Tjugosju procent av tyska internetanvändare har någon gång blivit offer för it-brottslighet. Några av de vanligaste it-brotten inkluderar bedrägeri som påverkar onlineshopping och internetbank, plus obehörig åtkomst till onlinekonton och nätfiskeattacker. Nio av tio offer har drabbats av någon form av skada, och många har upplevt ekonomiska förluster.

Onlinebedrägeri är ofta direkt relaterat till det bredare fenomenet identitetsstöld. I den här artikeln kommer vi att diskutera vad identitetsstöld är, vilka former det finns och vem som är ansvarig när identitetsstöld inträffar. Vi kommer också att utforska hur företag effektivt kan minska risken för bedrägeri.

Viktiga lärdomar

• Identitetsstöld är inte ett separat brott i Tyskland, men de handlingar som är involverade i att stjäla någons identitet kan kvalificeras som ett antal olika brott.
  
• Identitetsstöld är när bedrägliga aktörer använder tredje parts personuppgifter utan dennes tillstånd i bedrägliga syften eller för att vilseleda andra.
  
• Förövare använder stulna identiteter för att initiera obehöriga betalningar, ingå avtal eller ta över konton.
  
• I princip ansvarar inte offer för några skador, så länge de inte agerat oaktsamt.
  
• Moderna lösningar som Stripe Radar hjälper företag att upptäcka misstänkta transaktioner i ett tidigt skede och minskar bedrägeririsker genom säkra processer, effektivt dataskydd och tekniska skyddsåtgärder.
  

Vad är identitetsstöld?

Identitetsstöld inträffar när en bedräglig aktör använder någon annans personuppgifter utan tillstånd för att få en fördel för sig själv eller tredje part. Den illvilliga aktören använder identifierande egenskaper som en persons namn, födelsedatum, adress eller digital inloggning i bedrägliga syften. Deras syfte är ofta att utge sig för att vara den ursprungliga personen eller att utföra handlingar i dennes namn.

Identitetsstöld drabbar till stor del privatpersoner vars personuppgifter används olagligt. De personliga konsekvenserna sträcker sig från ekonomiska förluster till långsiktiga problem med att använda tjänster, eller problem med att verifiera och korrigera personuppgifter.

Företag kan också drabbas indirekt. Detta sker oftast när en illvillig aktör använder en stulen identitet för att bedriva bedräglig affärsverksamhet, till exempel att göra inköp eller ingå avtal i någon annans namn. De inblandade företagen kan drabbas av ekonomiska förluster och måste dessutom lägga extra tid på att granska och hantera transaktioner. Bedrägeri kan skada ett företags rykte och leda till en förlust av förtroende hos kunder och affärspartners.

Vilka typer av identitetsstölder finns det?

Identitetsstöld kan ta sig olika uttryck. Metoderna varierar beroende på kontext och gärningspersonens avsikt och sträcker sig från typiska digitala bedrägerier till mer sällsynta, mer komplexa scenarier.

• Betalningsbedrägeri: Ondsinta aktörer använder någon annans betalningsinformation eller inloggning till en betaltjänst för att utföra obehöriga transaktioner.
  
• Identitetskapning för att ingå avtal och göra beställningar: Bedrägliga aktörer utger sig för att vara någon annan för att ingå köp-, hyres- eller serviceavtal, eller för att beställa varor.
  
• Kontostöld (ATO): Ondsinta aktörer får tillgång till befintliga nätkonton som de sedan använder utan tillstånd. De kan använda dessa konton för att lägga beställningar, ta del av data eller kommunicera i kontoinnehavarens namn.
  
• Bedrägeri med nya konton: Förövare kan använda stulna identiteter för att öppna nya konton hos banker eller nättjänster. Dessa konton används för till exempel lån, abonnemang eller andra finansiella åtaganden som tillskrivs personen vars identitet har stulits.
  
• Identitetskapning vid kontakt med offentliga myndigheter: I sällsynta fall används stulna identiteter för att styrka en persons identitet inför en myndighet eller för att ansöka om statliga förmåner.
  
• Kapakapning (SIM-swapping): Bedrägliga aktörer tar kontroll över någons mobilnummer genom att flytta dennas nummer till ett nytt sim-kort. Därefter kan de snappa upp säkerhetskoder och få tillgång till andra konton.
  
• Imitera personer på sociala medier: Ondsinta aktörer kopierar eller tar över personers sociala medieprofiler för att dela innehåll under deras namn eller för att lura andra.
  

Hur får bedrägliga aktörer tag på identitetsinformation?

För att kunna begå identitetsbedrägerier behöver gärningsmännen först och främst få tillgång till personuppgifter. En hel del av denna information kommer från allmänt tillgängliga källor, som sociala nätverk eller nätprofiler. Bedrägliga aktörer kan även använda information som erhållits från dataintrång eller hackade databaser.

Ofta är det dock offren själva som utan att inse det lämnar över sina uppgifter till ondsinta aktörer. Offer för till exempel nätfiske knappar in sina kortuppgifter, lösenord eller säkerhetskoder på falska webbplatser. Dessa attacker börjar ofta som e-postmeddelanden eller textmeddelanden som ser ut som officiell kommunikation från banker, leverantörer av betaltjänster (PSP) eller kända företag. De innehåller ofta en länk till en till synes legitim webbplats som uppmanar användaren att uppge sina uppgifter.

Om du har blivit utsatt för identitetsstöld har den tyska byrån för it-säkerhet (BSI) tagit fram en checklista för första hjälpen.

Vem är ansvarig vid identitetsstöld?

När det gäller bedrägeri på nätet är huvudfrågan för företag och återförsäljare i Tyskland, liksom för privatpersoner, vem som är ansvarig i händelse av identitetsstöld. Svaret beror på detaljerna i det enskilda fallet. I första hand handlar det om vilka aktsamhetskrav som har åsidosatts.

Princip: Offren är inte ansvariga

I princip är offer för identitetsstöld inte personligen ansvariga för skador som orsakas av att deras stulna identitet används. Det beror på att ansvaret rent juridiskt ligger hos den eller de personer som olagligen använder denna identitet för att ingå avtal, göra betalningar eller utföra andra handlingar. Följaktligen är ett offer för identitetsstöld inte part i några avtalsenliga skyldigheter som ingåtts med deras identitet.

Undantag: Medvållande

Denna princip gäller inte om offrets egen oaktsamhet har bidragit till att hens identitet blivit stulen. Den som är vårdslös med känsliga data eller underlåter att vidta grundläggande säkerhetsåtgärder kan i vissa fall bära åtminstone en del av ansvaret. Den avgörande faktorn är alltid om ett aktsamhetskrav har åsidosatts.

Internetbank och betaltjänster

När man använder en internetbank har användarna ett stort ansvar för att hålla sina inloggningsuppgifter och säkerhetsprocesser säkra. I många fall kommer bankerna att ersätta eventuella förluster som uppstått till följd av obehöriga betalningar. Det kan dock även tillkomma en självrisk. Enligt lag är denna självrisk i allmänhet begränsad till 50 EUR om betalningsinstrumentet går förlorat eller missbrukas och förlusterna inte kunde förhindras i tid. I vissa fall kan denna självrisk tas bort helt och hållet, t.ex. om användaren inte kunde ha upptäckt förlusten eller om banken själv var ansvarig för förlusten.

Det finns dock ingen ansvarsbegränsning om en person har agerat med bedrägligt uppsåt eller grov vårdslöshet. Exempel på grov vårdslöshet är att man delar med sig av sina inloggningsuppgifter eller inte förvarar dem på ett säkert sätt. I avsnitt 675v paragraf 3 i den tyska civillagen (BGB) stipuleras det att användaren i dessa fall kan bli personligt ansvarig för förlusterna.

Kunder är i allmänhet inte ansvariga för eventuella förluster som de åsamkas om bankerna eller leverantörerna av betaltjänster (PSP) inte använder lagstadgad stark kundautentisering (SCA). De är inte heller skyldiga att ersätta eventuella förluster som uppstår efter att de har anmält sitt kort som stulet eller saknat, förutsatt att de har gjort detta tillräckligt snabbt.

Nätfiske och avsiktligt vilseledande

I lagens ögon kan det betraktas som grov vårdslöshet att aktivt fylla i känsliga uppgifter på falska webbplatser eller i bedrägliga meddelanden. I sådana fall kan offret i viss mån hållas ansvarig för de förluster som uppstår.

Men den juridiska bedömningen av nätfiske beror alltid på omständigheterna i det enskilda fallet. Domstolarna tar särskilt hänsyn till hur professionellt bedrägeriet framstod och om det fanns tydliga varningssignaler för offret. Moderna bedrägerier använder ofta bedrägligt äkta kommunikationskanaler och känner till många detaljer om sina offer, vilket ger intryck av att de agerar legitimt på uppdrag av en bank, offentlig myndighet eller annan pålitlig organisation.

De senaste domstolsbesluten illustrerar att bara för att en nätfiskeattack är framgångsrik innebär det inte automatiskt att offret har agerat med grov vårdslöshet. I stället måste man i varje enskilt fall bedöma om det också skulle ha varit svårt för en normalt aktsam användare att upptäcka bedrägeriet. I takt med att it-attackerna blir alltmer professionella blir dessa differentierade riktmärken allt viktigare när det gäller vem som är ansvarig och om offer kan kräva skadestånd.

Bedrägliga beställningar och avtal

En person vars identitet används för att beställa varor eller ingå avtal utan hens inblandning är i allmänhet inte ansvarig för de skador som uppstår till följd av detta. Fakturor, kravbrev eller inkassokrav behöver inte betalas så länge det tydligt kan bevisas att det har rört sig om identitetsbedrägeri. Det är dock viktigt att svara snabbt på sådana förfrågningar och att klargöra vad som har hänt.

I dessa fall är det i regel det berörda företaget som i första hand bär den finansiella risken. Om det inte kan bevisas att ett avtal faktiskt ingåtts med personen i fråga, är eventuella betalningskrav från företaget i regel ogiltiga. Företag måste därför kontrollera huruvida personen som gör en beställning eller ingår ett avtal faktiskt är den person hen utger sig för att vara.

Om ett företag drabbas av förlust på grund av bedrägeri (t.ex. för att de skickat varor eller utfört tjänster) är det osannolikt att de kan få tillbaka något såvida inte de faktiska förövarna kan identifieras eller krav riktas mot dem. Risken för att ingå ett avtal med någon som använder en falsk identitet ligger därför hos det företag som underlät att verifiera kundens identitet på rätt sätt före undertecknandet.

Hur kan företag i Tyskland minska risken för bedrägeri?

Det är i stort sett omöjligt att skydda sig helt mot identitetsbedrägeri. Företag kan dock minska risken avsevärt och begränsa potentiella skador genom att vidta lämpliga tekniska, juridiska och organisatoriska åtgärder.

Implementera identitetskontroller och säker autentisering

Företag bör verifiera sina kunders identiteter noggrant, särskilt när de utför högrisktransaktioner, såsom dyra beställningar, kontrakt med längre löptider eller nya kundkonton. Ytterligare verifieringsförfaranden, flerfaktorsautentisering (MFA) och rimlighetskontroller kan hjälpa till att flagga bedrägliga användare i ett tidigt skede.

Flagga misstänkt aktivitet

I många fall finns det vissa varningssignaler om att bedrägeri begås. Dessa inkluderar onormalt höga beställningsvärden, ändringar i leveransadresser i sista minuten, flera beställningar under en kort tidsperiod eller motsägelsefull kundinformation. Misstänkt aktivitet kan ofta identifieras innan ett kontrakt tecknas genom att använda automatiska riskbedömningar och utbilda anställda.

Utbilda medarbetare

Nätfiskeattacker och metoder för social ingenjörskonst påverkar inte bara kunder, de kan också rikta in sig på företag. Regelbundna utbildningstillfällen kan hjälpa anställda att identifiera misstänkta samtal, e-postmeddelanden eller meddelanden och reagera på lämpligt sätt. Detta minskar risken för att känslig företags- eller kunddata hamnar i händerna på bedrägliga aktörer.

Öka dataskydd och IT-säkerhet

Eftersom stulen personlig information ofta kommer från dataintrång eller säkerhetsincidenter är det särskilt viktigt att företag skyddar all information de lagrar. Företag i Tyskland måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda identifierbara personuppgifter, begränsa åtkomsträttigheter och regelbundet granska säkerhetsluckor.

Principerna för korrekt hantering och lagring av böcker, register och dokument i elektronisk form (GoBD) anger också krav på säkerhet och spårbarhet för digitala affärsprocesser. Företag måste se till att skatterelaterad information skyddas mot förlust, manipulation och obehörig åtkomst, och att den förblir transparent och granskningsbar hela tiden. Därför handlar effektiv informationssäkerhet och hantering av dataskydd om mer än bara att följa lagstadgade regler. Det kan också bidra till att förhindra att identitetsbedrägeri och ekonomiska förluster överhuvudtaget inträffar.

Etablera tydliga processer för vad som ska göras i händelse av bedrägeri

Även med alla dessa försiktighetsåtgärder kan bedrägeri fortfarande inträffa. Företag bör därför definiera hur de granskar misstänkt aktivitet, hur de informerar berörda kunder och hur eventuella skador dokumenteras. Tydliga interna processer gör det lättare att reagera snabbt och kan hjälpa till att minska ekonomiska förluster och ryktesskador.

Vilka juridiska aspekter behöver företag i Tyskland känna till?

Identitetsstöld utgör inte bara en finansiell risk för företag i Tyskland, det kan också få rättsliga konsekvenser. Tyska företag måste iaktta ett antal olika juridiska skyldigheter, särskilt när det gäller hantering av identifierbara personuppgifter, förhindrande av bedrägeri och reaktioner på säkerhetsincidenter.

• Dataskyddsskyldigheter
  Företag som behandlar identifierbara personuppgifter måste uppfylla kraven i Allmänna dataskyddsförordningen (GDPR), i synnerhet Artikel 32, som stipulerar att företag måste genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten för dessa uppgifter. Om en dataintrång inträffar på grund av otillräckliga säkerhetsåtgärder kan tillsynsmyndigheter utfärda böter och, i vissa fall, kan de registrerade kräva skadestånd.

• Rapporteringsskyldigheter vid personuppgiftsbrott
  Om en säkerhetsincident leder till ett brott mot skyddet av personuppgifter är det berörda företaget skyldigt att rapportera incidenten till relevant dataskyddsmyndighet. Denna rapport måste lämnas in inom 72 timmar från det att företaget blivit medvetet om brottet.

• Krav på ansvarsskyldighet och dokumentation
  Som en del av sina ansvarsskyldigheter måste företag föra transparent dokumentation om sina dataskydds- och säkerhetsåtgärder. GoBD stipulerar också att skatterelaterade digitala processer måste dokumenteras korrekt och vara transparenta. Att ha fullständig dokumentation som visar att ett företag har uppfyllt de lagstadgade skyldigheterna kan vara till hjälp i händelse av en tvist.

• Avtalsenlig omsorgsplikt gentemot kunder
  Företag är skyldiga att vidta lämpliga åtgärder för att förhindra bedrägeri och missbruk. Vilka åtgärder de måste vidta beror på typen av affärsmodell, riskpotential och typiska branschstandarder. Företag som ignorerar tydliga risker eller underlåter att implementera grundläggande säkerhetsåtgärder kan hållas ansvariga för eventuella skador.

• Databehandlare och kontroll av leverantörer
  Många företag använder externa tjänsteleverantörer för IT-system, betalningsbehandling eller molntjänster. Om dessa tjänsteleverantörer behandlar identifierbara personuppgifter måste GDPR:s krav för personuppgiftsbiträden iakttas. I princip ansvarar dessa företag fortfarande för laglig behandling av dessa data. De bör därför regelbundet granska sina tjänsteleverantörers säkerhetsstandarder.

• Åtal för identitetsbedrägeri
  Identitetsstöld i sig är inte ett separat brott enligt tysk lag. Men de underliggande handlingarna kvalificeras ofta som andra brott, till exempel bedrägeri, datorbedrägeri eller dataspionage. Företag bör därför alltid dokumentera misstänkta incidenter och bedöma om det är meningsfullt att göra en polisanmälan.

Hur Stripe kan hjälpa dig att arbeta med bedrägeribekämpning

Idag kräver en effektiv bedrägeribekämpning automatiserade system som flaggar misstänkta aktiviteter tidigt och bedömer risker i realtid. Stripe Radar är en lösning för bedrägeribekämpning som automatiskt analyserar transaktioner och identifierar potentiella bedrägerier. Tekniken bygger på artificiell intelligens (AI) och använder data från Stripes globala betalningsnätverk för att identifiera kända bedrägerimönster och konsekvent väga in nya risksignaler.

Radar bedömer transaktioner utifrån olika faktorer, såsom misstänkta inköpsmönster, ovanliga uppgifter om enhet eller plats och tecken på tidigare försök till bedrägeri. Lösningen använder denna information för att ta fram en riskpoäng i realtid, så att man med större precision kan granska eller blockera misstänkta betalningar. Radars mål är att identifiera bedrägliga användare i ett tidigt skede, utan att behöva avvisa ett stort antal legitima transaktioner.

Vanliga frågor om identitetsstöld