Identitätsdiebstahl: Anzeichen und was Sie jetzt tun müssen

Bei Identitätsdiebstahl zählt die Reihenfolge: Zuerst sichern Sie Ihre Konten und lassen Karten oder Ausweis sperren, dann erstatten Sie Anzeige, widersprechen jeder unberechtigten Forderung schriftlich und melden den Missbrauch bei der SCHUFA und anderen Auskunfteien. Typische Anzeichen sind Bestellbestätigungen, Rechnungen oder Inkassoschreiben für Käufe, die Sie nie getätigt haben. Wer früh reagiert, verhindert meist, dass aus fremden Schulden ein negativer Eintrag in der eigenen Bonitätsakte wird.

Was ist Identitätsdiebstahl?

Von Identitätsdiebstahl spricht man, wenn Kriminelle mit Ihren persönlichen Daten so auftreten, als wären sie Sie. Die Polizeiliche Kriminalprävention beschreibt, dass die Täter dafür gestohlene Daten oder Dokumente nutzen, etwa Ausweise, Zugangsdaten oder Kontoverbindungen. Mit Name, Geburtsdatum und Adresse lassen sich bereits Waren auf Rechnung bestellen. Mit einer Ausweiskopie oder Zugang zu Ihrem E-Mail-Konto können Täter Verträge abschließen, Konten eröffnen oder in Ihrem Namen Nachrichten verschicken.

Die Daten stammen selten aus einem einzigen spektakulären Einbruch. Häufige Quellen sind Phishing per E-Mail oder SMS, Fake-Shops, Datenlecks bei Online-Diensten und frei einsehbare Informationen aus sozialen Netzwerken. Auch Ausweisfotos, die man bei Wohnungsbewerbungen oder auf Kleinanzeigenportalen leichtfertig verschickt, landen immer wieder in falschen Händen.

Woran erkenne ich, dass meine Identität missbraucht wird?

Die meisten Betroffenen merken den Missbrauch erst durch Post oder E-Mails, die sie sich nicht erklären können. Die Verbraucherzentrale Hamburg und die Polizei nennen diese typischen Anzeichen:

• Bestellbestätigungen, Versandbenachrichtigungen oder Pakete für Waren, die Sie nicht bestellt haben
• Rechnungen, Mahnungen oder Schreiben von Inkassounternehmen zu unbekannten Verträgen
• ungewöhnliche Abbuchungen auf dem Girokonto oder der Kreditkartenabrechnung
• Hinweise eines Dienstes auf eine Anmeldung von einem fremden Gerät oder auf ein geändertes Passwort
• Sie kommen plötzlich nicht mehr in Ihr E-Mail- oder Social-Media-Konto
• Bekannte erhalten in Ihrem Namen merkwürdige Nachrichten oder Geldbitten
• ein Kredit oder Handyvertrag wird abgelehnt, obwohl Ihre Finanzen in Ordnung sind
• in Ihrer SCHUFA-Auskunft tauchen Verträge oder Anfragen auf, die nicht von Ihnen stammen

Ein einzelnes Schreiben kann auch ein Versehen oder ein Phishing-Versuch sein. Prüfen Sie Absender und Kontaktdaten deshalb selbst, statt Links oder Telefonnummern aus dem Schreiben zu nutzen. Wie Sie gefälschte Nachrichten erkennen, erklärt unser Ratgeber Phishing erkennen.

Sofortmaßnahmen: die richtige Reihenfolge

Am Anfang steht immer das E-Mail-Postfach, denn darüber lassen sich fast alle anderen Passwörter zurücksetzen. Die folgende Übersicht fasst die Empfehlungen von Verbraucherzentralen und Polizei in eine Reihenfolge, die Sie in den ersten Tagen abarbeiten können.

Prüfen Sie außerdem Ihre Geräte mit einem aktuellen Virenscanner. Wurden Zugangsdaten über eine Schadsoftware abgegriffen, bringt ein neues Passwort wenig, solange das Programm noch mitliest. Hinweise dazu finden Sie im Ratgeber Computervirus erkennen.

Anzeige erstatten: online oder bei der Polizei

Eine Strafanzeige sollten Sie in jedem Fall stellen, auch wenn die Täter vermutlich nie gefunden werden. Die Anzeige ist der Beleg, mit dem Sie gegenüber Händlern, Inkassounternehmen und Auskunfteien glaubhaft machen, dass nicht Sie bestellt haben. Die Verbraucherzentrale Niedersachsen rät, für jeden einzelnen Fall Anzeige zu erstatten.

Das geht bei jeder Polizeidienststelle oder online über die Onlinewachen der Länder, die zentral unter portal.onlinewache.polizei.de erreichbar sind. Halten Sie bereit, was Sie haben: Rechnungen, Mahnungen, Bestellbestätigungen, Screenshots von Nachrichten und eine kurze, zeitlich geordnete Schilderung. Notieren Sie sich das Aktenzeichen, Sie brauchen es für alle weiteren Schreiben.

Rechnungen, Inkasso und Mahnbescheid richtig beantworten

Zahlen Sie nicht, aber schweigen Sie auch nicht. Wer eine unberechtigte Forderung ignoriert, riskiert, dass sie weiter eskaliert. Die Verbraucherzentrale Hamburg empfiehlt, den Vertragsschluss schriftlich zu bestreiten, am besten per Einschreiben, und eine Kopie der Anzeige beizulegen. So lässt sich ein SCHUFA-Eintrag vermeiden. Die Verbraucherzentralen bieten dafür ein kostenloses, interaktives Musterschreiben an.

Formulieren Sie kurz und sachlich: Sie haben keinen Vertrag geschlossen, Ihre Daten wurden missbraucht, Anzeige ist unter Aktenzeichen soundso erstattet. Fordern Sie das Unternehmen auf, die Forderung nicht an Auskunfteien zu melden und Ihre Daten im Zusammenhang mit der Bestellung zu sperren. Haben Sie Ware erhalten, die Sie nicht bestellt haben, bieten Sie die Rückgabe an.

SCHUFA-Datenkopie kostenlos anfordern und Missbrauch melden

Jeder hat nach Art. 15 DSGVO Anspruch auf Auskunft über die zu seiner Person gespeicherten Daten, die erste Kopie ist kostenlos. Die SCHUFA bietet diese Datenkopie über meineschufa.de an. Laut SCHUFA kommt sie per Post, in der Regel etwa eine Woche nach dem Antrag. Sie zeigt, welche Verträge und Anfragen gespeichert sind, woher die Informationen stammen und an wen in den letzten zwölf Monaten Daten weitergegeben wurden.

Achten Sie beim Antrag genau auf die Auswahl. Neben der kostenlosen Datenkopie wirbt die SCHUFA prominent mit der kostenpflichtigen BonitätsAuskunft, die sich vor allem an Mietinteressenten richtet. Für die Kontrolle Ihrer Daten reicht die kostenlose Variante. Seiten anderer Anbieter, die eine „kostenlose SCHUFA-Auskunft“ versprechen, sind laut heise häufig Abofallen. Beantragen Sie die Kopie nur direkt bei der SCHUFA.

Melden Sie den Identitätsmissbrauch außerdem aktiv, damit Unternehmen bei neuen Anträgen in Ihrem Namen gewarnt werden. Die SCHUFA und andere große Auskunfteien wie Crif bieten dafür Online-Formulare an. Fragen Sie Ihre Daten auch dort ab, denn viele Onlinehändler prüfen die Bonität nicht bei der SCHUFA, sondern bei anderen Auskunfteien. Eine Anleitung, wie Sie Auskunftsrechte bei beliebigen Unternehmen durchsetzen, finden Sie im Ratgeber DSGVO-Auskunft anfordern.

Ausweis verloren oder gestohlen: so sperren Sie ihn

Ein verlorener Personalausweis muss unverzüglich beim Bürgeramt gemeldet werden, die Behörde gibt die Meldung an die Polizei weiter. Die Online-Ausweisfunktion lassen Sie zusätzlich über den Sperr-Notruf 116 116 sperren. Dafür brauchen Sie Namen, Geburtsdatum und das Sperrkennwort, das im PIN-Brief zu Ihrem Ausweis steht. Der Sperr-Notruf ist rund um die Uhr erreichbar, aus dem deutschen Festnetz gebührenfrei.

Für den neuen Ausweis vereinbaren Sie einen Termin bei Ihrer Ausweisbehörde. Kosten und Wartezeit hängen von Ihrem Alter und der Kommune ab. Bewahren Sie den PIN-Brief übrigens nicht zusammen mit dem Ausweis auf. Hat jemand beides, ist die Sperre der Online-Funktion umso dringender.

Datenleck prüfen: HPI Identity Leak Checker und Have I Been Pwned

Ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht, prüfen Sie kostenlos mit zwei seriösen Diensten. Beide empfiehlt auch die Verbraucherzentrale Hamburg.

• HPI Identity Leak Checker: Der Dienst des Hasso-Plattner-Instituts in Potsdam gleicht Ihre Adresse mit Daten aus öffentlich bekannten Leaks und dem Darknet ab. Laut HPI umfasst die Datenbank rund 19 Milliarden Identitäten aus über 2.000 Datenlecks. Angezeigt wird, welche Art von Daten betroffen war, also etwa Passwort, Telefonnummer oder Geburtsdatum, aber nie das Passwort selbst.
• Have I Been Pwned: Der internationale Dienst des Sicherheitsforschers Troy Hunt listet mehr als 1.000 betroffene Websites. Über die Funktion „Notify me“ werden Sie per E-Mail benachrichtigt, wenn Ihre Adresse in einem künftigen Leak auftaucht.

Ein Treffer bedeutet nicht, dass Ihre Identität bereits missbraucht wird. Er heißt aber: Das Passwort aus dem betroffenen Dienst ist verbrannt. Ändern Sie es überall dort, wo Sie es ebenfalls verwendet haben. Mit einem Passwort-Manager haben Sie für jeden Dienst ein eigenes Passwort, und ein einzelnes Leak bleibt auf einen Dienst begrenzt.

So beugen Sie Identitätsdiebstahl vor

Ganz verhindern lässt sich Identitätsdiebstahl nicht, denn auch Unternehmen verlieren Daten. Sie können es Tätern aber deutlich schwerer machen und Missbrauch früher bemerken:

• Verwenden Sie für jedes Konto ein eigenes, starkes Passwort und schalten Sie die Zwei-Faktor-Authentifizierung ein, vor allem für E-Mail, Banking und Shops mit hinterlegter Zahlung.
• Schicken Sie Ausweiskopien nur, wenn es wirklich nötig ist, und schwärzen Sie nicht benötigte Angaben. Ein Wasserzeichen mit Zweck und Datum macht die Kopie für andere Zwecke unbrauchbar.
• Kontrollieren Sie Kontoauszüge und Kreditkartenabrechnungen regelmäßig, nicht erst am Monatsende.
• Gehen Sie sparsam mit Geburtsdatum, Adresse und Telefonnummer in sozialen Netzwerken um.
• Fordern Sie einmal im Jahr Ihre kostenlose SCHUFA-Datenkopie an, um unbekannte Einträge früh zu entdecken.
• Öffnen Sie keine Links aus unerwarteten E-Mails oder SMS, und tippen Sie Adressen von Bank und Shops selbst ein.

Häufige Fragen

Muss ich eine Rechnung bezahlen, wenn jemand mit meinen Daten bestellt hat?

Nein. Ein Vertrag ist nicht mit Ihnen zustande gekommen, wenn ein Dritter ohne Ihr Wissen bestellt hat. Sie müssen die Forderung aber aktiv und schriftlich bestreiten, idealerweise mit Kopie der Anzeige. Wer nur abwartet, riskiert Inkasso und einen Mahnbescheid.

Wie oft kann ich die SCHUFA-Datenkopie kostenlos anfordern?

Art. 15 DSGVO garantiert die erste Kopie kostenlos, für weitere Kopien darf ein angemessenes Entgelt verlangt werden. In der Praxis ist eine jährliche kostenlose Abfrage üblich. Bei konkretem Verdacht auf Identitätsmissbrauch lohnt sich die Abfrage sofort.

Kann ich einen SCHUFA-Eintrag löschen lassen, der durch Betrug entstanden ist?

Falsche Einträge müssen berichtigt oder gelöscht werden. Wenden Sie sich an das meldende Unternehmen und an die SCHUFA, legen Sie die Anzeige bei und verweisen Sie auf den Identitätsmissbrauch. Reagiert niemand, helfen die Verbraucherzentrale oder die zuständige Datenschutzaufsichtsbehörde.

Was bedeutet ein Treffer beim HPI Identity Leak Checker?

Ihre E-Mail-Adresse taucht zusammen mit weiteren Daten in mindestens einem bekannten Datenleck auf. Ändern Sie das Passwort des betroffenen Dienstes und überall dort, wo Sie es mehrfach genutzt haben. Die Warnung beim HPI bleibt bestehen, auch wenn Sie das Passwort schon geändert haben.

Wer haftet, wenn Täter mit meinen Kartendaten eingekauft haben?

Bei nicht autorisierten Zahlungen muss die Bank den Betrag grundsätzlich erstatten, sofern Sie nicht grob fahrlässig gehandelt haben. Melden Sie die Abbuchung unverzüglich. Nach § 676b BGB sind Ansprüche spätestens 13 Monate nach der Belastung ausgeschlossen.

Quellen

• Polizeiliche Kriminalprävention: Identitätsdiebstahl
• Verbraucherzentrale Hamburg: Identität geklaut, Account gehackt
• Verbraucherzentrale Niedersachsen: Unerklärliche Post vom Inkassounternehmen
• SCHUFA: Kostenlose Datenkopie nach Art. 15 DSGVO
• Art. 15 DSGVO: Auskunftsrecht der betroffenen Person
• heise: SCHUFA-Auskunft kostenlos beantragen
• Hasso-Plattner-Institut: Identity Leak Checker
• Have I Been Pwned
• Sperr-Notruf 116 116
• Landeshauptstadt Wiesbaden: Personalausweis nach Verlust oder Diebstahl (Beispiel einer Kommune)
• § 676b BGB: Anzeige nicht autorisierter Zahlungsvorgänge

Weiterlesen auf Safety-IT

• Phishing erkennen: So entlarven Sie gefälschte E-Mails
• Zwei-Faktor-Authentifizierung einrichten
• DSGVO-Auskunft anfordern: So geht’s
• Betrug bei Kleinanzeigen erkennen