Identitätsdiebstahl und -missbrauch im Internet

Aktuelle Entwicklungen und Herausforderungen

2 Zur Lage und zum Gefahrenpotenzial – ausgewählte Erkenntnisse

Während die in der Polizeilichen Kriminalstatistik (PKS) für 2020 erfassten Fallzahlen insgesamt eine rückläufige Tendenz gegenüber dem Vorjahr aufweisen (5.310.621 in 2020 gegenüber 5.436.401 im Jahr 2019; das entspricht einem Rückgang um 2,3%), weisen die Cybercrimedelikte eine deutliche Steigerung auf. Für 2020 wurden rund 108.000 Delikte der Cybercrime im engeren Sinne (CCieS)¹⁵ registriert, was eine Steigerung von +⁷,9% im Vergleich zu den 2019 erfassten Fällen bedeutet. Während im gesamtgesellschaftlichen Maßstab davon auszugehen ist, dass sich zunehmend mehr Lebensbereiche in den digitalen Raum verlagern oder zumindest auch in diesem stattfinden, ist das Wissen um deliktisches Handeln im Cyberraum eher schlecht ausgeprägt. Das BKA geht im Bereich Cybercrime von einem „überdurchschnittlich“ großen Dunkelfeld aus. Das führt das BKA u.a. auf folgende Deliktsspezifika zurück:

Die Opfer erkennen ihre Betroffenheit nicht (z.B. bei Diebstahl ihrer Identität bei einem Online-Shop). Die von ihnen eingesetzten technischen Geräte werden unbemerkt zur Begehung von Cybercrime-Straftaten missbraucht (z.B. bei Nutzung infizierter PCs oder Router als Teil eines Botnetzes zur Ausführung von DDoS-Angriffen).

Straftaten werden durch die Betroffenen oftmals nicht angezeigt, insbesondere dann, wenn noch kein finanzieller Schaden entstanden ist (z.B. bloßer Virenfund auf dem PC) oder der eingetretene Schaden von Dritten (z.B. Versicherung) reguliert wird.

Geschädigte, insbesondere Wirtschaftsunternehmen, zeigen erkannte Straftaten nicht an, um u.a. die Reputation als „sicherer und zuverlässiger Partner“ im Kundenkreis nicht zu verlieren.¹⁶Es erscheint nachvollziehbar, dass der mit ca. 2% in der PKS abgebildete Anteil der CCieS an der Gesamtkriminalität nur einen Bruchteil dessen darstellen dürfte, was an kriminalistisch relevantem Handeln im Cyberraum tatsächlich stattfindet.

Im Bundeslagebild Cybercrime für 2020 werden digitale Identitäten als „beliebte Handelsware“ bezeichnet.¹⁷ Unter Verweis auf „HaveIBeenPwnd“¹⁸ bzw. das Hasso-Plattner-Institut werden dort rund 10 Mrd. bzw. 12 Mrd. identifizierte kompromittierte Accounts angeführt. Letztgenanntes Institut rechnet mit 1.635.908 geleakten Accounts pro Tag. Jeder gestohlene Datensatz könne wiederum als Ausgangspunkt für weitere kriminelle Handlungen genutzt werden, so das BKA.

Als klassisch für das rechtswidrige Erlangen digitaler Identitäten werden im Lagebild Spam-Mail-Kampagnen und professionelle Phishing-Mails mit maliziösen, also bösartigen, Office-Anhängen genannt. Der Spamversand erfolge über zuvor kompromittierte oder aber kommerziell angemietete Serverkapazitäten sowie über von Angreifern gestohlene legitime E-Mail-Accounts. Ein weiterer Modus Oprandi sei das aggressive Eindringen in ein System via Brute-Force-Angriff, also um den Versuch, ein Passwort oder einen Benutzernamen zu knacken oder eine verborgene Webseite oder den Schlüssel zu finden. Dabei nutzten Täter mangelhaft geschützte Remote-Desktop-Protokolle (RDP). Über diese würden wiederum Schadprogramme oder missbräuchlich eingesetzte Pentesting-Tools¹⁹ eingeschleust, betont das BKA. In der Folge würden Daten ausgespäht und an die Täter weitergeleitet.

2.1 Cyberangriffe auf die Wirtschaft und öffentliche Einrichtungen

Mit dem Begriff Big Game Hunting (eigentlich: Großwildjagd) werden Cyberangriffe auf herausragende Wirtschaftsunternehmen, Einrichtungen, Organisationen bzw. Unternehmen im Bereich der KRITIS²⁰ bezeichnet.

Das BKA konstatierte für das Jahr 2020, in dem vor allem dem Gesundheitswesen und der öffentlichen Verwaltung eine besondere Bedeutung zukam, eine Intensivierung des „Big Game Hunting“. Als Beispiel nannte das Amt den im Dezember 2020 bekanntgewordenen Netzwerkeinbruch bei dem US-amerikanischen Technologie-Unternehmens „SolarWinds“, durch den über die unternehmensseitigen Aktualisierungen der Software „Orion“²¹ persistent, also dauerhaft und schwer abbaubare Zugriffe auf die IT-Netzwerke von Kunden möglich waren. Weltweit waren über 18.000 Systeme betroffen, darunter KRITIS und Behörden. Die Kompromittierung von „Orion“ gilt als einer der bisher größten und schwerwiegendsten Cyberangriffe der Kriminalgeschichte.²²

2.2 Diebstahl digitaler Identitäten – Neuer Modus Operandi im Bereich Mobile Payment

Für das Jahr 2020 vermeldete das BKA erstmals Betrugshandlungen im Zusammenhang mit Mobile Payment. Bargeldlose Bezahlungen mittels Kreditkarten sollen durch die Nutzung sog. Token, also einer Hardwarekomponente zur Identifizierung und Authentifizierung von Benutzern, eigentlich effektiver und sicherer werden. Gleichwohl ist es Tätern über Phishing und Social Engineering gelungen, an für das Online-Banking notwendige Daten zu gelangen und im weiteren Verlauf der Tathandlungen sog. One Time Passwords, die z.B. für den Implementierungsprozess (Enrolement) von Kreditkartennummern in Apple Pay und Google Pay erforderlich sind, zu aktivieren und anschließend betrügerisch einzusetzen. Die Täter nutzten in der Folge die Bezahlfunktion von Smartphones an POS-Terminals vor Ort bei unterschiedlichen Vertragsunternehmen mittels Near Field Communication²³ zur betrügerischen Erlangung von Waren.²⁴

2.3 Angst vor Identitätsdiebstahl und -missbrauch ist groß

Laut einer 2019 veröffentlichten Studie des Cyber-Sicherheitsanbieters F-Secure machen sich neun von zehn Verbrauchern zumindest grundsätzlich Sorgen darüber, dass ihr Bankkonto gehackt werden könnte, um ihr Geld zu stehlen (89%), sie Opfer von Online-Shopping-Betrug werden könnten (87%) oder jemand mithilfe ihrer Identität eine Straftat begeht (87%).²⁵

Mittlerweile ist auch die Sorge bei Unternehmen, etwa im Bereich E-Commerce, groß, dass man Opfer von „Identitätsbetrug“ werden könnte. Begriffe wie „Cyber Security Awareness“ oder „Phishing Awareness“ (Awareness svw. Problembewusstsein) etwa zum Schutz vor Passwortdiebstahl mittels Phishing-Mails erleben Hochkonjunktur.²⁶

3 Konsequenzen/Herausforderungen

Identitätsdiebstahl und -missbrauch im Internet als Bestandteil der Computerkriminalität verunsichern einerseits Nutzer des Internets oder digitaler Anwendungen, verursachen bei Privatpersonen wie Unternehmen z.T. erhebliche Schäden und stellen für die Sicherheitsakteure eine zunehmende Herausforderung dar. Folgt man der von Balschmiter bereits 2017 entwickelten These, dass ein Teil des Hellfeldes klassischer Kriminalitätsformen offensichtlich in das Dunkelfeld moderner Computerkriminalitätsdelikte übergegangen ist,²⁷ sind die Positivinterpretationen des Rückganges der Fallzahlen in der Polizeilichen Kriminalstatik²⁸ jedenfalls kritisch zu hinterfragen. Zwar ist der Anteil der Cybercrimedelikte (Computerkriminalität – PKS-Summenschlüssel 897000) an der Gesamtkriminalität in den vergangenen Jahren leicht gestiegen (2018: rd. 2% [110.475 Fälle]; 2020: rd. 2,46% [130.611 Fälle]), eine signifikante Erhellung des Dunkelfeldes ist damit jedoch keinesfalls verbunden. Und auch ein tatsächliches Widerspiegeln der Verlagerung großer Teile des gesellschaftlichen Lebens in die digitale Welt als gesellschaftliche Realität ist daraus nicht abzuleiten. Da weder eine echte Erhellung des Cybercrime-Dunkelfeldes erfolgte und auch die Ressourcen der Sicherheitsbehörden in diesem Deliktsbereich offenbar nicht in dem Maße wie die Verlagerung gesellschaftlichen Lebens in die digitale Welt stattfand, verstärkt wurden, existiert hier erheblicher Handlungsbedarf. Es ist daher Rüdiger zuzustimmen, der bereits 2019 im Rahmen der BKA-Herbsttagung eine deutlich verstärkte Internetpräsenz der deutschen Polizeien forderte und zudem ein Nachdenken über die Einführung des Opportunitätsprinzips bei derartigen Delikten anregte.²⁹