Identitätsdiebstahl: Wege, Schutz und Erste Hilfe im Ernstfall

Identitätsdiebstahl klingt nach Hackerangriff, beginnt aber oft ganz banal: mit einem Kontoauszug im Altpapier, einer Ausweiskopie im falschen Postfach oder einer gutgläubig beantworteten E-Mail. Die Täter brauchen keine perfekte Identität, es genügen Name, Anschrift, Geburtsdatum und eine Kontoverbindung. Damit bestellen sie auf Rechnung, schließen Verträge ab oder beantragen Ratenkredite. Dieser Artikel zeigt die typischen Wege, erklärt, was wirklich schützt, und liefert eine Schrittliste für den Ernstfall.

Was ist Identitätsdiebstahl, und wie läuft er ab?

Identitätsdiebstahl bedeutet, dass Dritte persönliche Daten missbrauchen, um in fremdem Namen zu handeln. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt als Folgen unter anderem die Übernahme eines E-Mail-Kontos, gekaperte Profile in sozialen Netzwerken, Nachrichten im fremden Namen und den Zugriff auf Kreditkarte und Online-Banking. Finanziell besonders unangenehm ist die zweite Form: Täter nutzen Ihre Daten, um Ware auf Raten zu bestellen, und lassen die Rechnung bei Ihnen auflaufen.

Wie das konkret abläuft, beschreibt die SCHUFA an einem Fall mit falschen Wohnungsanzeigen. Die Betrüger veröffentlichten Inserate für Traumwohnungen und ließen sich von den Interessenten Ausweiskopien, SCHUFA-Auskünfte und Gehaltsnachweise schicken. Mit diesen Daten bestellten sie in Onlineshops teure Elektrogeräte per Ratenkauf, unter dem Namen und der Adresse der Opfer, aber mit erfundener Kontonummer. Die Raten wurden nie bezahlt, den Opfern drohen deshalb negative SCHUFA-Einträge, und in einem geschilderten Fall wurden die EC-Karte gesperrt und der Dispokredit gekündigt. Laut SCHUFA betraf der Betrug in diesem Fall mehr als 60 Personen.

Der Betrug ist selten sofort sichtbar. Die Opfer erfahren häufig erst von der Tat, wenn eine Mahnung, ein Inkassobrief oder eine abgelehnte Karte im Alltag auftaucht. Die SCHUFA weist außerdem darauf hin, dass Betroffene in der Beweispflicht sind: Sie müssen belegen, dass sie die Ware nicht bestellt haben, und das kann einige Wochen dauern. Je früher Sie den Missbrauch bemerken, desto kleiner ist der Schaden.

Auf welchen Wegen kommen Täter an Ihre Daten?

Täter nutzen digitale und analoge Wege gleichzeitig, und viele davon lassen sich mit einfachen Gewohnheiten schließen. Die folgende Tabelle ordnet die häufigsten Wege und nennt das jeweils wirksamste Gegenmittel.

Weg	So funktioniert er	Wirksames Gegenmittel
Phishing	Gefälschte E-Mails, SMS oder Bankseiten bringen Sie dazu, Zugangsdaten selbst einzugeben (BSI, Polizei)	Keine Links aus unerwarteten Nachrichten, Adresse selbst eintippen, Zwei-Faktor-Login
Schadprogramme	Trojaner lesen Zugangsdaten aus (BSI)	Updates, Virenschutz, keine unbekannten Anhänge
Datenlecks	Gestohlene Datenbanken von Dienstleistern, die Sie kaum abwehren können (BSI)	Individuelle Passwörter, Leakchecker nutzen, Passwortmanager
Offene Profile	Doxing und öffentliche Angaben in Netzwerken, Karriere- und Dating-Portalen (BSI, Polizei)	Datensparsamkeit, Privatsphäre-Einstellungen prüfen
Gestohlene Dokumente	Ausweise und Pässe werden zur Identifikation genutzt (Polizei)	Verlust sofort melden, Online-Ausweisfunktion sperren
Falsche Anzeigen	Gefälschte Wohnungsinserate fordern Unterlagen ein (SCHUFA)	Nie Ausweis-Scans oder Gehaltsnachweise an Unbekannte senden
Papiermüll	Kontoauszüge, Kreditkartenbelege und Verträge werden im Altpapier gefunden (Verbraucherzentrale)	Sensible Papiere schreddern, mindestens P-4
Briefkasten und Klingelschild	Namen und Post liefern Angaben (Verbraucherzentrale nennt das Klingelschild)	Abschließbarer Briefkasten, Post zeitnah leeren

Warum Papiermüll mehr verrät, als man denkt

Der Papiermüll ist ein unterschätzter Weg, weil er kein technisches Wissen verlangt. Die Verbraucherzentrale Niedersachsen rät ausdrücklich, Dokumente mit sensiblen Daten vor der Entsorgung zu schreddern, da Kriminelle Papierabfälle gezielt nach Angaben durchsuchen. Eine Untersuchung der Universität Freiburg, die die Fachzeitschrift CIO zitiert, fand in 1.135 privaten Abfallbehältern unter anderem 540 Kontoauszüge, 519 Kreditkartenbelege, 210 Unterschriften und 40 PINs und TANs. Das sind Datensätze, mit denen sich Überweisungen fälschen oder Verträge unterschreiben lassen.

Zerkleinern allein reicht nicht, die Stufe muss stimmen. Die Norm DIN 66399 beschreibt für Papier sieben Sicherheitsstufen. Bei der niedrigen Stufe P-2 dürfen Partikel bis zu 800 mm² groß sein, ein A4-Blatt (62.370 mm²) zerfällt dann in mindestens rund 78 Teile. Bei P-4 liegt die Obergrenze bei 160 mm², das ergibt rund 390 Teile, bei P-5 mit 30 mm² rund 2.080. Der Landesdatenschutzbeauftragte Mecklenburg-Vorpommern weist darauf hin, dass bei niedrigen Stufen eine Rekonstruktion mit erheblichem Aufwand möglich sein kann, und hält die Stufen 1 und 2 für personenbezogene Daten für ungeeignet. Für Kontoauszüge, Verträge und Gehaltsabrechnungen empfehlen wir deshalb mindestens P-4. Welche Stufe zu welchem Dokument passt, erklärt unser Ratgeber zu den Sicherheitsstufen nach DIN 66399.

Wie schützen Sie sich vor Identitätsdiebstahl?

Der beste Schutz besteht darin, möglichst wenig Angriffsfläche zu bieten. Das BSI nennt Datensparsamkeit selbst als wirksamste Vorbeugung: Geben Sie persönliche Angaben nur dort preis, wo sie nötig sind. Die folgenden Maßnahmen lassen sich in drei Gruppen gliedern.

Digitale Konten absichern

• Verwenden Sie für jedes wichtige Konto (E-Mail, Bank, Shops, soziale Netzwerke) ein eigenes, starkes Passwort und verwalten Sie es mit einem Passwortmanager.
• Aktivieren Sie die Zwei-Faktor-Authentisierung, wo immer sie angeboten wird.
• Prüfen Sie mit den Leakcheckern der Universität Bonn und des Hasso-Plattner-Instituts, ob Ihre Zugangsdaten bereits veröffentlicht wurden. Das BSI verweist auf diese Dienste.
• Öffnen Sie Anhänge nur von vertrauenswürdigen Absendern und halten Sie Geräte und Browser aktuell.
• Prüfen Sie Kontoauszüge und Online-Konten regelmäßig auf ungewöhnliche Buchungen, wie es auch die Polizei empfiehlt.

Dokumente und Ausweise schützen

• Senden Sie niemals Ausweisscans, Gehaltsnachweise oder SCHUFA-Auskünfte an unbekannte Personen. Das rät die SCHUFA ausdrücklich.
• Wenn eine Stelle eine Ausweiskopie verlangt, beachten Sie § 20 Abs. 2 PAuswG: Die Kopie muss eindeutig und dauerhaft als Kopie erkennbar sein, und andere Personen als der Inhaber dürfen sie nicht an Dritte weitergeben. Schwärzen Sie, was die Stelle nicht braucht.
• Zahlen Sie niemals per Vorkasse an Unbekannte und nutzen Sie nur sichere Zahlungswege (SCHUFA).
• Bewahren Sie die Geheimzahl für die Online-Ausweisfunktion nie zusammen mit dem Ausweis auf (§ 27 Abs. 2 PAuswG).

Papier und Post im Griff behalten

• Schreddern Sie Kontoauszüge, Rechnungen, Verträge, Versicherungsbriefe und Steuerunterlagen, bevor sie ins Altpapier gehen. Wie lange Sie sie vorher aufheben müssen, erklären die Beiträge zu den Aufbewahrungsfristen und zu Kontoauszügen.
• Machen Sie auch Bank- und Kreditkarten unbrauchbar, bevor Sie sie entsorgen. Wie das geht, steht in unserem Beitrag Kreditkarte entsorgen.
• Sorgen Sie für einen abschließbaren Briefkasten und leeren Sie ihn zeitnah, besonders vor einem Umzug oder nach einem Vertragswechsel.
• Räumen Sie alte Datenträger leer, bevor Sie sie weitergeben oder wegwerfen (Festplatte sicher löschen).

Erste Hilfe: Was tun bei Identitätsdiebstahl?

Handeln Sie schnell und dokumentieren Sie jeden Schritt, denn Fristen und Beweislage entscheiden über den Schaden. Die folgende Reihenfolge ist eine Zusammenfassung der Empfehlungen von Polizei, BSI, SCHUFA und Verbraucherzentrale, ergänzt um die gesetzlichen Fristen.

1. Beweise sichern. Speichern Sie E-Mail-Verkehr, machen Sie Screenshots von Webseiten und bewahren Sie Briefe, Mahnungen und Rechnungen auf. Die SCHUFA nennt dies als Erste Hilfe bei Betrugsverdacht. Machen Sie geleistete Zahlungen rückgängig, wenn das noch möglich ist.
2. Bank und Zahlungsdienste informieren. Melden Sie nicht autorisierte Zahlungen sofort. Bei verlorenen oder gestohlenen Karten sperren Sie diese über den Sperr-Notruf 116 116, sofern Ihr Kartenherausgeber angeschlossen ist. Nach § 675u BGB muss die Bank einen nicht autorisierten Zahlungsvorgang unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach Ihrer Anzeige. Haften müssen Sie bei missbräuchlicher Nutzung eines Zahlungsinstruments höchstens mit 50 Euro (§ 675v BGB), außer bei Betrugsabsicht oder grober Fahrlässigkeit. Zeigen Sie Missbrauch unverzüglich an, spätestens 13 Monate nach der Belastung (§ 676b BGB).
3. Zugänge sichern. Ändern Sie Passwörter, zuerst das des E-Mail-Kontos, und aktivieren Sie die Zwei-Faktor-Authentisierung. Für gehackte E-Mail-Konten bietet das BSI einen Notfallplan an.
4. Anzeige erstatten. Erstatten Sie laut Verbraucherzentrale für jeden Einzelfall umgehend Anzeige bei der Polizei, auch online über die Onlinewachen der Länder. Die Anzeige hilft Ihnen später, Forderungen zurückzuweisen.
5. Forderungen schriftlich zurückweisen. Teilen Sie Firmen, die Rechnungen oder Mahnungen schicken, schriftlich mit, dass Sie Opfer eines Identitätsmissbrauchs sind, und legen Sie die Anzeige bei. Widersprechen Sie einem Mahnbescheid innerhalb von zwei Wochen nach Zustellung (§ 692 ZPO), sonst kann das Gericht auf Antrag einen Vollstreckungsbescheid erlassen (§ 699 ZPO).
6. Auskunfteien einbinden. Fordern Sie eine kostenlose Selbstauskunft bei der SCHUFA und anderen Auskunfteien an und prüfen Sie die Einträge. Nach eigener Darstellung bietet die SCHUFA einen kostenlosen Service für Opfer von Identitätsmissbrauch: Betroffene können sich melden und mit einem speziellen Eintrag vor Wiederholungsbetrug schützen lassen. Auch CRIF Bürgel bietet laut Verbraucherzentrale eine Meldemöglichkeit.
7. Ausweis und Karten klären. Wurde ein Ausweis gestohlen oder haben Täter Ihre Papiere, lassen Sie den Ausweis und die Online-Ausweisfunktion sperren. Der Verlust ist nach § 27 PAuswG unverzüglich der Personalausweisbehörde anzuzeigen.
8. Umfeld informieren. Warnen Sie Freunde und Familie, wenn Ihr E-Mail-Konto gehackt wurde oder ein falsches Profil in Ihrem Namen auftaucht, und melden Sie das Profil dem Betreiber.

Was Sie im Verdachtsfall besser unterlassen

Drei Reaktionen verschlimmern den Schaden häufig. Erstens: aus Ärger oder Angst vor Inkasso bezahlen, obwohl die Forderung nicht von Ihnen stammt. Wer zahlt, riskiert, die Forderung faktisch zu bestätigen, und bekommt das Geld nur schwer zurück. Zweitens: Mahnbescheide ignorieren, weil sie offensichtlich falsch sind. Gerade dann droht nach Ablauf der Widerspruchsfrist ein Vollstreckungsbescheid. Drittens: auf angebliche Helfer reagieren, die gegen Vorauszahlung die Löschung von Einträgen versprechen. Die Korrektur falscher Einträge erfolgt über die Auskunftei und den Gläubiger, nicht über Dritte.

Prüfen Sie außerdem, ob eine Rechnung überhaupt echt ist. Die Verbraucherzentrale weist darauf hin, dass nicht jede Rechnung authentisch ist. Die SCHUFA warnt selbst vor betrügerischen E-Mails, die auf drohende negative SCHUFA-Einträge hinweisen oder zum Begleichen angeblich offener Forderungen auffordern.

Dauerhaft vorbeugen: Eine kleine Routine genügt

Identitätsschutz ist keine einmalige Aktion, sondern eine Gewohnheit. Planen Sie monatlich einen festen Termin ein: Kontoauszüge und Online-Konten durchsehen, Passwortmanager auf Warnungen prüfen, Postberge sichten und alles Sensible mit passender Stufe schreddern. Einmal im Jahr lohnt sich zusätzlich der Blick in die eigene SCHUFA-Auskunft. Wer so vorgeht, bemerkt Auffälligkeiten früh und nimmt Tätern den leichtesten Zugriff, nämlich das, was achtlos im Müll landet. Zusätzliche Hinweise zur richtigen Entsorgung finden Sie im Beitrag Geschreddertes Papier entsorgen.