Kapitel 30: Diebstahl sozialer Profile: Die digitale Identität

Unsere digitale Identität ist längst nicht mehr nur eine Ansammlung von Pixeln, Urlaubsfotos oder flüchtigen Gedanken auf Twitter. Im dritten Jahrzehnt des 21. Jahrhunderts ist unser soziales Profil unser Gesicht zur Welt. Es ist unsere Visitenkarte, unser Portfolio, unser Erinnerungsarchiv und oft – die Haupteinnahmequelle unseres Lebensunterhalts. Wenn jemand dieses Profil übernimmt, 'hackt' er nicht einfach einen Computer; er begeht Identitätsdiebstahl, stiehlt die berufliche Stimme und das Vertrauen, das über Jahre hinweg gegenüber Freunden, Kunden und Partnern aufgebaut wurde.

In den vorangegangenen Kapiteln haben wir uns mit dem WhatsApp-Hacking und dem Einbruch in E-Mail-Konten befasst, die zweifellos traumatische Ereignisse sind. Doch der Diebstahl eines sozialen Profils (Instagram, Facebook, LinkedIn oder TikTok) trägt eine andere Schwere in sich. Hier beobachtet der Eindringling nicht nur Informationen, sondern agiert nach außen hin unter der Identität des Benutzers. Er veröffentlicht Beiträge, kontaktiert Kontakte und nutzt den erworbenen Ruf, um andere in die Falle zu locken. Dies ist eine Verletzung der Privatsphäre und des Eigentums, die den Betroffenen oft hilflos gegenüber den Algorithmen internationaler Technologieunternehmen zurücklässt.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen ausschließlich der Veranschaulichung.

Mayas Geschichte: Wenn ein Traum in drei Klicks zum Albtraum wird

Maya befand sich in einer Phase beruflichen Wachstums. Nach Jahren als Angestellte im Designbereich gründete sie ein unabhängiges Label für handgefertigten Schmuck. Der Motor ihres Geschäfts war der Instagram-Account 'Maya’s Gold'. Mit einer treuen Fangemeinde wurde jede 'Story', die sie hochlud, in Bestellungen umgewandelt, und jeder Beitrag war ein sorgfältig kuratiertes Schaufenster. Für Maya war dieser Account ihr zentrales geschäftliches Vermögenswert.

Es geschah an einem normalen Tag, am Abend. Maya erhielt eine Nachricht in ihrem DM-Posteingang (Privatnachrichten) auf Instagram. Die Nachricht sah offiziell aus, mit einem Logo, das wie das von Meta aussah. Darin stand, dass das Konto aufgrund einer Urheberrechtsverletzung von der Schließung bedroht sei und sie innerhalb von 24 Stunden über den beigefügten Link ihre Identität bestätigen müsse, andernfalls würde das Konto gelöscht werden.

Aus Angst, jahrelange Arbeit zu verlieren, handelte Maya schnell. Sie klickte auf den Link, der zu einer Seite führte, die genau wie die Anmeldeseite von Instagram aussah. Sie gab ihren Benutzernamen, ihr Passwort und den Bestätigungscode der Zwei-Faktor-Authentifizierung ein, der Sekunden später per SMS bei ihr einging.

Nach der Bestätigung konnte sie nicht mehr auf ihr Konto zugreifen. Das System meldete, dass das 'Passwort falsch' sei. Bei einer Überprüfung stellte sich heraus, dass die mit dem Konto verknüpfte E-Mail-Adresse in eine ihr unbekannte ausländische Adresse geändert worden war.

Kurz darauf begannen fremde Veröffentlichungen auf dem Konto zu erscheinen. Die Fotos ihres Schmucks wurden durch Grafiken von Kryptowährungen und Versprechungen auf schnelle Gewinne ersetzt. Zudem wurden Nachrichten an ihre Kunden verschickt, die 'Angebote' anboten und um schnelle Geldüberweisungen über Zahlungs-Apps baten.

Maya versuchte, Berichte an die Plattform zu senden und Identitätsprüfungen mittels automatisierter Mittel durchzuführen, stieß jedoch auf lakonische Antworten. Sie hatte das Gefühl, dass jemand ihren Namen und ihren Ruf benutzte, um ihre Kunden zu betrügen, während sie selbst keinen Zugang mehr zu ihrem digitalen Vermögenswert hatte.

Die Anatomie des Hacks: Wie wird die Identität gestohlen?

Mayas Szenario veranschaulicht eine verbreitete Methode, die als 'Echtzeit-Phishing' (Real-time Phishing) bezeichnet wird. In einem solchen Szenario bauen die Angreifer eine gefälschte Website auf, die zwischen dem Benutzer und der echten Website vermittelt. Sobald der Benutzer den Authentifizierungscode eingibt, verwendet der Angreifer ihn sofort auf der offiziellen Website, um das Konto zu übernehmen, die Kontaktdaten zu ändern und neue Wiederherstellungscodes zu generieren.

Über das Phishing hinaus gibt es weitere Methoden zur Übernahme von Profilen:

• Social Engineering: Kontakt aufnehmen, manchmal über das Konto eines gehackten Bekannten, und um 'Hilfe' beim Erhalt eines Codes bitten. Der gesendete Code ist in Wirklichkeit der Wiederherstellungscode für das Konto des betroffenen Benutzers.
• Session Hijacking (Session-Diebstahl): Verwendung von Schadsoftware zum Stehlen des 'Cookies', das es dem Benutzer ermöglicht, eingeloggt zu bleiben, wodurch die Zwei-Faktor-Authentifizierungsmechanismen umgangen werden.
• Verwendung geleakter Datenbanken: Der Versuch, Passwörter zu verwenden, die von anderen Websites durchgesickert sind, um sich in soziale Netzwerke einzuloggen.

Der Schaden bei einem Profil-Diebstahl ist erheblich: Verletzung der Privatsphäre durch Zugriff auf Nachrichten und persönliche Fotos sowie ein schwerer geschäftlicher Schaden, der die Einstellung des Betriebs und eine Rufschädigung gegenüber Kunden beinhaltet, die im Namen des ursprünglichen Kontoinhabers Opfer eines Betrugs werden könnten.

Das Recht auf Identität: Der rechtliche Rahmen in Israel

Rechtlich gesehen betrifft der Diebstahl eines sozialen Profils mehrere Gesetzgebungen. Das zentrale Gesetz ist das Computergesetz von 1995, das den unbefugten Zugriff auf Computermaterial sowie den Zugriff zur Begehung einer anderen Straftat untersagt. Diese Straftaten ziehen die gesetzlich vorgesehenen Haftstrafen nach sich.

Darüber hinaus legt das Datenschutzgesetz von 1981 fest, dass die Verwendung des Namens, des Bildes oder der Stimme einer Person zu kommerziellen Zwecken ohne deren Zustimmung als Verletzung der Privatsphäre angesehen werden kann. Ebenso können unter entsprechenden Umständen zivilrechtliche Delikte wie Betrug oder Fahrlässigkeit geprüft werden.

Eine komplexe Rechtsfrage ist die Frage der Haftung der Plattform (wie Meta oder LinkedIn). Obwohl die Nutzungsbedingungen die Verantwortung auf den Benutzer übertragen, gibt es einen rechtlichen Trend, der eine gewisse Sorgfaltspflicht dieser Unternehmen anerkennt. In Fällen, in denen Fahrlässigkeit der Plattform nachgewiesen werden kann – wie etwa das Nicht-Reagieren auf Meldungen während der Schaden eskaliert oder ein Versagen bei angemessenen Sicherheitsmechanismen –, kann eine zivilrechtliche Haftung geprüft werden.

Eine rechtliche Analyse der Situation in Israel ergibt, dass Gerichte in bestimmten Fällen Anträgen auf Anordnungen stattgeben könnten, die soziale Netzwerke dazu verpflichten, IP-Adressen der Angreifer offenzulegen oder den Zugang zu Konten wiederherzustellen, auch wenn dies Verfahren sind, die eine Auseinandersetzung mit internationalen Konzernen erfordern.

Der Kampf um das virtuelle Zuhause: Umgang mit Technologieriesen

Eine der größten Schwierigkeiten für ein Opfer eines Hacks ist die Interaktion mit den automatisierten Support-Systemen der sozialen Netzwerke, die oft in eine digitale Sackgasse führen.

In solchen Situationen können professionelle und rechtliche Schritte geprüft werden, um die Bearbeitung auf einen menschlicheren und professionelleren Pfad zu lenken:

Erstens: Vollständige Dokumentation jedes Anmeldeversuchs, jeder Fehlermeldung und jeder Anfrage an die Plattform. Zweitens: Einreichung einer Online-Beschwerde bei der Cyber-Einheit der Polizei. Die Bestätigung über die Einreichung der Beschwerde dient als offizielle Dokumentation der kriminellen Aktivitäten im Konto.

Bei erheblichem Schaden kann eine Kontaktaufnahme durch Anwälte an die Rechtsabteilungen der Unternehmen in Erwägung gezogen werden. Israelische Gerichte haben die Möglichkeit anerkannt, Klageschriften an lokale Vertretungen von Großunternehmen zuzustellen, was die Einleitung rechtlicher Schritte zur Wiederherstellung des Kontozugriffs erleichtern kann.

Jeder Fall muss nach seinen Umständen geprüft werden: der Sorgfalt des Benutzers, der Art des Hacks und der Reaktion der Plattform. Diese Daten beeinflussen die rechtlichen Möglichkeiten zur Wiederherstellung des Kontos oder zur Forderung von Schadensersatz.

Warnsignale (Red Flags)

• Dringende DM-Nachrichten: Offizielle Plattformen kontaktieren Benutzer in der Regel nicht per privater Nachricht bezüglich Sicherheitsfragen oder Kontoschließungen.
• Anforderung eines Bestätigungscodes: Bestätigungscodes (2FA) sollten niemals an Dritte weitergegeben werden, auch wenn die Anfrage von einem Freund oder einem Support-Mitarbeiter zu stammen scheint.
• Links, die nicht zur offiziellen Domain führen: Vor der Eingabe von Daten sollte die Website-Adresse sorgfältig überprüft werden.
• Ungewöhnliche Aktivitäten bei Konten von Bekannten: Beiträge über Investitionen oder Bitten um Unterstützung beim Erhalt von Codes können auf ein gehacktes Konto hinweisen.

Was kann sofort getan werden (Action Plan)

1. Keine Lösegelder zahlen: Eine Zahlung an den Angreifer garantiert nicht die Wiederherstellung des Kontos und kann weitere Erpressungsversuche fördern.
2. Meldung über offizielle Kanäle: Nutzung der dedizierten Meldeseiten (wie instagram.com/hacked) von einem dem System bekannten Gerät aus.
3. Absicherung weiterer Konten: Änderung der Passwörter im E-Mail-Postfach und bei anderen Diensten, die ein ähnliches Passwort verwenden.
4. Community informieren: Warnung von Followern und Freunden über alternative Plattformen, um weiteren Schaden zu verhindern.
5. Rechtliche Dokumentation: Einreichung einer Online-Beschwerde bei der Polizei zur Beweissicherung.

Rechtlicher Aspekt

Es ist wichtig zu bedenken, dass der virtuelle Raum im Staat Israel den gesetzlichen Bestimmungen unterliegt. Das Computergesetz und das Datenschutzgesetz bieten Werkzeuge zur Bewältigung von Angriffen auf die digitale Identität. In Fällen, in denen ein erheblicher Schaden entstanden ist, kann die Haftung der beteiligten Parteien geprüft werden. Die Aussicht auf Wiederherstellung des Zugangs oder eine Prüfung von Schadensersatz hängt von den spezifischen Umständen, der vorhandenen Dokumentation und der Geschwindigkeit der Reaktion ab. Es wird empfohlen, Fachleute aus dem Bereich Recht und Cyber-Sicherheit zu konsultieren, um die effizientesten Vorgehensweisen für jeden Einzelfall zu prüfen.

In unserem lehrreichen Szenario könnte es Maya nach entschlossenem Handeln und professioneller Begleitung gelingen, den Zugang zu ihrem Konto wiederzuerlangen. Auch wenn es Zeit erfordern mag, den Ruf und das Vertrauen gegenüber den Kunden wiederherzustellen, könnte ihre digitale Identität in ihre Hände zurückkehren. Dieser Fall unterstreicht die Bedeutung von äußerster Vorsicht und dem Schutz unserer digitalen Vermögenswerte in der modernen Realität.