Читать книгу Internetkriminalität - Peter Hirsch - Страница 16

Die Identität umfasst alle Attribute, die einem Menschen zweifelsfrei zuzuordnen sind und deshalb geeignet sind, immer wieder auf eine Person hinzuführen, diese unverwechselbar zu machen. Der Leitfaden der BITKOM zu Webidentitäten[1] definiert die Identität als „eine in ihrem Verwendungskontext eindeutige, wiedererkennbare Beschreibung einer natürlichen oder juristischen Person oder eines Objektes, die sich aus Attributen und einem Identitätsbezeichner zusammensetzt“. Dabei kann es sich beispielsweise um Name, Geburtsdatum, Adresse, Konto- oder Kreditkartennummern, Steuer- oder Sozialversicherungsnummern oder um biometrische Daten, Bilder sowie Handschriften handeln. Mit diesen Merkmalen ist eine natürliche oder juristische Person eindeutig bestimmbar. Gleichzeitig grenzt sie sich damit von anderen ab.

Die Identität kann jedoch nicht nur in der analogen Welt eingesetzt werden, sondern auch in der digitalen. Hierfür kann sich der Nutzer auch mehrere Identitäten generieren und sich damit im Netz bewegen. Ausreichend hierfür sind ein Benutzername und ein Passwort. Über die Registrierung einer natürlichen oder juristischen Person beispielsweise in einem Webshop oder einer Bank, für die Benutzername und Passwort erfasst sind, ist auch hier eine individuelle Zuordnung möglich. Die Nutzung dieser digitalen Identität reicht dabei vom Einsatz entsprechend des menschlichen Lebens (Banking, Einkaufen/Verkaufen) bis hin zum Aufbau einer Parallelwelt, in der nicht nur Onlinerollenspiele gespielt werden, sondern tatsächlich darin gelebt wird. Beiden gemein ist die Identifizierungsmöglichkeit über die Zuordnung eines Datensatzes zu einer natürlichen oder juristischen Person.

Der Begriff Identitätsdiebstahl wird uneinheitlich ausgelegt. Dem Wortsinn nach ist Diebstahl die Wegnahme einer (fremden beweglichen) Sache, der Identitätsdiebstahl demnach das Aneignen der oben beschriebenen persönlichen Merkmale, die den Schluss auf nur eine Person zulassen. In der Literatur wird aber die Wegnahme immer wieder mit dem Einsatz der gestohlenen Daten vermengt. D. Schneider versteht in seiner Seminararbeit unter Identitätsdiebstahl „die missbräuchliche Nutzung personenbezogener Daten durch Dritte“.[2] G. Borges u. a. hingegen sehen den „Identitätsdiebstahl“ als Vorgang zur Erlangung der Daten. Kommen die illegal erlangten Daten zum Einsatz, wird das von den Autoren als „Identitätsmissbrauch“ bezeichnet.[3] So steht der Begriff „Identitätsdiebstahl“ als Oberbegriff für unterschiedliche Begehungsformen. Der „Identitätsmissbrauch“ bezeichnet den unbefugten Einsatz der erlangten Daten. Für die polizeiliche Praxis macht es Sinn, die beiden Vorgänge ebenfalls zu trennen. Bestimmte Formen des Identitätsdiebstahls sind nicht strafbewehrt. Werden Identitäten erlangt, ist es von Bedeutung, wie sie erlangt wurden, um einen eindeutigen Schuldvorwurf erheben zu können. Dasselbe gilt für den Einsatz der Daten: Wie und wo wurden sie eingesetzt, was wurde damit erreicht und liegt ggf. ein neuer Tatentschluss für den Einsatz vor?

Die Motivation, die Identität einer anderen Person anzunehmen, ist vielschichtig. Hauptzielrichtungen sind die Schädigung des Vermögens des Opfers und die Diskreditierung der Person, deren Identität verwendet wird. So können auf den Namen eines anderen Waren im Onlinehandel bestellt oder bei Onlineauktionen ersteigert werden. Während die Rechnung an den Geschädigten geht, wird die Warensendung vom Täter entweder in einer Paketstation abgeholt, die zuvor mit den gestohlenen Personalien angemietet wurde. Oder sie wird an einen (gutgläubigen) Warenagenten gesandt, der sie entgegennimmt, umpackt und neu versendet.

Möglich ist auch die Einrichtung eines Fake-Accounts. Über diesen können dann quasi im Namen des Opfers beispielsweise Beleidigungen, sexuelle Anspielungen oder Unwahrheiten – auch unterstellte strafrechtliche Begebenheiten – über dritte Personen verbreitet werden. Nicht unüblich ist neben der Einrichtung eines E-Mail-Accounts mit entwendeten Namen der gleichzeitige Diebstahl des elektronischen Adressbuches derselben Person. Im Anschluss wird über Mail an alle im Adressbuch verzeichneten ein Hilfeaufruf versandt. Inhalt der Nachricht kann beispielsweise der Diebstahl des Reisegepäcks zusammen mit Pass und Bargeld am Urlaubsort sein. Deshalb werden „die lieben Freunde“ gebeten, über ein elektronisches Zahlungsmittelsystem (z. B. Ukash) einen bestimmten Betrag anzuweisen, um die ersten Tage bis zur Ausstellung neuer Dokumente zu überbrücken.

Auch gebräuchlich ist die Einrichtung eines falschen Profils in sozialen Netzwerken. Hierüber läuft dann die vertrauliche Kommunikation unter dem Namen des Opfers. Zielrichtung ist die Erlangung von neuen Informationen über potentielle weitere Opfer oder auch die Diskreditierung des Geschädigten bei seinen Netzwerkfreunden. Erschwerend kommt insbesondere auch bei diesem Täterverhalten hinzu, dass gepostete Texte und Bilder eine schnelle, unkontrollierbare Verbreitung finden und eine Löschung im Netz so gut wie ausgeschlossen ist.

An die Identität seiner Opfer gelangt der Täter beispielsweise durch „dumpster diving“. So kann bei Banken der Papiermüll neben den Kontoauszugsdruckern oder Abfalleimer bei Großhandelsunternehmen durchsucht werden. Regelmäßig finden sie dort Kontoauszüge mit Namen und den entsprechenden Kontodaten. Während ein Blick ins Telefonbuch oder auf die Internetseite eines Telefonauskunftsanbieters oftmals die passende Adresse zum Namen bietet, ist die vollständige Anschrift ggf. mit Kundennummer auf der Kassenabrechnung schon aufgedruckt. Da bei der Registrierung zum Beispiel bei einem Einkaufsportal im Onlineverfahren nur die Bankverbindung auf Schlüssigkeit und Gültigkeit überprüfbar sind, kann sich der Täter ein ggf. bei der Anmeldung notwendiges Geburtsdatum ausdenken.

Eine technische Variante, Identitäten zu entwenden, ist die Verwendung von Malware. Nach deren Installation werden alle auf dem Rechner gespeicherten Benutzerdaten und Kennwörter in automatisierter Form an die Täterschaft weitergeleitet. Hierzu werden auf dem „Dark Market“ im Internet Toolkits angeboten. In diesen müssen je nach Zielrichtung nur noch Häkchen in vorbereitete Kästchen gesetzt werden, um ein individuelles Schadprogramm zu generieren. Die auf diesem Wege erhaltenen Daten können umgehend bei denselben Firmen eingesetzt werden, auf der auch der Geschädigte angemeldet ist.

Aber nicht nur beim Betroffenen selbst können Daten abgegriffen werden, sondern auch bei Unternehmen, welche die Daten ihrer Kunden gespeichert haben. Die Datendiebe nutzen bei diesen Firmen Schwachstellen im Serversystem aus. Mit Hilfe von Programmen wird die Datenbank des ausgewählten Unternehmens infiziert und die dort hinterlegten Kundendaten, welche das Unternehmen zur Abwicklung des Zahlungsverkehrs benötigt, gestohlen. Neben Kreditkartennummern oder Bankverbindungsdaten sind dies zum Beispiel auch (Rechnungs-)Anschriften. Im August 2019 fand ein solcher Einbruch bei Mastercard statt. Die Summe der entwendeten Kundendaten liegt bei ca. 90.000. Betroffen waren Nutzer des Bonusprogramms „Priceless Specials“. Was nach dem Diebstahl mit den Daten noch geschieht bzw. ob und wie sie zum Einsatz kamen, wurde bislang noch nicht publik.[4]

Allerdings ist der Einfluss des Kunden auf die Sicherheit seiner Daten bei dieser Art von Identitätsdiebstahl sehr begrenzt. Zwar kann er sich im Vorfeld über das Unternehmen erkundigen und zumindest beim Bezahlvorgang darauf achten, dass eine verschlüsselte Verbindung genutzt wird. Aber wie das Beispiel von Masterard zeigt, ist der Verbraucher auch bei seriösen Firmen nicht vor Datendieben sicher. Pohlmann nennt das größte Einfallstor für Datendiebe die große Anzahl von Schwachstellen in der genutzten Software der Anwender. Die Fehlerquote bei qualitativ hochwertiger Software liegt bei 0,3 pro 1000 Zeilen Code. Gängige Betriebssysteme haben 10 Millionen Codezeilen und somit im Schnitt 3000 Softwarefehler.[5]

Ohne Systemeinbrüche oder den Einsatz von Malware können Informationen auf dem Wege des „social engineering“ oder „social hacking“ erlangt werden. Mitnick und Simon beschreiben es mit „wie man Leute dazu bringt, Dinge für ihnen fremde Personen auszuführen, die sie normalerweise nicht tun würden“.[6] Anstatt der Technik wird die „Schwachstelle“ Mensch genutzt. Durch gezieltes Nachfragen, beispielsweise durch einen Anruf bei einem Mitarbeiter in einem Unternehmen, dessen System der Täter infiltrieren will, erlangt der social engineer Zugangsdaten. Diese verwendet er, um in Computersysteme einzudringen und dort Identitäten zu stehlen.

Was die Täter in Zukunft intensivieren werden, ist der Diebstahl von Kartendaten (Nummer und Gültigkeit der Karte) von Karten mit Bezahlfunktion (z. B. girogo der Sparkassen, Mastercard PayPass oder Visa payWave) sowie Mobiltelefonen bzw. Smartphones mit der so genannten Near-Field-Communication-Technology – NFC. Die NFC besteht aus einer Kombination aus drahtloser Verbindungs- und Identifizierungstechnologie (RFID – Radio Frequency Identification). Berührungslos können Busticket oder im Restaurant mit der Kreditkarte oder dem Smartphone bezahlt werden. Es muss mit dem Medium im Abstand bis maximal fünf Zentimetern über eine Leseeinrichtung gezogen werden. Der in Karte bzw. im Gerät eingebaute Chip kommuniziert mit dem Terminal.

Den bequemen Einsatz von Karte bzw. Telefon nutzt der Täter aus, in dem er versucht, mit einer auf seinem Mobiltelefon gespeicherten Applikation die Daten der Debit- bzw. Kreditkarte auszulesen. Hierzu muss er ebenfalls in einem Abstand von ca. fünf cm an sein Opfer herankommen. Gelingen kann das Auslesen, wenn Geldbörse oder Mobiltelefon beispielsweise in der Gesäßtasche getragen werden oder unbeaufsichtigt abgelegt werden. Zum Bezahlen mit diesen Daten ist zwar immer die Verknüpfung von Kartendaten und Inhabernamen notwendig, trotzdem werden diese Daten bislang von Händlern, die nicht sorgfältig prüfen, akzeptiert.

Schützen kann sich der Anwender vor dieser Art des Identitätsdiebstahles, in dem er die Buchungsfunktion nur einschaltet, wenn er sie aktuell benötigt. Fachleute der Kreditwirtschaft gehen davon aus, dass eine spezielle Hülle für die Karte nicht notwendig ist.

II. Identitätsdiebstahl › 2. Strafrechtliche Relevanz