Online Betrug im "Trend": Das machen Kriminelle mit deinen Daten

Die globale Welle der Internetkriminalität wird laut Cyberexperten in den nächsten Jahren wohl weiter an Wucht und Dynamik zulegen. Eine steigende Anzahl von Tätern schafft es demnach, ihre echte Identität hinter erfundenen Persönlichkeiten zu verstecken.

"Synthetische Identitäten sind international ein wachsender Trend", sagt Stephen Topliss, Experte für Betrug und Identität beim US-Cybersicherheitsdienstleister Lexis Nexis Risk Solutions.

Datenlecks als Basis für erfundene Identitäten 

Die Cyberexperten des Rückversicherers Munich Re erwarten eine weiter steigende "Schadenfrequenz", nicht zuletzt, weil künstliche Intelligenz auch Cyberkriminellen die illegalen Aktivitäten erleichtert. Der Handelsverband Deutschland berichtet von einem zunehmenden Betrugsrisiko für seine Unternehmen.

Doch was ist eine synthetische Identität überhaupt? "Die Täter kombinieren üblicherweise eine erfundene Identität mit realen Daten: echte Kreditkartennummern, Postadressen, Mailkonten oder Telefonnummern, in den USA auch häufig gestohlene Sozialversicherungsnummern", sagt Topliss. Die Daten stammen aus Datenlecks und werden im Darkweb gehandelt.

Daneben existieren zwei weitere Methoden, mit denen die Täter sich falsche Identitäten zulegen: "Es gibt - vor allem auch KI-getrieben - komplett synthetische Identitäten, die zu hundert Prozent erfunden sind", sagt Martin Kreuzer, Cyber-Experte der Munich Re und ehemaliger Ermittler. Und in der dritten Variante werden "verschiedene existierende Identitäten digital gestückelt und zusammengesetzt".

Gestohlene echte Identitäten für die Täter riskanter 

Das Ergebnis ist jedoch in jedem Fall dasselbe: Es wird schwieriger, die Täter zu identifizieren. Seit der Corona-Pandemie beobachtet nicht nur Lexis Nexis Risk Solutions ein stetiges Wachstum des Online-Betrugs und anderer Straftaten im Internet.

Noch vor einigen Jahren hätten viele Täter komplett gestohlene Identitäten verwendet, sagt Topliss. "Aber mittlerweile sehen wir sehr viel mehr dieser synthetischen Identitäten. Diese können auf verschiedene Arten und Weisen genutzt werden: zur Einrichtung von Kundenkonten im Online-Handel oder für die Beantragung von Kreditkarten."

Eine gestohlene Identität birgt für Kriminelle das Risiko, dass die dazugehörige echte Person schnell bemerkt, wenn in ihrem Namen eingekauft oder Geld überwiesen wird.

Großteil der Online-Händler mit falschen Kunden konfrontiert

"Im Bankwesen nutzen die Täter synthetische Identitäten, um 'Maultier-Konten' einzurichten, die für Geldwäsche genutzt werden", sagt Topliss. "Es gibt erst einmal kein Opfer, dem das auffallen könnte, weil die Person, die das Konto eingerichtet hat, gar nicht existiert."

Ein großes Betätigungsfeld für die Täter ist Betrug beim Online-Shopping. "Identitätsbetrug in verschiedenster Form gehört zu den häufigsten Betrugsmaschen im Onlinehandel", sagt ein Sprecher des Handelsverbands HDE unter Verweis auf eine Erhebung der Wirtschaftsauskunftei Crif.

Demnach waren 92 Prozent der deutschen E-Commerce-Unternehmen schon einmal damit konfrontiert, dass sich ein Kunde unter einer falschen oder fremden Identität ausgegeben hat. "So bestellen Betrüger etwa mit gestohlenen Daten auf Rechnung und lassen die Ware an Paketstationen oder leerstehende Wohnungen liefern."

Betätigungsfeld für Einsteiger

Oft genügen demnach schon wenige echte Datenfragmente - etwa Name und Geburtsdatum oder gehackte Login-Daten - um eine synthetische Identität zu erschaffen, die bei der Registrierung im Online-Shop echt wirkt. "Für Onlinehändler ist der technische und finanzielle Aufwand, Kundenidentitäten zu verifizieren und Betrüger auszusieben, in den letzten Jahren deutlich gestiegen", sagt der Sprecher.

Betrug im Online-Handel ist der größte Schadentreiber im Cyber-Versicherungssegment für Privatpersonen, wie Munich-Re-Experte Kreuzer sagt. "Im Bereich der Cyberkriminalität sind Identitätsklau und die damit verbundenen Betrugsmaschen eine Art Einstieg. Anfänger probieren sich da aus und kaufen sich mitunter von deutlich professionelleren Organisationen Anleitungen und Tools."

KI ermögliche Skaleneffekte und könne beispielsweise für die automatisierte Verteilung von Phishing-Mails eingesetzt werden. "Skaleneffekt" bedeutet, dass die Produktion für - in diesem Falle kriminelle - Unternehmen umso günstiger wird, je mehr von einem Produkt hergestellt wird.

Schäden in Milliardenhöhe - Tendenz steigend

"KI kann auch genutzt werden, um neue Schadsoftware zu entwickeln", erklärt Kreuzer. "Das spricht für eine erhöhte Schadenfrequenz in der Zukunft." Bei den von betrügerischen Kunden betroffenen Unternehmen könnten die Belastungen bis zur Insolvenz führen. "Gerade für Unternehmen, die schon in wirtschaftlicher Schieflage sind, ist dann häufig ein Cyberangriff der berühmte Tropfen, der das Fass zum Überlaufen bringt."

Die genaue Höhe der von Cybertätern verursachten Schäden ist nicht bekannt. Schätzungen gehen in die Milliarden, Tendenz steigend. Polizei und Justiz erfassen in ihren Statistiken nicht separat, ob eine Tat online verübt wurde.

Ebenfalls geschätzt ist die Quote der betrügerischen Online-Bestellungen im Einzelhandel: im Schnitt rund drei Prozent, wie der Sprecher des Handelsverbands angibt. In der Crif-Umfrage bezifferten 43 Prozent der deutschen Online-Händler ihre betrugsbedingten Schäden auf Summen zwischen 10.000 und 100.000 Euro; ein gutes Fünftel erlitt sogar Verluste von über 100.000 Euro.

Effektiver Standard zur Identitätsprüfung fehlt 

Im Bereich der Cyberkriminalität verschwimmen nationale Grenzen, da die Täter oft nicht in dem Land wohnen , in dem sie ihre Taten ausführen. "Ein Hauptproblem ist, dass es keinen internationalen Standard für die Authentifizierung und Verifizierung von Identitäten gibt", sagt Ralf Wintergerst, Vorstandsvorsitzender des Münchner Sicherheitstechnikunternehmens Giesecke+Devrient und Präsident des Digital-Branchenverbands Bitkom.

"Wenn jedes Land eine kleine Lösung für sich selbst entwickelt, sind diese oft international nicht interoperabel." Die Finanzströme hingegen sind international. "Eine Einigung auf einen Standard ist schon innerhalb der Europäischen Union schwer, international dann umso mehr", sagt der Spitzenmanager.