Identitätsdiebstahl beginnt oft unspektakulär. Eine fremde Bestellung, eine unbekannte Abbuchung oder eine Mahnung für einen Vertrag, den man nie abgeschlossen hat. Manchmal fällt der Missbrauch erst auf, wenn bereits mehrere Konten eröffnet, Waren bestellt oder Nachrichten im eigenen Namen verschickt wurden.
Die KI verschärft das Problem zusätzlich: Stimmen, Bilder und ganze Unternehmensauftritte lassen sich heute deutlich leichter glaubwürdig imitieren. Das betrifft nicht nur Privatpersonen. Auch Geschäftsführer und Unternehmen können kopiert, verfälscht oder für Betrugsversuche missbraucht werden.
Für Verbraucher und Unternehmen wird deshalb eine Frage immer wichtiger: Wie erkenne ich, ob eine Person oder Firma tatsächlich die ist, für die sie sich ausgibt?
Das Wichtigste in Kürze
- Beim Identitätsdiebstahl nutzen Kriminelle persönliche Daten, Passwörter oder Kontoinformationen, um im Namen anderer zu handeln.
- Typische Folgen sind Bestellungen, Verträge, Kontoübernahmen, betrügerische Nachrichten und gefälschte Profile.
- KI und Deepfakes erhöhen das Risiko, dass auch Geschäftsführer oder ganze Unternehmen glaubwürdig imitiert werden.
- Wer einen Missbrauch bemerkt, sollte sofort Zugänge sperren, Banken und Plattformen informieren, Beweise sichern und Anzeige erstatten.
Woran Identitätsdiebstahl auffällt
Oft bleiben solche Fälle zunächst unentdeckt. Die Polizei weist darauf hin, dass Betroffene häufig erst durch unerwartete Rechnungen, Mahnungen, ungewöhnliche Kontoaktivitäten oder Nachrichten von Bekannten merken, dass jemand ihre Identität benutzt.
Typische Warnzeichen sind unbekannte Logins, geänderte E-Mail-Adressen oder Telefonnummern, fremde Bestellungen, nicht erklärbare Abbuchungen oder plötzlich gesperrte Nutzerkonten.
Gerade deshalb ist Identitätsdiebstahl so unangenehm: Die eigentliche Tat kann bereits Wochen zurückliegen, bevor der Schaden sichtbar wird.
Was Betrüger mit gestohlenen Daten machen
Gestohlene Daten sind für Kriminelle vor allem dann wertvoll, wenn sich daraus Geld, Zugang oder Vertrauen gewinnen lässt.
Die Verbraucherzentrale nennt unter anderem kostenpflichtige Abonnements, neu eingerichtete Nutzerkonten, Warenbestellungen und abgeschlossene Verträge. Auch Deepfakes können inzwischen Teil des Missbrauchs sein.
Die Polizei berichtet, dass Täter unter fremdem Namen Darlehen beantragen oder bestehende Accounts übernehmen können. In problematischen Fällen kann die Spur einer Straftat zunächst sogar beim Opfer landen, wenn Kriminelle unter dessen Identität handeln. Identitätsdiebstahl ist deshalb längst mehr als ein gestohlenes Passwort.
Was ist ein Deepfake?
Ein Deepfake ist ein mithilfe künstlicher Intelligenz erzeugtes oder manipuliertes Bild, Video oder Audio, das echt wirken soll.
Dabei kann zum Beispiel das Gesicht einer Person in ein Video eingesetzt oder ihre Stimme künstlich nachgeahmt werden. So kann es aussehen oder klingen, als hätte ein Geschäftsführer, Politiker oder Prominenter etwas gesagt, obwohl das nie passiert ist.
Für Unternehmen sind Deepfakes besonders gefährlich, weil sie bei CEO-Fraud, gefälschten Videokonferenzen, betrügerischen Zahlungsanweisungen oder Fake-Empfehlungen eingesetzt werden können. Eine bekannte Stimme oder ein realistisches Video ist deshalb heute kein sicherer Beweis mehr dafür, dass die Person tatsächlich echt ist.
Wenn ein Geschäftsführer imitiert wird
Für Unternehmen kann ein solcher Missbrauch besonders heikel werden. Geschäftsführer hinterlassen meist viele öffentlich verfügbare Informationen: Name, Position, Fotos, Interviews, Social-Media-Profile, Unternehmensadresse und häufig auch Sprach- oder Videoaufnahmen.
Diese Informationen können für CEO-Fraud-Angriffe genutzt werden.
Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass Deepfakes unter anderem eingesetzt werden können, um Stimmen nachzuahmen und damit betrügerische Zahlungsanweisungen glaubwürdiger erscheinen zu lassen. Auch gezieltes Phishing kann durch gefälschte Identitäten überzeugender wirken.
Das Prinzip ist einfach: Ein Mitarbeiter erhält eine Nachricht oder einen Anruf, der scheinbar vom Geschäftsführer stammt. Es geht um eine dringende Zahlung, eine vertrauliche Transaktion oder eine sensible Angelegenheit. Zeitdruck und Autorität sollen verhindern, dass die Anfrage noch einmal geprüft wird.
Europol dokumentierte im Zusammenhang mit einem internationalen CEO-Fraud-Netzwerk einen Fall, bei dem ein Pariser Immobilienunternehmen innerhalb weniger Tage fast 38 Millionen Euro verlor. Die Täter gaben sich dabei unter anderem als vertrauenswürdige Berater aus und brachten den CFO zu mehreren Überweisungen.
Was ist ein CEO-Fraud-Angriff?
Ein CEO-Fraud-Angriff ist eine Betrugsmasche, bei der sich Kriminelle als Geschäftsführer, Vorstand oder andere Führungskraft eines Unternehmens ausgeben. Ziel ist meist, Mitarbeiter zu einer Überweisung, Herausgabe sensibler Daten oder anderen vertraulichen Handlungen zu bewegen.
Typisch ist hoher Zeitdruck: Eine angeblich dringende Zahlung, eine vertrauliche Übernahme oder eine Rechnung soll sofort bearbeitet werden. Früher lief das vor allem über gefälschte E-Mails. Heute können zusätzlich KI-generierte Stimmen, Deepfakes oder täuschend echte Nachrichten eingesetzt werden, wodurch solche Angriffe glaubwürdiger wirken.
Ein wichtiges Warnsignal ist, wenn eine ungewöhnliche Zahlung oder Änderung der Bankverbindung nur über einen einzelnen Kommunikationsweg angeordnet wird. Solche Anweisungen sollten immer über einen zweiten, bereits bekannten Kontaktweg bestätigt werden.
Wenn gleich ein ganzes Unternehmen kopiert wird
Nicht nur Personen lassen sich imitieren. Auch komplette Unternehmensidentitäten können für Betrug missbraucht werden.
In der Praxis werden reale Firmennamen, Logos, Ansprechpartner oder Registerdaten übernommen und mit einer falschen Domain, einer neuen Bankverbindung oder erfundenen Kontaktdaten kombiniert. Gerade diese Mischung aus echten und manipulierten Angaben macht solche Fälle schwer erkennbar.
Auch offizielle Registerinformationen können für Betrugsversuche missbraucht werden. Das Unternehmensregister warnt ausdrücklich vor unlauteren Anbietern und gefälschten Zahlungsaufforderungen im Zusammenhang mit Registereinträgen.
Für Geschäftspartner reicht es deshalb nicht, nur den Firmennamen zu kennen. Firma, Geschäftsführung, Adresse, Domain, Kontaktdaten und Bankverbindung sollten zusammenpassen.
Ein Registereintrag beweist noch keine Seriosität
Ein Eintrag im Handels- oder Unternehmensregister ist wichtig, bestätigt aber zunächst nur die formale Existenz einer Gesellschaft.
Ob Geschäftsmodell, Ansprechpartner, Angebot oder Zahlungsaufforderung tatsächlich seriös sind, muss zusätzlich geprüft werden. Ein real existierendes Unternehmen kann ebenso imitiert werden wie eine Privatperson.
Neben offiziellen Registerdaten sollten deshalb auch Website, Impressum, Domain, Unternehmenshistorie und externe Informationen betrachtet werden. Bei Abweichungen lohnt sich eine direkte Rückfrage über offiziell veröffentlichte Kontaktdaten.
SCOREDEX ergänzt eine reine Registerprüfung um eine breitere Auswertung öffentlich verfügbarer Informationen, etwa zu Management, Unternehmenshistorie, Reputation und Transparenz. Weitere Informationen finden sich beim SCOREDEX-Unternehmenscheck.
Fünf Warnzeichen bei möglichem Unternehmens- oder Identitätsmissbrauch
Nicht jedes ungewöhnliche Detail bedeutet automatisch Betrug. Mehrere Auffälligkeiten zusammen sollten aber ernst genommen werden.
- Die verwendete E-Mail-Domain unterscheidet sich von der offiziellen Unternehmensdomain.
- Geschäftsführer oder Ansprechpartner stimmen nicht mit öffentlichen Unternehmensangaben überein.
- Zahlungen sollen kurzfristig auf eine neue oder ungewöhnliche Bankverbindung erfolgen.
- Der Kontakt erzeugt starken Zeitdruck und fordert ungewöhnliche Vertraulichkeit.
- Website, Impressum, Telefonnummer und Unternehmenshistorie passen nicht schlüssig zusammen.
Gerade im B2B-Bereich kann eine kurze Gegenprüfung einen erheblichen Schaden verhindern.
Identität gestohlen: Was Betroffene sofort tun sollten
Wenn der Verdacht auf Identitätsmissbrauch besteht, zählt Geschwindigkeit. Betroffene Passwörter sollten sofort geändert werden. Wurde dasselbe Passwort mehrfach verwendet, sollten auch die anderen Konten geprüft werden. Unbekannte Sitzungen oder Geräte sollten entfernt und betroffene Plattformen informiert werden.
Bei finanziellen Schäden sollten Bank oder Zahlungsdienstleister unmittelbar kontaktiert werden. Wurde ein Ausweis gestohlen oder missbraucht, sollte auch geprüft werden, ob zusätzliche Sperren erforderlich sind.
Wichtig ist außerdem die Dokumentation. Screenshots, E-Mails, Rechnungen, Telefonnummern, Links, Kontoangaben und Chatverläufe sollten gesichert werden.
Eine Strafanzeige kann bei der Polizei beziehungsweise über die Onlinewachen der Landespolizeien gestellt werden. Die Polizei bietet dazu auch eine Checkliste für den Ernstfall an.
Warum viele Menschen erst reagieren, wenn bereits etwas passiert ist
Der Cybersicherheitsmonitor 2026 von polizeilicher Kriminalprävention und BSI zeigt, dass sich nur 14 Prozent der Befragten regelmäßig über Cybersicherheit informieren. Rund 40 Prozent beschäftigen sich erst mit dem Thema, wenn bereits ein Problem aufgetreten ist.
Bei einem Identitätsdiebstahl ist das problematisch. Wer erst nach der ersten Mahnung reagiert, kämpft möglicherweise bereits an mehreren Stellen gleichzeitig mit den Folgen.
Drei Schutzmaßnahmen für Unternehmen
Unternehmen sollten neben klassischer IT-Sicherheit auch Prozesse gegen Identitätsmissbrauch etablieren.
- Ungewöhnliche Zahlungsanweisungen sollten immer über einen zweiten Kommunikationsweg bestätigt werden. Eine E-Mail oder eine bekannte Stimme allein sollte für größere Transaktionen nicht genügen.
- Änderungen von Bankverbindungen sollten separat verifiziert werden. Besonders bei neuen Kontodaten empfiehlt sich eine Rückfrage über bereits bekannte Kontaktdaten.
- Unternehmen sollten regelmäßig nach Fake-Domains und imitierten Profilen suchen. Je früher Unregelmäßigkeiten auffallen, desto schneller kann man reagieren.
Diese Maßnahmen sind organisatorisch vergleichsweise einfach durchzuführen, schließen aber genau die Lücke, die viele Social-Engineering-Angriffe ausnutzen.
Wie SCOREDEX bei der Unternehmensprüfung helfen kann
Wer mit einem bislang unbekannten Unternehmen zusammenarbeiten, darin investieren oder einen größeren Vertrag abschließen will, sollte nicht allein auf Website, Werbeaussagen oder Bewertungen vertrauen.
SCOREDEX betrachtet öffentlich verfügbare Informationen zu Unternehmen und Management und ergänzt damit die reine Registerprüfung. Im Mittelpunkt stehen unter anderem Unternehmenshistorie, Transparenz, Reputation und Nachvollziehbarkeit.
Der SCOREDEX-Unternehmenscheck kann dabei ein zusätzlicher Baustein sein, um Widersprüche oder Auffälligkeiten frühzeitig zu erkennen.
Ein solcher Check kann aber dabei helfen, Widersprüche und auffällige Angaben zu erkennen, bevor Geld überwiesen, ein Vertrag abgeschlossen oder einer Ihnen unbekannten Firma vertraut wird.
Fazit: Identität ist längst ein Wirtschaftsgut
Identitätsdiebstahl bedeutet nicht mehr nur, dass jemand einen Namen oder ein Passwort benutzt. Aus gestohlenen Daten können Bestellungen, Verträge, Kontoübernahmen, Fake-Profile, Deepfakes oder betrügerische Zahlungsanweisungen entstehen.
Besonders für Unternehmen wächst das Risiko, weil Geschäftsführer, Logos, Firmendaten und Kommunikationsmuster öffentlich verfügbar sind und mit KI leichter nachgeahmt werden können.
Der beste Schutz besteht deshalb aus zwei Ebenen: eigene Daten und Zugänge konsequent sichern – und die Identität des Gegenübers prüfen, bevor Vertrauen, Geld oder sensible Informationen weitergegeben werden.
Ein professioneller Auftritt, ein plausibler Firmenname oder sogar eine bekannte Stimme sind noch kein Beweis dafür, dass die Person oder das Unternehmen dahinter echt ist.
Häufige Fragen zu Identitätsdiebstahl
Woran merke ich, dass meine Identität gestohlen wurde?
Typische Hinweise sind unbekannte Abbuchungen, Mahnungen, Bestellungen, neue Konten, ungewöhnliche Logins oder Nachrichten, die in Ihrem Namen verschickt wurden. Auch veränderte Kontoeinstellungen können ein Warnsignal sein.
Was soll ich bei Identitätsdiebstahl zuerst tun?
Sichern Sie betroffene Konten, ändern Sie Passwörter und informieren Sie bei finanziellen Vorgängen sofort Bank oder Zahlungsdienstleister. Beweise sollten gesichert und der Vorfall bei der Polizei angezeigt werden.
Können Betrüger mit meinen Daten Verträge abschließen?
Ja. Polizei und Verbraucherzentrale weisen darauf hin, dass gestohlene Identitätsdaten unter anderem für Bestellungen, Abonnements, Verträge und teilweise auch Darlehen verwendet werden können.
Können auch Geschäftsführer Opfer von Identitätsmissbrauch werden?
Ja. Beim CEO-Fraud geben sich Kriminelle als Geschäftsführer oder Führungskräfte aus. KI-generierte Stimmen und andere Deepfakes können solche Betrugsversuche glaubwürdiger machen.
Wie kann ich prüfen, ob ein Unternehmen echt und seriös ist?
Prüfen Sie Registerdaten, Geschäftsführung, Adresse, Domain, Impressum und externe Quellen. Ein Registereintrag bestätigt nur die formale Existenz eines Unternehmens und ist kein Beweis dafür, dass ein konkretes Angebot seriös ist.
Quellen
Verbraucherzentrale: Welche Folgen Identitätsdiebstahl im Internet haben kann
Polizeiliche Kriminalprävention: Identitätsdiebstahl verhindern und im Ernstfall handeln
Polizeiliche Kriminalprävention: Checkliste Identitätsdiebstahl
Polizei und BSI: Cybersicherheitsmonitor 2026
BSI: Deepfakes – Risiken und Schutzmaßnahmen
Europol: CEO-Fraud – dokumentierter Fall mit Millionenverlust
Unternehmensregister: Offizielle Unternehmensdaten und Warnhinweise
SCOREDEX: Unternehmensprüfung und Seriositätscheck
