Klicken Sie hier - Digitale Selbstverteidigung leichtgemacht

Kapitel 1

»Wo ist meine Kaffeemaschine?« - Wenn ein Identitätsdiebstahl das Leben zum Kafka-Roman macht

Zu Kaffeemaschinen hat Claudia Pfister ein gespaltenes Verhältnis. Die Unternehmenscoachin wurde im Jahr 2019 Opfer eines Identitätsdiebstahls: Kriminelle nutzen monatelang ihre Daten für einen Betrug im großen Stil. Unter anderem verkaufen sie edle Kaffeemaschinen über einen Fake-Shop im Namen von Pfister. Hunderte, vielleicht sogar Tausende Menschen werden so von der falschen Claudia Pfister abgezockt. Viele stellen bei der Polizei Anzeige gegen sie und einer steht eines Tages sogar vor der Tür der echten Claudia Pfister und fragt: »Wo ist meine Kaffeemaschine?«

Alles beginnt Ende November 2019. Claudia erhält an diesem Tag eine Nachricht von ihrer Kreditkartengesellschaft. 500 Euro wurden abgebucht, eine Zahlung an Google Ads. Die Unternehmenscoachin wundert sich. Schon seit Jahren hat die damals 50-Jährige bei Google keine Werbung mehr für ihre Coachingfirma geschaltet. Sie überlegt - es muss mindestens zehn Jahre her sein, dass sie den Dienst zuletzt genutzt hat. Wie kommt Google dazu, ihr jetzt Werbeanzeigen in Rechnung zu stellen? Zum Glück sitzt sie gerade in ihrem Büro und hat etwas Zeit, nachzuprüfen. Die Münchnerin loggt sich in ihren Bank-Account ein und kontrolliert die Umsätze ihrer Kreditkarte. Tatsächlich: Sie findet nicht nur die 500 Euro Abbuchung vor, sondern gleich mehrere Posten, die sie nicht zuordnen kann - 1600 Euro hat Google Ads in den letzten zwei Wochen bei ihr abgebucht. Also wirklich! Claudia ist sauer. Sie will sich bei dem Konzern beschweren und das Geld zurückbuchen lassen. Aber Google zu erreichen, ist schwieriger als gedacht. Das Unternehmen, das Daten über so gut wie jeden sammelt, gibt sich selbst verschlossen. Die Coachin findet keine Telefonnummer, die sie einfach so anrufen kann. Nach einer gefühlten Ewigkeit gibt sie vorerst auf und beschwert sich schriftlich per E-Mail bei dem Konzern.

Tags darauf bekommt die Münchnerin einen Rückruf. Eine Google-Mitarbeiterin mit osteuropäischem Akzent meldet sich. Sie rufe aus Irland an, sagt sie. Google ist dort steuerlich registriert. Die Google-Mitarbeiterin möchte, das ist Standard, dass Claudia ihr Konto verifizieren soll. Kein Problem, die Unternehmerin identifiziert sich. Dann trägt sie noch einmal persönlich vor, dass die Abbuchungen der vergangenen zwei Wochen ein Irrtum sein müssen.

»Aber Sie haben erst vor Kurzem ein neues Konto bei uns eröffnet«, sagt die Google-Mitarbeiterin. Auch ihre aktuelle Kreditkarte sei hier hinterlegt. Wie bitte? Claudia muss schlucken. Ist das ein Missverständnis?

»Hören Sie, das war nicht ich. Ich werde die Abbuchungen umgehend zurückbuchen lassen«, sagt Claudia. Die Google-Mitarbeiterin scheint betroffen zu sein. »Frau Pfister, ich kann das neue Konto für Sie sicherheitshalber sperren lassen«, schlägt sie vor. »Bitte tun Sie das«, willigt Claudia ein. »Wir haben so einen Fall noch nie erlebt«, beteuert die Google-Angestellte. Claudia ist überrascht. »Wir werden den Fall weiter prüfen und wenn wir mehr Informationen haben, dann melde ich mich bei Ihnen umgehend«, verspricht die Google-Mitarbeiterin.

Nachdem sie aufgelegt hat, tauchen bei Claudia aber doch noch Fragen auf. Wenn jemand ihre Daten missbrauchen sollte, woher hat er oder sie diese dann? Und wie kann man diese Person finden und stoppen?

Claudia sucht noch einmal die Kreditkartenabrechnung heraus und prüft sie abermals, diesmal intensiver. Seltsam - auf den Abbuchungen sind sieben weitere Posten, die sie nicht zuordnen kann. Es handelt sich zwar um eher kleine Beträge, hier 10 Euro, da 20 Euro, aber das Ganze läppert sich. Abgebucht hat auch die Firma namecheap.com und eine Firma namens Server-Mask hat sogar 115 Euro eingezogen. Claudia versucht, die Firmen zu googeln. Namecheap.com ist ein Dienst, mit dem man Domains registrieren kann, aber die andere Firma findet Claudia nicht über Google. Komisch. Erst später wird sie erfahren, dass die Firma ihr Geld im Darknet verdient und ganz besondere Dienstleistungen im Angebot hat, wie etwa den Standort eines Servers zu verschleiern.

Noch ist Claudia optimistisch, dass sich die Sache schon aufklären wird. Zum Glück hat sie die Abbuchungen nur wenige Tage nach der Rechnungsstellung bemerkt. Also lassen sich die Umsätze einfach zurückholen, ein finanzieller Schaden entsteht ihr nicht.

Am Abendbrottisch der Familie sind die seltsamen Abbuchungen und das Telefonat mit Google ein Thema. Ihre zwei Kinder reagieren verdutzt, als die Mutter von diesen Vorfällen erzählt. In der Schule haben sie im Medienunterricht schon mal von Internetkriminalität gehört. Könnte Mama davon betroffen sein? Claudias Mann vermutet, dass jemand die Kreditkartendaten abgefischt hat, das kommt doch ständig vor. Falsche Abbuchungen hatte er auch schon mal. »Schatz, die Kreditkartengesellschaften sind ja versichert. Notfalls lässt du diese Karte sperren und bekommst eine neue«, schlägt er vor. Die Familie beschließt, generell etwas vorsichtiger zu sein, was Aktivitäten im Internet angeht - immerhin wollen die Pfisters über Weihnachten nach Afrika fliegen. Es ist eine lange geplante Fernreise in die Sonne. Und diese Urlaubsfreuden soll so kurz vor Weihnachten nichts trüben. 

Nur wenige Tage später meldet sich ein Polizist aus Bad Bodenteich in der Lüneburger Heide in Niedersachsen. »Verkaufen Sie Kaffeemaschinen, Frau Pfister?«, will der Beamte wissen. »Kaffeemaschinen? Nein, ich bin Coach. Entschuldigen Sie bitte, wer spricht da?«, fragt Claudia verdutzt zurück. Der Beamte stellt sich vor und sagt dann, dass er in einem Betrugsfall ermitteln würde. Über einen Fake-Shop namens coffeelo.net würden Kaffeemaschinen verkauft und es liege eine Anzeige gegen die Betreiberin des Shops vor. Auch eine Frau aus Suhlendorf habe eine Kaffeemaschine dort bestellt und bezahlt, doch die Ware nie erhalten. Und im Impressum stünde Claudia Pfister als Betreiberin des Shops - und auch ihre Adresse.

Claudia ist schockiert. »Das muss eine Verwechslung sein«, hört sie sich sagen. - »Davon gehen wir zum jetzigen Ermittlungsstand nicht aus. Es dürften deutschlandweit bald Anzeigen gegen die Shop-Betreiberin vorliegen«, sagt der Polizist ganz ruhig. Claudia ist empört, aber auch beunruhigt. Sie kann nicht glauben, was sie da hört. Denkt der Polizist etwa, sie sei eine Betrügerin? So selten ist ihr Name doch gar nicht. Es kann doch sein, dass eine andere Claudia Pfister gemeint ist. »Regen Sie sich bitte nicht auf. Ich nenne Ihnen nochmal die Adresse des Shops und dann schauen Sie dort mal ins Impressum«, schlägt der Polizist vor.

Claudia tippt mit klopfenden Herzen die Adresse in ihren Browser ein. Der Online-Shop zeigt edle Kaffeeautomaten, die Website sieht auf den ersten Blick seriös aus. Dann klickt sie ins Impressum. Dort findet sie tatsächlich ihre echte Anschrift und ihren Namen. Wie kann das sein?

»Ich habe mir schon gedacht, dass Sie nicht die Betreiberin dieses Shops sind«, sagt der Polizist. »Es scheint ein Fall von Internetkriminalität zu sein, Sie sind vermutlich Opfer eines Identitätsdiebstahls geworden.« Identitätsdiebstahl. Diesen Begriff hört Claudia zum ersten Mal. Das ist es also, was vor sich geht. »Sie müssen jetzt selbst zur Polizei gehen und Anzeige gegen Unbekannt erstatten. Die Staatsanwaltschaft Lüneburg wird in dem Fall die Ermittlungen leiten. Sie machen es den Kollegen einfacher, wenn es Ihrerseits schon eine Anzeige gibt. So verhindern Sie auch, dass gegen Sie ermittelt wird«, rät er. Und warnt: »Es könnte sein, dass Ihre Daten noch an anderen Stellen im Internet missbräuchlich auftauchen.«

Als Claudia aufgelegt hat, fühlt sie sich schlecht. Schlagartig hat sich ihr Leben verändert. Was bedeutet Identitätsdiebstahl? Was, wenn weitere Straftaten in ihrem Namen begangen wurden - kann sie dann etwa verhaftet werden? Claudia ruft ihren Mann an. »Auweia - wer weiß, woher die echten Täter deine Daten haben. Du hast doch keine Phishing-Mails bekommen, oder?«, fragt er besorgt. Claudia ist sich sicher, dass sie solche Mails, wenn denn mal welche in ihrem Postfach landeten, immer sofort gelöscht hat. Mit solchen gefälschten E-Mails, die den Empfängern falsche Tatsachen vorgaukeln und auf eine gefälschte Internetseite führen, auf der die Opfer ihre persönlichen Daten eingeben sollen, fischen Kriminelle häufig Identitätsdaten ab. »Vielleicht wurde auch irgendeine Plattform gehackt, die du nutzt. Meistens kann man sich davor ja gar nicht schützen«, vermutet ihr Mann. Er beruhigt sie. Immerhin wissen sie nun, was vor sich geht, und können etwas dagegen unternehmen. Die Anzeige gehört als Erstes dazu. An diesem Tag aber kann Claudia nichts mehr erreichen, sie hat noch einen Geschäftstermin, danach muss sie die Kinder abholen. Am nächsten Tag will sie zur nächsten Polizeiwache gehen. So etwas macht man besser persönlich vor Ort, auch wenn es digital möglich ist.

Als die Kinder abends im Bett sind, recherchiert Claudia über Internetkriminalität und Identitätsdiebstahl - und stößt auf viele beunruhigende Geschichten von Menschen, die Opfer geworden sind. Immerhin ist Identitätsdiebstahl mittlerweile ein Massenphänomen. Sie erfährt, dass Identitätsdiebstahl und Identitätsmissbrauch zwei unterschiedliche Dinge sind.

Es kann gut sein, dass Menschen schon ganz lange Opfer eines Identitätsdiebstahls geworden sind, ohne davon überhaupt zu wissen. Denn in der Regel erfährt man erst bei einem Identitätsmissbrauch davon, dass persönliche Daten entwendet worden sind. Das passiert immer...