Beim Diebstahl digitaler Identitäten gibt es viele Fragezeichen

Am 5. April fand das neunte Zürcher Präventionsforum im Zürcher Technopark statt. Die diesjährige Veranstaltung trug den Titel: "Identitätsdiebstahl in der digitalen Welt – Gefahren des Missbrauchs persönlicher Daten und Prävention". Im gut gefüllten Auditorium lauschten Juristen, IT-Verantwortliche, Sicherheitsspezialisten und auch viele Vertreter der Strafverfolgungsbehörden den Vorträgen der Experten. Organisiert und durchgeführt wurde die Veranstaltung vom Europainstitut an der Universität Zürich und der Stadtpolizei Zürich.

Begriffe sind noch sehr unscharf

Den einführenden Vortrag hielt Eric Hilgendorf, Professor für Informationsrecht und Rechtsinformatik an der Universität Würzburg. Er thematisierte die Schwierigkeiten bei der Definition von Identitätsdiebstahl (ID-Diebstahl).

Seiner Meinung nach sei es Sinnvoll in Identitätsdiebstahl und Identitätstäuschung zu unterscheiden. Beim Diebstahl unterschied er vier Fallgruppen. Der ID-Diebstahl im strengen Sinne komme so gut wie nie vor. Dies sei nur in Filmen denkbar, in der einer Person alle Informationen zur eigenen Identität genommen werden. Davon zu unterscheiden sei die einfache Identitätsübernahme. Bei dieser ahmt eine dritte Person Informationen nach, wie etwa Name, Wohnort, Kontonummer und ähnliches. Eine weitere Stufe sei die synthetische ID-Übernahme. Hierbei werden zu den übernommenen Daten noch weitere hinzugefügt. Letztlich gebe es noch die Schaffung einer neuen ID.

Nicht jeder ID-Diebstahl ist auch strafbar

Laut Hilgendorf ist der Missbrauch der Identität unabhängig davon zu betrachten. Denn die einfache Übernahme einer Identität sei nicht automatisch strafbar oder verwerflich. Als Beispiel nannte er Online-Gamer, die ganz selbstverständlich die Namen von Prominenten für ihre Charaktere nutzen, ohne dass es irgendwelche negative Konsequenzen für die bestohlene Person hätte. Erst wenn der bestohlenen Person ein Schaden entstehe, sei unter Umständen ein Straftatbestand gegeben.

Abschliessend zog Hilgendorf folgendes Resümee: "ID-Diebstahl ist kein spezifisches Einzeldelikt, sondern ein Sammelbegriff für viele mögliche Delikte", sagte er. An sich sei der Diebstahl noch kein Straftatbestand. Erst durch den Missbrauch werde er es. Daher seien die Begriffe ID-Diebstahl und ID-Missbrauch zu unterscheiden.

Persönliche Informationen sind leicht zu beschaffen

Im Anschluss zeigte die Journalistin und Ökonomin Monica Fahny, Head Zürich Office Global Risk Profile, auf, wie einfach es ist, an persönliche Informationen zu gelangen. Denn fast alle Personen hinterliessen täglich Daten, die für Unternehmen, wie auch Kriminelle von Interesse sind. "Auch über Sie und mich findet man online so einiges", hob Fahny hervor. Im Gegenteil sei es sogar auffällig, wenn man nichts über einen finde.

Wie einfach Informationen zu Personen legal beschafft werden können, veranschaulichte sie am Beispiel eines deutschen Fondsmanagers. Dieser lebte in den Vereinigten Arabischen Emiraten. Einige Kunden von Fahny wollten mit ihrer Expertise seinen Aufenthaltsort herausbekommen, da es Streitigkeiten um fragwürdige Fonds-Geschäfte gab.

Der Manager selber hatte sich im Netz sehr gut versteckt. Ausser einem Linkedin-Profil waren nur wenige Informationen direkt zu bekommen. In den USA konnte Fahny aber einige Wohnungen ausfindig machen, die auf ihn und seine Frau eingetragen waren. Mit dem Namen der Frau konnte Fahny bei der Recherche viel mehr anfangen. Diese war deutlich unvorsichtiger und postete viel Privates auf Sozialen Netzwerken. Auch die Tochter war dort sehr aktiv und unvorsichtig, wie Fahny aufzeigte. Über deren Post war es relativ einfach den Wohnort und die Alltagsgewohnheiten herauszubekommen. Diese Informationen konnten die Kunden nutzen und sich in einem Gespräch mit dem Manager einigen. Alle dafür nötigen Informationen beschaffte Fahny ohne vor Ort zu recherchieren, einfach vom PC aus und alles ganz legal.

In der anschliessenden Diskussionsrunde sagte Fahny, das sie immer wieder erstaunt sei, "wie beratungsresistent die Menschen doch sind", wenn es um Fragen des Schutzes privater Daten geht. "Die Beratung funktioniert nicht, oder nur beschränkt", hob sie weiter hervor. Häufig fehle es am Problembewusstsein der Personen. Mit dem Argument, für mich interessiert sich doch keiner, würden Bedenken leichtsinnig bei Seite gewischt.

Braucht es einen Straftatbestand ID-Diebstahl?

Im Anschluss referierte Sandra Schweingruber über die rechtlichen Rahmenbedingungen in der Schweiz in Bezug auf den ID-Diebstahl. Sie ist Professorin für Recht an der ETH Zürich und arbeitet in der Spezialabteilung Cybercrime. Im Schweizer Strafrecht gibt es noch keinen Straftatbestand, der den Diebstahl von Identitäten erfasst. Nur im Zivilrecht gibt es einen Paragraphen, der die missbräuchliche Nutzung von Namen beschreibt. Im Zivilrecht muss aber der Beklagte bekannt sein, was im Netz in der Regel nicht der Fall sei, sagte Schweingruber. Auch können auf zivilrechtlicher Basis die Polizeibehörden nicht aktiv werden.

Es stelle sich daher die Frage, ob es einen eigenen Straftatbestand ID-Diebstahl brauche, sagte sie. Der Bundesrat lehnte eine entsprechende Motion ab. Inzwischen sprachen sich aber Ständerat und Nationalrat dafür aus. Daher befindet sich der Vorschlag weiter auf dem parlamentarischen Weg, mit einem offenen Ausgang.

Der Bundesrat begründete sein Nein damit, dass der ID-Diebstahl nur das Mittel zum Zweck sei und es daher keinen eigenen Straftatbestand brauche. Denn mit den gestohlenen Identitäten würden noch weitere Taten verübt, wie etwas Betrug, Nötigung und ähnliche Delikte. Diese Taten seien durch bestehende Gesetze Abgedeckt.

Bestohlene teilweise aussen vor

Der Nachteil dieses Ansatzes ist laut Schweingruber aber, dass die Personen von denen die Identitäten gestohlen würden, nicht immer auch die Geschädigten im Prozess sind. Beispielsweise kann ein Krimineller die Identität für ein Verbrechen gegen eine dritte Person verwenden. In einem Solchen Fall werde der ID-Bestohlene nicht Teil des Verfahrens. Er müsste auch nicht informiert werden, dass seine Identität gestohlen wurde und wie der Prozess ausging.

In solchen Fällen könnten die Bestohlenen nur über den Umweg einer Erweiterung des Verfahrens, beispielsweise mit dem Tatbestand "Falsche Anschuldigungen", eingebunden werden. Dies müsse der Staatsanwalt aber aktiv machen und sei kein Automatismus.

In ganz seltenen Fällen ist der ID-Diebstahl aber auch Selbstzweck. Beispielsweise wenn ein Facebook-Profil einfach kopiert wird, ohne aber eine weiter Straftat damit zu begehen. Laut Schweingruber kann auch Facebook in einem solchen Fall nicht viel machen. Ein solches Vorgehen ist im Prinzip straflos, sagte Schweingruber weiter. Höchstens mit dem Urheberrecht könnte man hier aktiv werden, wenn das Facebook-Profil als Kunstwerk angesehen wird. Schweingruber liess sich nicht entlocken, wie ihre persönliche Meinung zur Einführung des Straftatbestands ID-Diebstahlt ist. Aus wissenschaftlicher Sicht zeigte sie nur die Spannungsfelder auf.

Die Verfolgung von ID-Diebstählen und auch die damit zusammenhängenden Cyber-Verbrechen sei sehr schwierig, sagte Schweingruber in der Diskussion. Häufig würde es den Behörden an den nötigen Ressourcen fehlen. Daher sei es nötig, ein effizientes Netz zwischen den Strafverfolgungsbehörden aufzubauen.