Identitätsdiebstahl: So reagieren Sie richtig

Woran Sie es merken

Identitätsdiebstahl fällt selten sofort auf. Typischerweise melden sich zuerst die Folgen:

• Rechnungen oder Mahnungen für Bestellungen, die Sie nie aufgegeben haben
• ein Inkassoschreiben zu einem Vertrag, den Sie nicht kennen
• ein abgelehnter Kredit oder Mobilfunkvertrag ohne erkennbaren Grund
• Post einer Bank zu einem Konto, das Sie nie eröffnet haben
• in der Datenkopie der Auskunftei: Anfragen von Unternehmen, mit denen Sie nichts zu tun hatten

Der letzte Punkt ist der wichtigste Frühindikator – und der einzige, den Sie aktiv prüfen können, bevor Schaden entsteht. Wie Sie die kostenlose Datenkopie bei allen Auskunfteien anfordern, steht unter Auskunfteien in Deutschland.

Die ersten 24 Stunden

• Karten und Online-Banking sperren, wenn Zahlungsdaten betroffen sein könnten – über Ihre Bank oder den Sperr-Notruf 116 116.
• Strafanzeige stellen, bei der Polizei oder online über die Internetwache Ihres Bundeslandes. Das Aktenzeichen brauchen Sie danach immer wieder: Unternehmen und Auskunfteien verlangen es als Beleg.
• Passwörter ändern, zuerst beim E-Mail-Konto. Wer Zugriff auf Ihr Postfach hat, kann Passwörter aller anderen Dienste zurücksetzen.
• Betroffene Unternehmen schriftlich informieren und die Forderung ausdrücklich bestreiten.
• Alles dokumentieren: Schreiben, Daten, Namen, Aktenzeichen. Sie werden denselben Sachverhalt mehrfach erklären müssen.

Sie müssen nicht zahlen – aber Sie müssen widersprechen

Wenn ein Dritter in Ihrem Namen bestellt oder einen Vertrag geschlossen hat, ist zwischen Ihnen und dem Unternehmen kein Vertrag zustande gekommen. Eine Zahlungspflicht besteht nicht. Wer den Vertragsschluss behauptet, muss ihn beweisen – nicht Sie seine Nichtexistenz.

Das gilt aber nur, wenn Sie sich melden. Schweigen führt zu Mahnung, Inkasso und am Ende zum gerichtlichen Mahnbescheid. Widersprechen Sie deshalb früh, schriftlich und nachweisbar:

„Der Forderung aus Ihrem Schreiben vom … widerspreche ich vollumfänglich. Ich habe weder eine Bestellung aufgegeben noch einen Vertrag geschlossen. Meine Daten wurden missbräuchlich verwendet; ich habe Strafanzeige erstattet (Aktenzeichen …). Ich fordere Sie auf, die Forderung nicht weiterzuverfolgen, keine Meldung an Auskunfteien vorzunehmen und eine bereits erfolgte Meldung zu widerrufen.“

Wie Sie auf ein Inkassoschreiben richtig reagieren, steht im Ratgeber Inkasso. Kommt bereits ein gerichtlicher Mahnbescheid, haben Sie zwei Wochen Zeit für den Widerspruch – diese Frist dürfen Sie unter keinen Umständen verstreichen lassen.

Wenn bereits Geld abgebucht wurde

Bei einer nicht autorisierten Zahlung muss Ihre Bank den Betrag unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach Ihrer Anzeige (§ 675u BGB). Ihre Mithaftung bei Kartenmissbrauch ist auf 50 Euro begrenzt, und sie entfällt, wenn keine starke Kundenauthentifizierung verlangt wurde. Die Ausschlussfrist beträgt 13 Monate ab Belastung. Die Einzelheiten stehen unter Chargeback.

Einträge bei Auskunfteien bereinigen

Der teuerste Teil des Schadens ist meist nicht das Geld, sondern der Negativeintrag. Gehen Sie in dieser Reihenfolge vor:

• Datenkopie bei allen Auskunfteien anfordern und notieren, welches Unternehmen wann welchen Eintrag gemeldet hat.
• Löschung verlangen – bei der Auskunftei und beim meldenden Unternehmen. Legen Sie das Aktenzeichen der Strafanzeige bei. Auskunfteien löschen am schnellsten, wenn der Melder selbst widerruft.
• Identitätsmissbrauch melden: Die großen Auskunfteien nehmen einen entsprechenden Hinweis in den Datensatz auf. Künftige Anfragen werden dann genauer geprüft.
• Nachkontrollieren: Fordern Sie zwei bis drei Monate später erneut die Datenkopie an und prüfen Sie, ob wirklich alles verschwunden ist.

Wie Löschungen und Fristen funktionieren, steht unter SCHUFA-Eintrag löschen. Die Voraussetzungen, unter denen ein Negativmerkmal überhaupt gemeldet werden darf, erklärt der Ratgeber SCHUFA-Klausel – bei Identitätsmissbrauch fehlt es regelmäßig schon an einer wirksamen Forderung.

Vorbeugen

Maßnahme	Warum
Datenkopie einmal jährlich prüfen	der einzige Weg, Missbrauch zu bemerken, bevor Mahnungen kommen
Zwei-Faktor-Authentifizierung überall aktivieren	ein gestohlenes Passwort allein reicht dann nicht
Eigene, lange Passwörter je Dienst	verhindert, dass ein Datenleck alle Konten öffnet
Ausweiskopien schwärzen	für eine Altersprüfung genügt das Geburtsdatum
Datensparsam bestellen	je weniger Stellen Ihre Daten halten, desto kleiner die Angriffsfläche
Post ernst nehmen	fehlende Kontoauszüge oder umgeleitete Post sind ein Warnsignal

Und wenn der Verdacht besteht, dass Daten aus einem Leck stammen: Der HPI Identity Leak Checker und ähnliche Dienste zeigen, ob Ihre E-Mail-Adresse betroffen ist. Wir sind keine Rechtsanwälte; bei hohen Forderungen oder laufenden Verfahren gehört der Fall in anwaltliche Hände.

Für die entstandenen Nachteile gibt es einen eigenen Anspruch: Falscher Schufa-Eintrag: Schadensersatz.

Wurden mit Ihren Daten Zahlungen ausgelöst, greift § 675u BGB – die Fristen stehen unter nicht autorisierte Kartenzahlung.

Die neue Empfängerüberprüfung ist das wirksamste Mittel gegen geänderte Bankverbindungen – siehe Echtzeitüberweisung.

Um herauszufinden, wo Ihre Daten aufgetaucht sind, hilft der Auskunftsanspruch nach Artikel 15 DSGVO.

Geben Sie Nachweise nur gezielt und geschwärzt heraus – die Regeln dafür stehen unter Mieterselbstauskunft.