Identitätsmissbrauch im Netz: Fake-Profile erkennen und melden

Wie läuft Identitätsmissbrauch im Netz ab?

Der klassische Fall ist das gefälschte Profil: Die Täter nehmen Namen und Bilder einer echten Person und bauen daraus einen Auftritt. Laut Watchlist Internet stehlen Kriminelle die Fotos oft von öffentlichen Instagram-Profilen. Manchmal kopieren sie auch das Profil einer bekannten Person, etwa von Promis, Schauspielern, Models oder Politikern, und geben sich als diese aus.¹

Der zweite Weg ist die Kontoübernahme. Die Watchlist Internet beschreibt einen Fall, in dem ein Fake-Profil namens „metaappelcenter“ Instagram-Nutzern Direktnachrichten schickte. Darin wurde eine Urheberrechtsverletzung behauptet und mit der Sperrung des Kontos gedroht; der Link führte auf eine gefälschte Seite, die Zugangsdaten abfragte.⁴ Wer die Daten eingab, verlor laut dem Bericht den Zugriff, weil die Täter das Passwort änderten und das Profil übernahmen.⁴ Der Absender trat dabei als die Plattform selbst auf. Es ist ein Beispiel für ein falsches Support-Konto.

Übernommene Konten werden weiter genutzt. Laut Watchlist Internet kontaktieren die Täter die Follower des Opfers und versuchen, sie zu betrügen; oft werden auch im Namen des Opfers betrügerische Inhalte und Angebote geteilt.⁴ Das Portal onlinesicherheit.gv.at unterscheidet je nach Motiv finanzielle Zwecke, das Verschleiern einer Straftat und persönliche Motive: Rufschädigende oder kriminelle Inhalte werden unter dem Namen einer anderen Person veröffentlicht, etwa durch die Übernahme eines bestehenden Kontos oder durch ein neues Konto im Namen des Opfers.⁷

Romance Scam: der bekannteste Fall

Beim Liebesbetrug erschleichen sich die Täter mit Fake-Profilen und langem Chatten das Vertrauen ihrer Opfer.² Das Bundeskriminalamt beschreibt typische Merkmale: Die Täter geben an, im Ausland zu sein, mit einem Beruf, der Reisen erschwert. Liebesbekundungen kommen schnell, persönliche Treffen finden nie statt, Videotelefonate werden vermieden, und es gibt immer neue Ausreden. Später folgen Geldforderungen, und die Täter bitten auch um Kopien von Ausweisdokumenten.⁵ Die US-Handelsbehörde FTC nennt als weitere Muster den raschen Wechsel von der Plattform zu E-Mail, Telefon oder Messenger sowie den Druck auf Zahlungswege, die sich schwer rückholen lassen, etwa Geschenkkarten oder Kryptowährungen.⁶

Strafrechtlich ist der Betrug selbst in § 146 StGB geregelt. Der Text erfasst, wer mit dem Vorsatz, sich oder einen Dritten durch das Verhalten des Getäuschten unrechtmäßig zu bereichern, jemanden durch Täuschung über Tatsachen zu einer Handlung, Duldung oder Unterlassung verleitet, die diesen oder einen anderen am Vermögen schädigt.²²

Woran erkennen Sie ein Fake-Profil? Alter, Aktivität, Verknüpfungen

Die Watchlist Internet nennt sechs Prüfpunkte.¹ Sie warnt zugleich, dass manche Betrüger viel Zeit in ein Fake-Profil stecken.¹ Ein unauffälliges Profil ist deshalb kein Beweis für Echtheit, und ein auffälliges ist noch kein Beweis für eine Fälschung. Entscheidend ist, wie viele Hinweise zusammenkommen.

Welche Muster in Sprache, Nachrichten und Linkzielen verraten Betrug?

Neben dem Profil selbst lohnt der Blick auf die Kommunikation. Die Watchlist Internet beschreibt für Liebesbetrug unter anderem: Die Person spricht schon vor einem persönlichen Kennenlernen von Liebe, antwortet schnell, wünscht fast immer einen guten Morgen oder eine gute Nacht, und die Nachrichten wirken standardisiert. Persönliche Treffen kommen nie zustande, meist durch angebliche tragische Zwischenfälle.² Das Bundeskriminalamt nennt als Merkmale, dass die Ansprache auf Englisch erfolgt und die Täter bewegende Lebensgeschichten erzählen.⁵

Bei Kontoübernahmen zählt das Linkziel. Im beschriebenen Fall der gefälschten „Meta“-Nachricht führte der Link in der Nachricht auf eine nachgebaute Seite, die Daten abfragte, und die Nachricht setzte eine Frist von 48 Stunden.⁴ Ein Experte der Watchlist Internet rät auf onlinesicherheit.gv.at, Links in verdächtigen E-Mails nicht anzuklicken, sondern die Plattform direkt aufzusuchen.⁸ Unsere Empfehlung für Nachrichten in Messengern: Gehen Sie nicht über den mitgeschickten Link, sondern über die App oder eine Adresse, die Sie selbst eintippen.

Bilder-Rückwärtssuche: Was sie zeigt und wo sie endet

Bei gestohlenen Fotos hilft die Rückwärtssuche. Die Watchlist Internet empfiehlt die Google Bildersuche oder Google Lens: Man lädt ein Bild der Person hoch, Google durchsucht andere Seiten nach diesem oder ähnlichen Bildern, und so findet man möglicherweise heraus, wer auf dem Foto wirklich zu sehen ist oder woher es gestohlen wurde.¹ Die FTC nennt dieselbe Methode: Ist das Profilfoto mit einem anderen Namen oder mit widersprüchlichen Angaben verknüpft, spricht das für Betrug.⁶

Die Grenze liegt im Wort „möglicherweise“. Ein Treffer ist ein Hinweis, kein Urteil, und ein fehlender Treffer ist kein Beleg für Echtheit. Das ist unsere Einordnung.

Warum die Gesichtssuche heikel ist

Von der Suche nach einem Bild ist die biometrische Suche nach einem Gesicht zu unterscheiden. Art. 9 Abs. 1 der Datenschutz-Grundverordnung untersagt grundsätzlich die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person. Nach Abs. 2 Buchstabe a gilt das Verbot nicht, wenn die betroffene Person für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat.¹⁶ Unsere Einordnung: Am ehesten vertretbar ist eine Gesichts-Rückwärtssuche deshalb nur für das eigene Gesicht und mit ausdrücklicher Einwilligung. Wer das Gesicht einer fremden Person durchsucht, auch das eines mutmaßlichen Betrügers, hat in aller Regel keine solche Einwilligung. Ob eine andere Ausnahme nach Abs. 2 greift, ist eine Rechtsfrage.

Identitätsmissbrauch melden: Was die Plattformen und der Digital Services Act vorsehen

Die offiziellen Hilfeseiten der Plattformen beschreiben die Meldewege so:

• Facebook: Profile und Seiten, die sich für andere ausgeben, verstoßen laut Hilfebereich gegen die Gemeinschaftsstandards. Gemeldet wird über das betreffende Profil: unter dem Titelbild auf „Optionen“ klicken und „Profil melden“ wählen. Melden kann auch, wer kein Facebook-Konto hat. Wer keinen Zugriff mehr auf sein Konto hat, füllt ein Kontaktformular aus.¹⁰
• LinkedIn: Im Profil „Mehr“, dann „Melden oder Blockieren“ und „[Name des Mitglieds] oder gesamten Account melden“ wählen, anschließend „Diese Person gibt sich als jemand anderes aus“ oder „Bei diesem Konto handelt es sich nicht um eine echte Person“. Gemeldete Mitglieder erfahren laut LinkedIn nicht, wer die Meldung eingereicht hat.¹¹ Für das eigene gekaperte Konto verweist LinkedIn auf das Formular „Unbefugter Kontozugriff oder Änderungen melden“.¹²
• YouTube: Die Richtlinie untersagt die unbefugte Imitation einer Person, Organisation oder eines Kanals. Ein Kanal, der zur Imitation eingerichtet wurde, kann entfernt werden. Gemeldet wird über die Kontaktseite für Identitätsmissbrauch.¹³
• Google allgemein: Die Hilfe unterscheidet Meldungen nach Produktrichtlinien von Meldungen aus rechtlichen Gründen. Beide Wege sind getrennt einzureichen, und eine Richtlinienmeldung gilt nicht als rechtliche Mitteilung.¹⁴

Keine dieser Hilfeseiten nennt eine Erfolgsquote oder eine Bearbeitungsdauer. Wir machen dazu deshalb keine Aussage.

Das Meldeverfahren nach Art. 16 DSA

Art. 16 der Verordnung (EU) 2022/2065 verpflichtet Hostingdiensteanbieter, Verfahren einzurichten, mit denen Personen rechtswidrige Einzelinformationen melden können. Die Verfahren müssen leicht zugänglich und benutzerfreundlich sein und ausschließlich elektronisch funktionieren. Eine Meldung soll vier Angaben ermöglichen: eine ausreichend begründete Erläuterung, warum die Information rechtswidrig ist, den genauen Speicherort wie die präzise URL, Name und E-Mail-Adresse der meldenden Person und eine Erklärung, dass die Angaben nach bestem Wissen richtig und vollständig sind.¹⁵

Der Anbieter bestätigt den Eingang unverzüglich, sofern eine elektronische Kontaktangabe mitgeteilt wurde. Er teilt seine Entscheidung unverzüglich mit, weist auf Rechtsbehelfe hin und muss Meldungen zeitnah, sorgfältig, frei von Willkür und objektiv bearbeiten.¹⁵ Online-Plattformen müssen nach Art. 20 zusätzlich ein elektronisches, kostenloses internes Beschwerdesystem bereithalten, das auch Beschwerden gegen die Entscheidung nach einer Meldung erfasst und mindestens sechs Monate nach der Entscheidung offensteht. Art. 21 gibt das Recht, eine zertifizierte außergerichtliche Streitbeilegungsstelle anzurufen. Anbieter von Online-Plattformen, die Kleinst- oder Kleinunternehmen sind, nimmt Art. 19 von diesen Pflichten aus.¹⁵ Beachten Sie: Art. 16 knüpft an rechtswidrige Informationen an. Ob ein Profil in Ihrem Fall rechtswidrig ist, ist eine rechtliche Bewertung.

Welche rechtlichen Möglichkeiten gibt es bei Identitätsmissbrauch in Österreich?

Keine der folgenden Normen nennt das Fake-Profil ausdrücklich. Sie beschreiben Tatbestände, die in einem Missbrauchsfall je nach Sachverhalt einschlägig sein können. Wir geben ihren Inhalt so wieder, wie der Text im Rechtsinformationssystem des Bundes es hergibt.

Unsere Einordnung: Das Namensrecht des § 43 ABGB liegt am nächsten, wenn Ihr Name unbefugt verwendet wird. Der Bildnisschutz setzt voraus, dass berechtigte Interessen verletzt werden. § 1328a ABGB und § 107c StGB betreffen die Privatsphäre und Ehre und passen nur, wenn der Auftritt in diese Bereiche eingreift. Ob und wie Sie vorgehen, sollte eine Rechtsanwältin oder ein Rechtsanwalt prüfen.

Beschwerde bei der Datenschutzbehörde

Wenn Ihre personenbezogenen Daten verarbeitet werden, haben Sie nach Art. 77 Abs. 1 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn Sie der Ansicht sind, dass die Verarbeitung gegen die Verordnung verstößt. Zuständig sein kann insbesondere die Behörde im Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes oder des mutmaßlichen Verstoßes.¹⁶ In Österreich ist das die Datenschutzbehörde. Sie nennt eine Frist von einem Jahr ab Kenntnis des beschwerenden Ereignisses, spätestens drei Jahre nach dem Vorfall. Das Verfahren ist grundsätzlich unentgeltlich, anonyme Beschwerden sind nicht möglich, und die Eingabe muss auf Deutsch erfolgen.¹⁷

Was tun Sie, wenn Sie von Identitätsmissbrauch betroffen sind?

1. Sichern. Machen Sie Screenshots vom Profil und vom gesamten Gesprächsverlauf.¹ Als Beweise nennt die Watchlist Internet E-Mail-Kopien, Chatprotokolle, Screenshots von Profilen, mitgeschickte Fotos und Überweisungsbelege.³ Das Bundeskriminalamt nennt Screenshots, Chats sowie Namen und Transaktionsdaten.⁵ Notieren Sie die genaue Adresse des Profils, denn zu den Angaben einer Meldung nach Art. 16 DSA gehört der genaue Speicherort.¹⁵ Sichern Sie vor der Meldung: Ist das Profil erst gesperrt oder gelöscht, lässt es sich nicht mehr dokumentieren.
2. Melden. Brechen Sie den Kontakt ab, überweisen Sie kein Geld mehr, blockieren Sie die Person und melden Sie das Profil an den Betreiber der Plattform.³ Nutzen Sie dafür die offiziellen Wege der Plattform.¹⁰¹¹ Bei einer Kontoübernahme gilt: Nutzen Sie ausschließlich die offiziellen Support-Kanäle der Plattform. Plattformbetreiber wie Instagram oder Facebook verlangen laut einem Experten der Watchlist Internet auf onlinesicherheit.gv.at niemals Geld für die Freischaltung eines Kontos, und es gibt keine Garantie, ein gehacktes Profil zurückzuerhalten.⁸ Betrugsversuche wie Fake-Shops, Phishing oder Abo-Fallen können Sie zusätzlich über das Meldeformular der Watchlist Internet melden.⁹
3. Anzeigen. Eine Anzeige ist bei jeder Polizeidienststelle möglich.⁹ Das Portal onlinesicherheit.gv.at hält sie für wichtig, auch wenn die Täter nicht ermittelt werden können.⁷ Bei einem finanziellen Schaden bringen Sie die gesicherten Beweise mit.⁵ Haben Sie den Tätern eine Ausweiskopie geschickt, sollten Sie das bei der Anzeige erwähnen, weil die Täter sie laut Watchlist Internet möglicherweise für Straftaten in Ihrem Namen missbrauchen.³ Für Hinweise auf Internetkriminalität nennt das Portal die Adresse against-cybercrime@bmi.gv.at.⁹
4. Informieren. Kontaktieren Sie sofort Ihre Bank und versuchen Sie, Überweisungen rückgängig zu machen. Die Watchlist Internet nennt die Erfolgswahrscheinlichkeit dafür eher gering.³ Bei einer Kontoübernahme empfiehlt sie, die Follower, wenn möglich, über einen anderen Kanal zu informieren, weil die Täter diese kontaktieren und zu betrügen versuchen.⁴ Die FTC rät außerdem, mit Vertrauenspersonen zu sprechen.⁶

Wie Sie Beweise so sichern, dass sie später tragen, behandelt der Beitrag Beweise sichern: Warum ein Screenshot oft nicht genügt.

Wo ein Werkzeug wie YIIO Shield ansetzt und wo nicht

YIIO Shield gleicht Ihre hinterlegten Namensvarianten und Profilbilder mit dem ab, was auf erreichbaren Quellen auftaucht, und bereitet die Meldung vor: Der assistierte Meldeablauf stellt die Pflichtangaben zusammen und verfolgt die Frist, die Beweise werden vor der Meldung gesichert. Bleibt eine Plattform untätig, werden das interne Beschwerdeverfahren nach Art. 20 DSA und die außergerichtliche Streitbeilegung nach Art. 21 DSA mitverfolgt.¹⁵

Die Grenzen: Eine Gesichts-Rückwärtssuche halten wir nur für Ihr eigenes Gesicht und mit ausdrücklicher Einwilligung für vertretbar, die Sie jederzeit widerrufen können. Nach den Gesichtern Dritter suchen wir nicht. Shield beschränkt sich auf erreichbare Quellen und nutzt die Suchfunktionen der großen Plattformen nicht. Shield vertritt Sie nicht. Über eine Meldung entscheidet die Plattform.