Identitätsdiebstahl: Was nach dem Missbrauch persönlicher Daten zu tun ist
von belmedia Redaktion -schweizweit Allgemein Alltag business24.ch businessaktuell.ch Digitalisierung elterntipps.ch hometipp.ch Inspiration Lifestyle Magazine nachrichtenticker.ch News Prävention Regionen Schweiz Sicherheit Themen Tipps Ⳇ Verbreitung
Eine unbekannte Bestellung, eine Anmeldung im E-Mail-Konto aus einem fremden Land oder eine Rechnung für einen nie abgeschlossenen Vertrag: Identitätsmissbrauch zeigt sich oft erst, wenn bereits etwas geschehen ist. Dann zählt ein geordnetes Vorgehen. Wer Konten vorschnell löscht oder Nachrichten entfernt, kann wichtige Beweise verlieren. Wer zu lange wartet, riskiert weitere Buchungen, Bestellungen oder Nachrichten im eigenen Namen.
Der Begriff Identitätsdiebstahl umfasst unterschiedliche Situationen. Manchmal sind lediglich persönliche Angaben aus einem Datenleck bekannt geworden. In anderen Fällen übernehmen Kriminelle ein Online-Konto, eröffnen mit einer Ausweiskopie einen Zugang oder bestellen Waren unter fremdem Namen. Welche Schritte nötig sind, hängt deshalb davon ab, welche Daten betroffen sind und ob bereits ein konkreter Missbrauch erkennbar ist.
Zuerst klären: Daten bekannt oder Identität bereits missbraucht?
Name, E-Mail-Adresse und Telefonnummer können nach einem Datenleck in kriminellen Listen auftauchen. Das allein beweist noch nicht, dass bereits jemand einen Vertrag abgeschlossen oder ein Konto übernommen hat. Es erhöht jedoch das Risiko gezielter Phishing-Nachrichten. Besonders kritisch sind Kombinationen aus Geburtsdatum, Wohnadresse, Ausweiskopie, Unterschrift, Zugangsdaten und Angaben zu Bankkonten oder Kreditkarten.
Auf einen erfolgten Missbrauch weisen unter anderem folgende Anzeichen hin:
- Passwortänderungen oder Anmeldungen, die nicht selbst ausgelöst wurden
- unbekannte Zahlungen, Belastungen oder neue Zahlungsempfänger
- Bestellbestätigungen, Rechnungen oder Mahnungen fremder Unternehmen
- Nachrichten von Bekannten, die ungewöhnliche Bitten vom eigenen Profil erhalten haben
- Verträge, Mobilfunkanschlüsse oder Kundenkonten im eigenen Namen
- ein Zahlungsbefehl wegen einer unbekannten Forderung
Je mehr Angaben und Zugänge betroffen sind, desto breiter sollte die Reaktion ausfallen. Eine gestohlene Kreditkartennummer verlangt andere Sofortmassnahmen als ein vollständig übernommenes E-Mail-Konto. Das E-Mail-Konto verdient besondere Aufmerksamkeit, weil darüber häufig Passwörter weiterer Dienste zurückgesetzt werden können.
Die ersten Schritte: sichern, sperren und dokumentieren
Bevor Inhalte gelöscht werden, sollten Beweise gesichert werden. Dazu gehören Bildschirmfotos, vollständige E-Mails mit Absender und Zeitangabe, SMS, Kontobewegungen, Rechnungen, Paketankündigungen und Nachrichten von Plattformen. Auch die Webadresse einer gefälschten Seite ist relevant. Eine kurze Chronologie hilft später bei Gesprächen mit Banken, Unternehmen, Plattformen und der Polizei.
Ist eine Bankkarte, Kreditkarte, TWINT-Verknüpfung oder ein E-Banking-Zugang betroffen, muss der jeweilige Anbieter sofort über eine selbst recherchierte offizielle Telefonnummer oder über die App kontaktiert werden. Karten und Zugänge sollten gesperrt und unbekannte Transaktionen beanstandet werden. Die Fristen und Verfahren unterscheiden sich je nach Anbieter. Deshalb genügt es nicht, nur eine Anzeige zu erstatten und auf eine automatische Rückbuchung zu hoffen.
Auch der Mobilfunkanbieter kann wichtig sein. Funktioniert die eigene SIM-Karte plötzlich nicht mehr, obwohl kein technischer Grund erkennbar ist, könnte eine fremde Ersatz-SIM aktiviert worden sein. Dann sind der Anbieter und gegebenenfalls die Bank unverzüglich zu kontaktieren.
Konten in der richtigen Reihenfolge absichern
Passwörter sollten von einem vertrauenswürdigen, möglichst nicht kompromittierten Gerät aus geändert werden. Vorrang haben das zentrale E-Mail-Konto, Bank- und Zahlungsdienste, die Mobilfunkverwaltung sowie Konten, in denen Ausweis- oder Zahlungsdaten hinterlegt sind. Danach folgen soziale Netzwerke, Onlineshops und weitere Dienste.
Ein Passwort, das auch bei anderen Konten verwendet wurde, muss dort ebenfalls ersetzt werden. Für jedes Konto ist ein eigenes, langes Passwort nötig. Ein Passwort-Manager erleichtert die sichere Verwaltung vieler unterschiedlicher Zugangsdaten. Wo verfügbar, sollte zusätzlich die Zwei-Faktor-Authentifizierung aktiviert werden. Eine Authentifizierungs-App oder ein Sicherheitsschlüssel bietet meist einen stärkeren Schutz als ein zweiter Faktor per SMS.
Bei einem übernommenen Konto reicht ein neues Passwort allein nicht immer. In den Sicherheitseinstellungen sollten alle aktiven Sitzungen beendet, fremde Geräte entfernt und hinterlegte E-Mail-Adressen, Telefonnummern sowie Wiederherstellungsmethoden kontrolliert werden. Ebenso wichtig sind automatisch eingerichtete Weiterleitungen und Filter im E-Mail-Postfach. Kriminelle können damit Sicherheitswarnungen oder Rechnungen unbemerkt umleiten.
Ist der Zugang bereits verloren, muss das Wiederherstellungsverfahren des Anbieters genutzt werden. Freunde und Kontakte sollten über einen anderen Kanal gewarnt werden. Das ist besonders wichtig, wenn vom gekaperten Profil Geldforderungen, angebliche Investitionstipps oder Links versendet werden. Wie glaubwürdig solche Nachrichten wirken können, zeigt der Beitrag Phishing erkennen: So schützen Sie sich vor gefälschten SMS und E-Mails.
Anzeige erstatten und den Cybervorfall melden
Seit dem 1. September 2023 kennt das Schweizer Strafgesetzbuch mit Artikel 179decies einen eigenen Tatbestand des Identitätsmissbrauchs. Strafbar ist die Verwendung der Identität einer anderen Person ohne deren Einwilligung, wenn damit dieser Person geschadet oder ein unrechtmässiger Vorteil erlangt werden soll. Die Tat wird auf Antrag verfolgt und kann mit einer Freiheitsstrafe bis zu einem Jahr oder einer Geldstrafe geahndet werden. Je nach Vorgehen können weitere Straftatbestände hinzukommen.
Bei einem konkreten Missbrauch, einem finanziellen Schaden oder gefälschten Verträgen sollte Anzeige bei der Kantonspolizei erstattet werden. Zur Anzeige gehören die gesicherte Chronologie, Kontoauszüge, Rechnungen, Nachrichten, Webadressen und Angaben zu bereits kontaktierten Stellen. Weil Identitätsmissbrauch ein Antragsdelikt ist, sollte bei der Polizei ausdrücklich geklärt werden, dass neben der Anzeige auch der notwendige Strafantrag aufgenommen wird. Für den Strafantrag gilt grundsätzlich eine Frist von drei Monaten ab dem Zeitpunkt, an dem die antragsberechtigte Person den Täter kennt. Auch wenn der Täter noch unbekannt ist, sollte der Vorfall früh gemeldet werden.
Cybervorfälle und verdächtige Webseiten können zusätzlich über das Meldeformular des Bundesamtes für Cybersicherheit gemeldet werden. Phishing-Seiten lassen sich auch über antiphishing.ch melden. Das unterstützt die technische Einordnung und Bekämpfung der Masche, ersetzt jedoch keine polizeiliche Anzeige. Umgekehrt sperrt eine Anzeige keine Karte und beendet kein fremdes Online-Konto.
Unbekannte Verträge, Rechnungen und Zahlungsbefehle bestreiten
Eine Rechnung für einen nie getätigten Kauf sollte weder vorschnell bezahlt noch einfach weggeworfen werden. Das Unternehmen ist schriftlich darüber zu informieren, dass kein Vertrag abgeschlossen wurde und die Identität missbraucht worden ist. Sinnvoll sind eine klare Bestreitung der Forderung, das Aktenzeichen der Anzeige und die Aufforderung, Mahn- und Inkassoschritte auszusetzen. Dabei sollten nur die notwendigen Nachweise übermittelt werden. Eine vollständige Ausweiskopie gehört nicht unaufgefordert in eine gewöhnliche E-Mail.
Trifft ein Zahlungsbefehl ein, ist rasches Handeln nötig. Wer die Forderung bestreitet, kann grundsätzlich innerhalb von zehn Tagen nach Zustellung Rechtsvorschlag erheben. Der Rechtsvorschlag stoppt die Betreibung zunächst; die Gläubigerseite müsste anschliessend die Beseitigung des Rechtsvorschlags verlangen. Weil Fristen und der konkrete Fall entscheidend sind, kann eine Rechtsberatungsstelle oder eine Anwältin beziehungsweise ein Anwalt sinnvoll sein. Ein polizeiliches Aktenzeichen allein beseitigt einen Zahlungsbefehl nicht.
Betroffene können ausserdem bei relevanten Auskunfteien eine Selbstauskunft verlangen und fehlerhafte Angaben bestreiten. Welcher Dienst sinnvoll ist, hängt davon ab, wo der Missbrauch erfolgt ist. Wiederholte Kontrollen der Konto- und Kreditkartenabrechnungen sowie der Post sind in den folgenden Monaten ratsam.
Was bei einer missbrauchten Ausweiskopie zu tun ist
Wurde ein Ausweis gestohlen, verloren oder als Kopie an eine betrügerische Stelle übermittelt, sollte die zuständige kantonale Stelle beziehungsweise die Polizei kontaktiert werden. Ob ein Ausweis gesperrt oder ersetzt werden muss, hängt von der Art des Dokuments und vom konkreten Vorfall ab. Eine blosse Kopie lässt sich nicht technisch zurückholen. Die Meldung schafft jedoch einen dokumentierten Zeitpunkt und erleichtert es, spätere Vorgänge einzuordnen.
Unternehmen, bei denen eine missbräuchliche Kontoeröffnung vermutet wird, sollten gezielt informiert werden. Betroffene dürfen nach dem Datenschutzgesetz grundsätzlich Auskunft darüber verlangen, ob und welche Personendaten ein Unternehmen über sie bearbeitet. Eine solche Anfrage kann helfen, unzulässige Konten oder falsche Datensätze aufzudecken. Für die Durchsetzung komplexer Ansprüche kann rechtliche Beratung erforderlich sein.
Nicht jede Massnahme passt zu jedem Fall
Eine pauschale Komplettlöschung aller Konten ist selten der beste erste Schritt. Sie kann Beweise vernichten und die Wiederherstellung erschweren. Ebenso wenig ist es sinnvoll, aus Angst wahllos neue Ausweisdokumente oder Bankkonten zu beantragen. Die Massnahmen sollten sich an den tatsächlich betroffenen Daten und Diensten orientieren.
Eine einfache Prioritätenliste hilft:
- Geld in Gefahr: Bank, Kartenanbieter oder Zahlungsdienst sofort sperren lassen.
- E-Mail oder Mobilnummer betroffen: Zugang sichern, Sitzungen beenden und Wiederherstellungsdaten prüfen.
- Fremde Nachrichten oder Profile: Plattform melden und Kontakte über einen zweiten Kanal warnen.
- Verträge oder Forderungen: schriftlich bestreiten, Belege sichern und Fristen beachten.
- Konkreter Missbrauch oder Schaden: Polizei kontaktieren und Strafantrag besprechen.
- Phishing oder Cybervorfall: zusätzlich beim Bundesamt für Cybersicherheit melden.
Identitätsmissbrauch lässt sich nicht mit einem einzigen Passwortwechsel erledigen. Wer jedoch Beweise bewahrt, finanzielle Zugänge sofort sperrt, digitale Konten systematisch absichert und unberechtigte Forderungen schriftlich bestreitet, begrenzt den Schaden und schafft eine belastbare Grundlage für die weitere Klärung.
Video: Wie Identitätsdiebstahl funktioniert
Das Bundesamt für Sicherheit in der Informationstechnik erklärt, wie persönliche Daten für Identitätsdiebstahl genutzt werden und welche Schutzmassnahmen bei digitalen Konten wichtig sind.
Bildquellen: Titelbild: Symbolbild © Daniel de la Hoz/iStock.com; Bild 1: Symbolbild © Geber86/Shutterstock.com; Bild 2: Symbolbild © tete_escape/Shutterstock.com; Bild 3: Symbolbild © Tapati Rinchumrus/Shutterstock.com