Cyberkriminalität Kriminelle kapern immer mehr Identitäten von Bielefeldern im Internet

Bielefeld. Erst waren es irritierende Rechnungen, für die Sandra W. (Name geändert) keine Erklärung hatte. Sie soll wertvolle Waren bestellt haben – Lederjacken, Computer- und Unterhaltungselektronik sowie Handtaschen. Dann kamen Mahnungen und Inkasso-Schreiben hinzu. Als auch noch Handyprovider ihre angeblich in Auftrag gegebenen Handyverträge ablehnten, wurde der Bielefelderin angst und bange. Sie kam mit ihren Widersprüchen gar nicht mehr hinterher. Schließlich erhielt die Bielefelderin sogar Post von der Staatsanwaltschaft. Sie wirft der 42-Jährigen Warenkreditbetrug vor. &bdquo;Ich fiel aus allen Wolken“, sagt Sandra W., &bdquo;ich hatte keinen Schimmer, woher all die Rechnungen kamen. Aber für mich war klar, dass ich hier Opfer eines Betrugs geworden bin.“ Doch nun ermittelten die Behörden gegen sie. Wie sich später herausstellte, hatte der Täter die Waren an ein Geschäft in der Nähe des Wohnorts liefern lassen und dort unter Vorlage einer gefälschter Vollmacht abgeholt. ID-Diebstahl Markus Tomanek, Cybercrime-Experte der Kripo Bielefeld, kennt viele solcher Geschichten. Sandra W. wurde Opfer eines sogenannten Identitätsdiebstahls – oder besser gesagt: eines Identitätsmissbrauchs. &bdquo;Kriminelle haben ihre persönlichen Daten gestohlen. Name, Geburtsdatum, Anschrift. Mehr brauchen die Täter meist nicht.“ Damit können sie unter dem falschen Namen Kundenprofile anlegen, Streaming-Abos abschließen, bei kostenpflichtigen Dating-Portalen anmelden, neue Handyverträge abschließen und eben im Internet teuer einkaufen. Noch schmerzhafter kann es werden, wenn zusätzlich zu den Adressdaten noch Kreditkarten- oder Kontodaten im Spiel sind. Dann geht es sehr schnell an die eigenen Ersparnisse. Betrug als Dienstleistung Der Anstieg dieser Form der Internetkriminalität liegt in den vergangenen Jahren im zweistelligen Bereich. Seitdem diese Art des Betrugs zu einer Art Hacker-Dienstleistung geworden ist – Experten sprechen von &bdquo;Crime as a Service“ – explodieren die Fallzahlen. &bdquo;Die Täter kaufen die benötigten Daten wie in einem Online-Kaufhaus und müssen dann nur noch loslegen“, erklärt der Fachinformatiker vom Kriminalkommissariat Prävention und Opferschutz (KPO). &bdquo;Dabei gibt es wie im seriösen Online-Handel auch ein Bewertungssystem, je nach Alter und Beschaffenheit der angebotenen Daten.“ Bielefelderin erlebt nach dem Identitätsdiebstahl, wie Täter plötzlich unter ihrem Namen Dinge bei Ebay verkaufen Gekaperte Profile Auch Lena R. (Name geändert) erlebte den Diebstahl ihrer Identität und konnte quasi den Tätern dabei zusehen. &bdquo;Wir waren in den Umzugsvorbereitungen und ich verkaufte gerade mehrere Dinge bei Ebay Kleinanzeigen.“ Eines Tages bemerkte die Bielefelderin zu ihrem Erstaunen, dass sie ein Fahrrad, einen Fahrrad-Autoträger und eine Einbauküche verkaufen würde. &bdquo;Das gehörte mir alles gar nicht. Die Fotos der Angebote waren offensichtlich aus dem Internet, der Preis ziemlich überzogen.“ R. wollte sofort die Angebote löschen. Doch sie konnte sich gar nicht mehr bei ihr Konto anmelden. Kriminelle hatten ihr Profil &bdquo;gekapert“. &bdquo;Es hagelte bereits schlechte Bewertungen, ich wurde beleidigt und mir wurde Betrug vorgeworfen. Ich konnte nicht mal darauf antworten. Auch das machte nun der Unbekannte.“ Zum Glück reichte eine Meldung beim Anbieter, der den Fall prüfte und den Betrug wenig später bestätigte. Woher kommen die Daten? Die Herkunft der Personen-, Adress- und Profildaten kommen auf verschiedene Wege an die Kriminellen, sagt Tomanek. &bdquo;Immer professioneller gewordene Phishing-Mails spielen genauso eine große Rolle wie Datenlecks großer Internet-Firmen“, sagt der Kripo-Fachmann. Auch klassische Trojaner und gehackte E-Mail-Postfächer sind mögliche Quellen. Jüngste Datenlecks bei Internet-Riesen wie Twitter, Facebook und Co. haben Kriminellen zudem Zehntausende Daten mit Namen, Adressen und teilweise Handynummern beschert. Vorsicht bei der Jobsuche &bdquo;Aber auch scheinbar attraktive Job-Angebote führen dazu, dass Interessenten ganze Stammdatenblätter abgeben“, sagt Tomanek. Das passiere bei betrügerischen Internetanzeigen genauso wie bei altherkömmlichen. Das sogenannte Job-Scamming sei auch ein Weg, um sogar an Kontodaten zu kommen. Den Jobbern werde suggeriert, sie würden eine neue Video-Identifizierungs-Software testen. Dabei liefern sie den Tätern bei ihren vermeintlichen &bdquo;Tests“ ihre eigenen Ausweisdaten. Facebook-Kopie Andere Täter nutzen die in sozialen Medien greifbaren Informationen und Fotos, um die Profile ihrer Opfer nachzubauen: &bdquo;Die Täter schicken dann an die sichtbaren Freunde des Opfers neue Freundschaftsanfragen“erklärt Tomanek. &bdquo;Weil die Profile zumindest auf den ersten Blick echt wirken, werden diese Anfrage oft angenommen.“ Damit sei dann ein Vertrauensverhältnis ergaunert, dass die Täter irgendwann später nutzten, um den Facebook-Freund um einen Gefallen zu bitten. Das Handy sei defekt und der Freund solle ihm doch kurz den Code weitergeben, den er nun an sein Handy geschickt habe. &bdquo;Dieser Code ist ein Bezahlcode und wird über die Handyrechnung abgebucht.“ Das sind die Ratschläge für ein wirklich sicheres Passwort im Internet Wie schütze ich mich? Markus Tomanek sieht die größte Schwachstelle aufseiten der User bei ihren Passwörtern. 2022 waren laut Hasso-Plattner-Institut die beiden meistverwendeten Passwörter der Deutschen &bdquo;123456“ und &bdquo;123456789“, betont Tomanek. Unter den Top-10 auch &bdquo;password“, &bdquo;hallo“ und &bdquo;passwort“. Zum Glück hätten viele Plattformen längst Vorgaben, die solche Codes nicht mehr erlaubten. Dennoch müsse man angesichts von Datenlecks, die der einzelne User nicht verhindern kann, auch wissen: Eine absolute Sicherheit gibt es nicht. Passwort-Manager Die größte Schwierigkeit sei es, sich die guten, kryptischen Passwörter zu merken. Denn jedes Passwort sollte nur für ein Konto verwendet werden. &bdquo;Wer für jedes seiner Profile den identischen Code benutzt, der öffnet bei einem Datenleck den Kriminellen alle Türen.“ Deshalb rät der Bielefelder Kripo-Experte zu einem Passwort-Manager. Das sind Programme, die sich für jedes Benutzerkonto ein individuelles und vor allem sicheres Passwort merken. &bdquo;Um den Manager anzuwenden, muss ich mir nur noch ein kompliziertes Master-Passwort merken. Die viel komplizierteren Geheimcodes sind dann hinter diesem Master hinterlegt und können mit diesem einen freigegeben werden.“ Kann man denn der Sicherheit dieser Manager vertrauen? Das Bundesamt für Sicherheit in der Informationstechnik rät zum Einsatz eines solches Managers, gibt aber auch zu bedenken, dass bei einem Diebstahl alle Passwörter auf einmal weg wären. Tomanek rät dazu, bei der Auswahl auf objektive Tests zu setzen – etwa von Stiftung Warentest. Im Idealfall sollte der Manager mit der heute beim Online-Banking obligatorischen Zwei-Faktor-Authentifizierung gesichert sein. Browser-Passwort Auch die Computer-Browser auf dem Rechner zu Hause sammeln auf Wunsch Passwörter, damit man wenigstens dort nicht ständig Geheimcodes eintippen müsse. &bdquo;Doch wenn auf diesem Rechner eine Schwachstelle existiert, wird es gefährlich“, sagt Tomanek. Deshalb rät er auch hier zu einem Masterpasswort. Eine solche Vorabfrage bieten Hilfsprogramme der Browser (&bdquo;Add-ons“), die man zusätzlich installieren könne. Passwort vergessen Eine Bielefelderin meldete dem Cybercrime-Experten neulich, dass sie sich ihre Passwörter gar nicht mehr merke. Sie klicke grundsätzlich auf &bdquo;Passwort vergessen“ und dann bekäme sie ein neues zugemailt. &bdquo;Deshalb sind E-Mail-Konten ganz besonders zu schützen“, rät der Fachmann. Zumal der Kontoname meist einfach nur die E-Mail-Adresse sei. Sicherer Code Sein Ratschlag für ein sicheres Passwort lautet: mindestens zehn Zeichen, kryptische Folge von Buchstaben, Ziffern und Sonderzeichen, keine Worte verwenden, nicht personalisiert, für jeden Account ein individuelles Passwort, wenn möglich Zwei-Faktor-Authentifizierung, Passworte regelmäßig (alle drei Monate) tauschen. Der Schaden Für die Opfer ist der Schaden oft nicht sofort erkennbar. Um Verluste oder sogar juristische Konsequenzen abzuwenden, sollte man jeden einzelnen Betrug polizeilich anzeigen. Doch wann der Horror endet, sei unbekannt, sagt Tomanek: &bdquo;Nach einem Einbruch, weiß ich meistens, was gestohlen wurde und ob der Täter weg ist. Bei einem Datendiebstahl kann es Jahre dauern, bis die Täter zuschlagen.“ Die gestohlenen Daten müssen nicht sofort Verwendung finden. Auch bleiben sie ja in den kriminellen Netzwerken weiter im Umlauf. Täter könnten also immer wieder zuschlagen. Im Fall von Sandra W. konnte die Bielefelderin mit viel Aufwand persönlichen Schaden abwenden. Trotzdem kam später noch ein Schufa-Problem dazu: &bdquo;Weil der Betrüger Rechnungen platzen ließ, hatte ich negative Einträge. Ich konnte plötzlich keinen neuen Handyvertrag mehr abschließen.“ Um solche Probleme zu beheben, bieten Bonitätsauskunfteien wie die Schufa Formulare an, um sich als Opfer von Identitätsbetrug eintragen zu lassen. Bei einer Anfrage eines Unternehmens erhalten diese dann einen Hinweis auf den ID-Diebstahl und können prüfen, ob es sich bei der aktuellen Anfrage erneut um Kriminelle handelt oder um die echte Person. Bin ich von einem Datenleck betroffen? Wer wissen möchte, ob seine Profildaten samt E-Mail-Adresse in einem der bekannten Datenlecks geleakt wurde, kann dies auf der Seite des Hasso-Plattner-Instituts prüfen lassen. Dazu muss man seine E-Mail-Adresse angeben und erhält kurz darauf eine Übersicht über die Art der Daten, die in den vergangenen Jahren zu dieser E-Mail-Adresse gestohlen wurden. Zum Thema: Verbraucherzentrale: Welche Folgen Identitätsdiebstahl hat Stiftung Warentest: Passwort-Manager im Test Die Sparkasse: So schützen Sie sich vor Identitätsdiebstahl

Mehr zum Thema