Internetkriminalität. Peter Hirsch

      II. Identitätsdiebstahl

II. Identitätsdiebstahl

      Inhaltsverzeichnis

       1. Phänomenbeschreibung

       2. Strafrechtliche Relevanz

       3. Zivilrechtliche Relevanz

       4. Checkliste für die Ermittlungspraxis

       5. Präventionsmaßnahmen

      II. Identitätsdiebstahl › 1. Phänomenbeschreibung

1. Phänomenbeschreibung

Die Identität umfasst alle Attribute, die einem Menschen zweifelsfrei zuzuordnen sind und deshalb geeignet sind, immer wieder auf eine Person hinzuführen, diese unverwechselbar zu machen. Der Leitfaden der BITKOM zu Webidentitäten[1] definiert die Identität als „eine in ihrem Verwendungskontext eindeutige, wiedererkennbare Beschreibung einer natürlichen oder juristischen Person oder eines Objektes, die sich aus Attributen und einem Identitätsbezeichner zusammensetzt“. Dabei kann es sich beispielsweise um Name, Geburtsdatum, Adresse, Konto- oder Kreditkartennummern, Steuer- oder Sozialversicherungsnummern oder um biometrische Daten, Bilder sowie Handschriften handeln. Mit diesen Merkmalen ist eine natürliche oder juristische Person eindeutig bestimmbar. Gleichzeitig grenzt sie sich damit von anderen ab.

      Die Identität kann jedoch nicht nur in der analogen Welt eingesetzt werden, sondern auch in der digitalen. Hierfür kann sich der Nutzer auch mehrere Identitäten generieren und sich damit im Netz bewegen. Ausreichend hierfür sind ein Benutzername und ein Passwort. Über die Registrierung einer natürlichen oder juristischen Person beispielsweise in einem Webshop oder einer Bank, für die Benutzername und Passwort erfasst sind, ist auch hier eine individuelle Zuordnung möglich. Die Nutzung dieser digitalen Identität reicht dabei vom Einsatz entsprechend des menschlichen Lebens (Banking, Einkaufen/Verkaufen) bis hin zum Aufbau einer Parallelwelt, in der nicht nur Onlinerollenspiele gespielt werden, sondern tatsächlich darin gelebt wird. Beiden gemein ist die Identifizierungsmöglichkeit über die Zuordnung eines Datensatzes zu einer natürlichen oder juristischen Person.

Der Begriff Identitätsdiebstahl wird uneinheitlich ausgelegt. Dem Wortsinn nach ist Diebstahl die Wegnahme einer (fremden beweglichen) Sache, der Identitätsdiebstahl demnach das Aneignen der oben beschriebenen persönlichen Merkmale, die den Schluss auf nur eine Person zulassen. In der Literatur wird aber die Wegnahme immer wieder mit dem Einsatz der gestohlenen Daten vermengt. D. Schneider versteht in seiner Seminararbeit unter Identitätsdiebstahl „die missbräuchliche Nutzung personenbezogener Daten durch Dritte“.[2] G. Borges u. a. hingegen sehen den „Identitätsdiebstahl“ als Vorgang zur Erlangung der Daten. Kommen die illegal erlangten Daten zum Einsatz, wird das von den Autoren als „Identitätsmissbrauch“ bezeichnet.[3] So steht der Begriff „Identitätsdiebstahl“ als Oberbegriff für unterschiedliche Begehungsformen. Der „Identitätsmissbrauch“ bezeichnet den unbefugten Einsatz der erlangten Daten. Für die polizeiliche Praxis macht es Sinn, die beiden Vorgänge ebenfalls zu trennen. Bestimmte Formen des Identitätsdiebstahls sind nicht strafbewehrt. Werden Identitäten erlangt, ist es von Bedeutung, wie sie erlangt wurden, um einen eindeutigen Schuldvorwurf erheben zu können. Dasselbe gilt für den Einsatz der Daten: Wie und wo wurden sie eingesetzt, was wurde damit erreicht und liegt ggf. ein neuer Tatentschluss für den Einsatz vor?

      Die Motivation, die Identität einer anderen Person anzunehmen, ist vielschichtig. Hauptzielrichtungen sind die Schädigung des Vermögens des Opfers und die Diskreditierung der Person, deren Identität verwendet wird. So können auf den Namen eines anderen Waren im Onlinehandel bestellt oder bei Onlineauktionen ersteigert werden. Während die Rechnung an den Geschädigten geht, wird die Warensendung vom Täter entweder in einer Paketstation abgeholt, die zuvor mit den gestohlenen Personalien angemietet wurde. Oder sie wird an einen (gutgläubigen) Warenagenten gesandt, der sie entgegennimmt, umpackt und neu versendet.

      Möglich ist auch die Einrichtung eines Fake-Accounts. Über diesen können dann quasi im Namen des Opfers beispielsweise Beleidigungen, sexuelle Anspielungen oder Unwahrheiten – auch unterstellte strafrechtliche Begebenheiten – über dritte Personen verbreitet werden. Nicht unüblich ist neben der Einrichtung eines E-Mail-Accounts mit entwendeten Namen der gleichzeitige Diebstahl des elektronischen Adressbuches derselben Person. Im Anschluss wird über Mail an alle im Adressbuch verzeichneten ein Hilfeaufruf versandt. Inhalt der Nachricht kann beispielsweise der Diebstahl des Reisegepäcks zusammen mit Pass und Bargeld am Urlaubsort sein. Deshalb werden „die lieben Freunde“ gebeten, über ein elektronisches Zahlungsmittelsystem (z. B. Ukash) einen bestimmten Betrag anzuweisen, um die ersten Tage bis zur Ausstellung neuer Dokumente zu überbrücken.

      Auch gebräuchlich ist die Einrichtung eines falschen Profils in sozialen Netzwerken. Hierüber läuft dann die vertrauliche Kommunikation unter dem Namen des Opfers. Zielrichtung ist die Erlangung von neuen Informationen über potentielle weitere Opfer oder auch die Diskreditierung des Geschädigten bei seinen Netzwerkfreunden. Erschwerend kommt insbesondere auch bei diesem Täterverhalten hinzu, dass gepostete Texte und Bilder eine schnelle, unkontrollierbare Verbreitung finden und eine Löschung im Netz so gut wie ausgeschlossen ist.

      An die Identität seiner Opfer gelangt der Täter beispielsweise durch „dumpster diving“. So kann bei Banken der Papiermüll neben den Kontoauszugsdruckern oder Abfalleimer bei Großhandelsunternehmen durchsucht werden. Regelmäßig finden sie dort Kontoauszüge mit Namen und den entsprechenden Kontodaten. Während ein Blick ins Telefonbuch oder auf die Internetseite eines Telefonauskunftsanbieters oftmals die passende Adresse zum Namen bietet, ist die vollständige Anschrift ggf. mit Kundennummer auf der Kassenabrechnung schon aufgedruckt. Da bei der Registrierung zum Beispiel bei einem Einkaufsportal im Onlineverfahren nur die Bankverbindung auf Schlüssigkeit und Gültigkeit überprüfbar sind, kann sich der Täter ein ggf. bei der Anmeldung notwendiges Geburtsdatum ausdenken.

      Eine technische Variante, Identitäten zu entwenden, ist die Verwendung von Malware. Nach deren Installation werden alle auf dem Rechner gespeicherten Benutzerdaten und Kennwörter in automatisierter Form an die Täterschaft weitergeleitet. Hierzu werden auf dem „Dark Market“ im Internet Toolkits angeboten. In diesen müssen