Identitätsdiebstahl: Hilfe für Betroffene

Was kann ich als Betroffener eines Datenleaks tun?

Wenn Sie begründeten Verdacht haben, dass sich unbefugte dritte Zugriff auf eines oder mehrere Online-Konten verschafft haben, um zum Beispiel Ihre persönlichen oder sensible Daten zu entwenden, empfiehlt das BSI, folgende Schritte bei einem Identitätsdiebstahl durchzuführen:

• Verschaffen Sie sich einen Überblick: Überprüfen Sie in einem ersten Schritt, welche Ihrer Online-Konten von einem Identitätsdiebstahl betroffen sind oder betroffen sein könnten?
• Reihenfolge festlegen: Priorisieren Sie daraufhin Ihre Online-Accounts nach dem Kriterium, ob Sie diese für die Wiederherstellung von Passwörtern anderer Online-Konten benötigen oder nicht. Denn die Reihenfolge, mit der Zugangsdaten verschiedener Accounts geändert werden, ist entscheidend.
• Ändern Sie daraufhin der Reihe nach die Passwörter:
• Starten Sie mit den Accounts, die Sie für das Zurücksetzen von Passwörtern verwenden. Meistens sind dies Ihre E-Mail-Postfächer.
• Ändern Sie im Anschluss die Passwörter von Online-Profilen, die Sie für „Single-Sign-On“ verwenden. Ein Beispiel hierfür ist Facebook, dessen Account verwendet wird, um sich bei anderen Diensten anzumelden.
• Anschließend setzen Sie in loser Folge die restlichen Accounts, die von einem Identitätsdiebstahl betroffen sind, zurück.
• Führen Sie diesen Schritt nicht nur für Accounts durch, die vom Datenleak betroffen sind, sondern alle, die Sie mit denselben Passwörtern benutzten, oder deren Passwort-Zurücksetzen-Funktion auf ein kompromittiertes Postfach verweist.
• Verwenden Sie für jeden Account ein unterschiedliches und starkes Passwort.
• Es ist empfehlenswert, die Änderung der Passwörter in einem Zug durchzuführen. Minimieren Sie so die Zeit, in der unbefugte Dritte Ihnen zuvor kommen und den Zugriff auf Ihre Konten behalten.
• Kontrollieren Sie abschließend, ob in Ihren Online-Konten Einstellungen verändert worden sind. Kritisch wären zum Beispiel automatische Weiterleitungen von Nachrichten an aus Ihrer Sicht fremde E-Mail-Adressen oder ergänzte Rückfalloptionen wie Telefonnummern zum Zurücksetzen von Passwörtern. Korrigieren Sie diese Einstellungen.
• Beobachten Sie im Anschluss Ihre Online-Konten. Wenn Ihnen keine seltsamen Informationen mehr auffallen, ist davon auszugehen, dass der Fremdzugriff aufgehört hat.
• Informieren Sie zudem Ihre Kontakte über Ihre Vermutung oder Ihre verifizierte Betroffenenheit – am besten telefonisch. Idealerweise führt dann auch Ihr Freundes- und Bekanntenkreis die oben benannten Schritte durch.

Wie kann ich den Täter anzeigen?

Strafanzeigen geben Sie bei der Polizei auf. Nehmen Sie idealerweise direkt Screenshots sowie umfängliche Informationen mit, um den Fall möglichst genau zu schildern.

Wenn Ihnen trotz aller Vorsichtsmaßnahmen Mahnungen mit Briefpost zugestellt werden, sollten Sie in Betracht ziehen, einen Anwalt einzuschalten. Das BSI kann Ihnen keine rechtlichen Empfehlungen aussprechen. Inkassounternehmen und Rechtsanwälte können Ihr Konto nicht pfänden, bei einem gerichtlichen Mahnbescheid müssen Sie jedoch auf jeden Fall rasch handeln.

• Mahnungen in Form einer E-Mail sind mit großer Wahrscheinlichkeit gefälscht und sollten in der Regel umstandslos gelöscht werden. Schon eine Antwort wie „Ich habe bei Ihnen nichts bestellt“ bestätigt den Online-Kriminellen, dass Ihre E-Mail-Adresse genutzt wird. Das ist eine Einladung, Ihnen weitere unerwünschte Post zukommen zu lassen.
  Fragen Sie im Zweifel nach, vertrauen Sie dabei jedoch nicht blind den Kontaktdaten, die in der E-Mail stehen.
• Bei Verlust Ihres Kontos, Ihrer Kreditkarte oder Ihrer Zugangsdaten für zum Beispiel Paypal informieren Sie sofort alle betroffenen Geldinstitute. Zudem werden Sie möglicherweise schon aus versicherungsrechtlichen Gründen eine Anzeige erstatten müssen. Nur wenn Sie schnell handeln, können Sie Ihren finanziellen Schaden begrenzen.
• Hat jemand Zugang zu Ihrem E-Mail-Konto oder kann sich jemand zum Beispiel auf Facebook als Sie ausgeben, benachrichtigen Sie den Diensteanbieter, damit Ihr Konto gesperrt wird. Wenn Sie (entgegen unserer Empfehlung) dasselbe Passwort, das Sie für den gekaperten Dienst benutzen, auch für andere Dienste verwenden: Ändern Sie bei diesen Diensten sofort Ihr Passwort. Möglicherweise ist es sinnvoll, Freunde oder Kunden darüber in Kenntnis zu setzen, dass eventuelle kompromittierende Nachrichten nicht von Ihnen stammen.
• Als Opfer eines Identitätsdiebstahls gehören Sie einer sehr großen und wachsenden Gruppe an. Sie sind also nicht dümmer als andere. Versuchen Sie trotzdem, Schlussfolgerungen aus dem Schaden zu ziehen. Wo waren Sie möglicherweise doch zu nachlässig? Was können Sie noch tun, damit Online-Kriminelle nicht erneut erfolgreich werden? Wenn Sie Freunden und Kollegen von Ihren Erfahrungen berichten, werden diese Schutzmaßnahmen womöglich eher beherzigen, als wenn diese nur an anonymen Stellen zu finden sind – Stellen wie dieser.

Quelle: BSI