Identitätsdiebstahl im Kassensturz

Heute brachte die SRF-Sendung Kassensturz einen Hauptartikel über Identitätsdiebstahl.

Es ist sehr eindrücklich, welche Auswirkungen diese Betrüge auf die echten Personen haben. Eine Content-Producerin Lexie Trucker, kommt nicht mehr dagegen an, was die Betrüger mit ihrer gestohlenen Identität machen. Das schlägt ihr aufs Gemüt. Sie hat sich damit arrangiert, sie akzeptiert, dass ihr Gesicht überall im Netz benutzt wird - wofür auch immer.

Es bleibt ihr auch nicht viel anderes übrig. Obwohl sie sich anfangs empathisch benahm, musste und konnte sie die Verantwortung offenbar ablegen. Die Gehörnten wandten sich mit ihrem Frust oder gar Hass an sie.

Was hilft? Tja, keine Fotos von sich im Internet, kein Content Producer sein, überall verschiedene Daten anzugeben, wo die Richtigen nicht absolut notwendig sind.

Seriös wirkende Emails mit komischem Absenderadressen unbesehen löschen. Drohende oder dringlich erscheinende Email ohne weitere Interaktion löschen - Anrufe sofort beenden, sich nicht aus falsch verstandener Freundlichkeit auf ein längeres Gespräch einlassen. Man könnte einbrechen ... oder dann Rückruf-Nummer verlangen, diese dann im Internet kurz nachschlagen. Man ist selten der erste, der heimgesucht wird.

Wie ich öfters schon schrieb, mache ich all das schon seit Jahren so. Immer kleine Fehler einfügen, Tippfehler, Buchstaben- oder Zahlendreher, bis total erfundene Daten. Wenn möglich bei Email-bestätigten Registrationen eine Wegwerf-Email finden. Niemals Kreditkarten-Angaben aus Bequemlichkeit für den nächsten Einkauf speichern lassen. Lieber immer eingeben, als einmal betrogen und abgezockt werden.

KYC verlangende Dienste nicht benutzen, Alternativen finden. Es gibt solche für fast alles. Und natürlich niemals einer nur elektronisch bekannten "Person" Geld überweisen oder Dokumente der eigenen Identität offenlegen. Egal, wie stark sie bettelt oder droht, egal wie die Legende lautet. Hilfsbereitschaft hat nichts mit Geld-Liefern zu tun.

Dokumente nicht als Bilder doer PDFs ungeschützt auf Platte, Emailkonto oder Mobile speichern, allermindestens eine Verschlüsselung oder stark verschlüsselt in der Cloud bekannter Anbieter.

Dienste wie Turor24.ch, den ich selbst benutze als Nachhilfelehrer, verlangt für den Stempel eines "Verifiziertes Profil" volles KYC (Know Your Customer). Also Video und Bewegung und offizielle Dokumente. Als ich dies zum ersten Mal sah, war ich schon sehr verärgert, schliesslich hatte ich schon einen Jahresbeitrag bezahlt. Das reicht offenbar nicht als Verifikations-Badge.

Nicht wissend, ob mir der "Verifiziertes Profil"-Badge überhaupt mehr einbrächte, unterlasse ich sowas natürlich.

Warum das alles? Damit man meine Identität nicht oder nur aufwendig digital missbrauchen kann.

Jeder Internet-basierte Service, der solche Daten speichert, wird angegriffen. Im Zeitalter der KI ist ein Einbruchserfolg wahrscheinlicher, wenn der Anbieter nicht genauso seine Abwehr aufrüstet.

Das gilt noch mehr für die staatlichen Angebote, die Steuerverwaltung, die Sozialversicherungen, die Krankenkassen, Markplätze, Dating-Plattformen, Delivery Services etc. etc. Die Liste ist beinahe endlos.

Da ist noch nicht einmal miteingeschlossen, dass es bestechliche Beamte oder Angestellte gibt, die hinter den Verteidigungswällen direkt auf Daten zugreifen können, wenn das Niemandem-Trauen Konzept sich nicht auch gegen Interne richtet. Ein Vier- oder Sechs-Augen Prinzip für die Sichtung der gespeicherten Daten durch Interne muss angewendet werden bei solch sensitiven Daten.

Die Wälle von Troja waren uneinnehmbar. Nur ein interner Trottel liess das Geschenk der Griechen reinholen. Und das war's dann für Troja.

Dass solches keine Fantasterei ist, zeigte der Fall in Frankreich, wo ein Beamter der Steuerbehörde bestochen wurde, um Daten zu Bitcoin-Besitzern zu liefern - nur, weil der Staat solche Angaben per Gesetz einfordert. Eigentlich müsste man auch gegenüber dem Staat mit seinen Organen mit Fehleingaben agieren - aber das würde dann andere rechtliche Konsequenzen haben.

Aber wie soll man sich gegen staatliche Sicherheitsrisiken wehren? Schwierig. Deshalb sollte der Staat ja auch nicht alles über mich speichern wollen. Nur das, was er wirklich braucht. Eigentlich das, was halt auch in der DSGVO bezüglich Datensparsmakeit steht.

Selbst wenn sich alle direkt identifizierbaren Gegenparteien optimal verhalten, die Supply Chain Gefahr betrifft alle, denn kein einziges IT-System wird ohne Komponenten gebaut. Wenn so eine kompromittiert ist - sind alle darauf aufbauenden Angebote unsicher.

Die grosse, weite digitale Welt ist oft erstaunlich zentral aufgebaut. Zwischen Sicherheit und totaler Abwehrlosigkeit entscheidet oft nur eine einzige Library - hoffentlich wird ein möglicher Supply Chain Angriff doch noch von jemandem bemerkt.

Grundsätzlich sollte aber die maximale Datensparsamkeit im Vordergrund des digitalen Handelns stehen. Und das Ego im Zaum halten. Denn TikTok-Videos, Insta-Selfies ... bringen zwar viele schmeichelnde Likes, aber auch tonnenweise Material zum Identitätsdiebstahl - Bild, Bewegung, Ton.

Das ideale Fressen für die KIs der Angreifer.