gebruikt om zonder hun betrokkenheid goederen te bestellen of contracten af te sluiten, is doorgaans niet aansprakelijk voor eventuele daardoor opgelopen schade. Facturen, aanmaningen of incassobrieven hoeven niet te worden betaald, zolang duidelijk kan worden aangetoond dat er sprake is van identiteitsfraude. Het is echter belangrijk om snel op dergelijke verzoeken te reageren en op te helderen wat er is gebeurd.

In dergelijke gevallen draagt het betrokken bedrijf doorgaans in eerste instantie het financiële risico. Als niet kan worden aangetoond dat er daadwerkelijk een contract tot stand is gekomen met de betreffende persoon, zijn eventuele betalingsvorderingen van hen meestal nietig. Ondernemingen moeten daarom controleren of de persoon die een bestelling plaatste of een contract afsloot, ook daadwerkelijk was wie ze zeiden te zijn.

Als een bedrijf verlies lijdt als gevolg van fraude (bijv. omdat het goederen heeft verzonden of diensten heeft verleend), is de kans klein dat het iets terugkrijgt, tenzij de daadwerkelijke daders kunnen worden geïdentificeerd of er claims tegen hen worden ingediend. Het risico om een contract af te sluiten met iemand die een nep-identiteit gebruikt, ligt daarom bij het bedrijf dat verzuimde de identiteit van de klant goed te verifiëren voordat werd getekend.

Hoe kunnen ondernemingen in Duitsland het frauderisico beperken?

Het is vrijwel onmogelijk om identiteitsfraude volledig uit te sluiten. Ondernemingen kunnen het risico echter aanzienlijk verkleinen en potentiële schade beperken door passende technische, juridische en organisatorische maatregelen te nemen.

Implementeer identiteitscontroles en veilige authenticatie

Ondernemingen moeten de identiteit van hun klanten zorgvuldig verifiëren, met name bij risicovolle transacties, zoals dure bestellingen, contracten met een langere looptijd of nieuwe klantaccounts. Aanvullende verificatieprocedures, multifactorauthenticatie (MFA) en plausibiliteitscontroles kunnen helpen om frauduleuze gebruikers vroegtijdig te signaleren.

Signaleer verdachte activiteiten

In veel gevallen zijn er bepaalde waarschuwingssignalen die wijzen op fraude. Hierbij kun je denken aan ongewoon hoge bestelwaarden, lastminute-wijzigingen van afleveradressen, meerdere bestellingen in een kort tijdsbestek of tegenstrijdige klantinformatie. Verdachte activiteiten kunnen vaak al worden opgemerkt voordat een contract is gesloten, door automatische risicobeoordelingen in te zetten en werknemers te trainen.

Medewerkers trainen

Phishingaanvallen en social engineering-methoden zijn niet alleen gericht op klanten, maar kunnen ook ondernemingen tot doelwit hebben. Door regelmatige trainingen te geven, kunnen werknemers leren verdachte telefoontjes, e-mails of berichten te herkennen en daar adequaat op te reageren. Dit verkleint het risico dat gevoelige bedrijfs- of klantgegevens in handen vallen van fraudeurs.

Verbeter gegevensbescherming en IT-beveiliging

Aangezien gestolen persoonsgegevens vaak afkomstig zijn uit datalekken of beveiligingsincidenten, is het extra belangrijk dat ondernemingen alle informatie die ze opslaan goed beschermen. Ondernemingen in Duitsland moeten passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen, toegangsrechten te beperken en beveiligingslekken regelmatig te controleren.

De principes voor het correct beheer en de opslag van boeken, documenten en records in elektronische vorm (GoBD) bevatten ook eisen met betrekking tot de beveiliging en traceerbaarheid van digitale bedrijfsprocessen. Ondernemingen moeten ervoor zorgen dat belastinggerelateerde informatie wordt beschermd tegen verlies, manipulatie en ongeautoriseerde toegang, en dat deze te allen tijde transparant en controleerbaar blijft. Effectief informatiebeveiligings- en gegevensbeschermingsbeheer draait daarom om meer dan alleen het naleven van wettelijke regels. Het kan er ook aan bijdragen dat identiteitsfraude en financiële verliezen überhaupt niet plaatsvinden.

Stel heldere procedures op voor acties bij fraude

Ondanks al deze voorzorgsmaatregelen kan fraude nog steeds voorkomen. Ondernemingen moeten daarom vastleggen hoe ze verdachte activiteiten onderzoeken, hoe ze gedupeerde klanten informeren en hoe eventuele schade wordt gedocumenteerd. Duidelijke interne processen maken het makkelijker om snel te reageren en kunnen helpen om financiële verliezen en reputatieschade te beperken.

Welke juridische aspecten moeten ondernemingen in Duitsland kennen?

Identiteitsdiefstal is niet alleen een financieel risico voor ondernemingen in Duitsland, het kan ook juridische gevolgen hebben. Duitse bedrijven moeten zich aan een aantal verschillende wettelijke verplichtingen houden, met name op het gebied van de verwerking van persoonsgegevens, het voorkomen van fraude en de reactie op beveiligingsincidenten.

• Verplichtingen inzake gegevensbescherming
  Ondernemingen die persoonsgegevens verwerken, moeten voldoen aan de voorschriften van de Algemene verordening gegevensbescherming (AVG), in het bijzonder artikel 32, dat bepaalt dat ondernemingen passende technische en organisatorische maatregelen moeten nemen om de beveiliging van deze gegevens te waarborgen. Als er een datalek optreedt als gevolg van ontoereikende beveiligingsmaatregelen, kunnen toezichthoudende autoriteiten boetes opleggen en kunnen betrokkenen in sommige gevallen schadevergoeding eisen.

• Meldplicht bij datalekken met persoonsgegevens
  Als een beveiligingsincident leidt tot een inbreuk op de bescherming van persoonsgegevens, is de betreffende onderneming verplicht dit incident te melden bij de bevoegde autoriteit voor gegevensbescherming. Deze melding moet worden ingediend binnen 72 uur nadat de onderneming op de hoogte is geraakt van de inbreuk.

• Verantwoordings- en documentatieplicht
  In het kader van hun verantwoordingsplicht moeten ondernemingen transparante documentatie bijhouden van hun maatregelen op het gebied van gegevensbescherming en beveiliging. De GoBD schrijft bovendien voor dat digitale belastinggerelateerde processen correct en transparant moeten worden gedocumenteerd. Volledige documentatie die aantoont dat een onderneming heeft voldaan aan de wettelijke verplichtingen, kan nuttig zijn in geval van een geschil.

• Contractuele zorgplicht richting klanten
  Ondernemingen zijn verplicht passende maatregelen te nemen om fraude en misbruik te voorkomen. Welke maatregelen ze moeten nemen, is afhankelijk van het type businessmodel, het risicopotentieel en de gangbare branchenormen. Ondernemingen die duidelijke risico's negeren of nalaten elementaire beveiligingsmaatregelen te treffen, kunnen aansprakelijk worden gesteld voor eventuele schade.

• Gegevensverwerkers en leveranciersscreening
  Veel ondernemingen maken gebruik van externe dienstverleners voor IT-systemen, betalingsverwerking of clouddiensten. Als deze dienstverleners persoonsgegevens verwerken, moet worden voldaan aan de eisen van de AVG met betrekking tot verwerkers. In principe blijven deze ondernemingen verantwoordelijk voor de rechtmatige verwerking van deze gegevens. Ze moeten de beveiligingsnormen van hun dienstverleners daarom regelmatig controleren.

• Vervolging van identiteitsfraude
  Identiteitsdiefstal op zich is onder de Duitse wetgeving geen afzonderlijk strafbaar feit. De onderliggende handelingen kwalificeren echter vaak wel als andere strafbare feiten, zoals fraude, computerfraude of dataspionage. Ondernemingen moeten verdachte incidenten daarom altijd documenteren en beoordelen of het zinvol is om strafrechtelijk aangifte te doen.

Hoe Stripe kan helpen met fraudepreventie

Tegenwoordig vereist het effectief voorkomen van identiteits- en betaalfraude geautomatiseerde systemen die verdachte activiteiten vroegtijdig markeren en risico's in realtime inschatten. Stripe Radar is een oplossing voor fraudepreventie die transacties automatisch analyseert en potentiële fraude identificeert. Op basis van kunstmatige intelligentie (AI) gebruikt de technologie gegevens uit het wereldwijde betalingsnetwerk van Stripe om bekende fraudepatronen te identificeren en voortdurend rekening te houden met nieuwe risicosignalen.

Radar gebruikt verschillende factoren om transacties te beoordelen, waaronder verdachte aankooppatronen, ongebruikelijke apparaat- of locatie-informatie, en aanwijzingen van eerdere pogingen tot fraude. De oplossing gebruikt deze informatie om in realtime een risicoscore te produceren, zodat verdachte betalingen met grotere nauwkeurigheid kunnen worden beoordeeld of geblokkeerd. Het doel van Radar is om frauduleuze gebruikers vroegtijdig te identificeren, zonder een groot aantal legitieme transacties te hoeven afwijzen.

Veelgestelde vragen over identiteitsdiefstal