DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE 1.2 Diebstahl und Missbrauch von Identitätsdaten Unter einer Identität wird im Kontext der Informationssicherheit die Menge von Merkmalen verstanden, die die Echtheit einer Person oder Sache nachweist. Die Identität einer Person oder Sache kann sowohl durch ein einziges Merkmal oder aber durch die Kombination diverser Merkmale bestimmt werden. Im Internet wird auf die Identität einer Person meist aus Identifikations- und Authentisierungsdaten geschlossen wie zum Beispiel aus der Kombination von Benutzername und Passwort. Als Identitätsdiebstahl wird folglich die rechtswidrige Aneignung solcher Daten bezeichnet. Wird zudem die Identität nach dem Diebstahl unautorisiert für eigene oder fremde Zwecke verwendet, wird dies auch als Identitätsmissbrauch bezeichnet. Meldungen zum Abfluss von Identitätsdaten wurden, wie auch im vergangenen Berichtszeitraum, regelmäßig beobachtet. Unabhängig von den Vorteilen, die große Digitalisierungsprojekte erwarten lassen, werden sie daher nur dann gelingen und eine entsprechende Akzeptanz erfahren, wenn sie von Anfang an sicher gestaltet und auch langfristig mit den hierfür notwendigen Ressourcen hinterlegt werden. Hierbei ist seitens der Anbieter von Internetdiensten insbesondere auch die Integration von Verfahren zur sicheren Identifizierung für den erstmaligen Kundenkontakt vorzusehen. Erst durch eine dem Schutzbedarf angemessene Identifizierung eines Nutzers kann ein Dienst sicherstellen, dass sensible Daten nur durch berechtigte Personen und nicht durch Dritte verwendbar sind. Die aktuellen Fälle von Identitätsdiebstahl zeigen jedoch auch, dass die digitale Eigenverantwortung jedes Einzelnen einen wesentlichen Bestandteil der nachhaltigen Informations- und IT-Sicherheit darstellt. Die Fülle kompromittierter Nutzerinformationen und deren Missbrauchsmöglichkeiten macht private Informationen zu einem weithin verfügbaren und wertvollen Handelsgut, wodurch Sicherheit und Vertrauen in die gesamte digitale Infrastruktur gefährdet sind. Denn diese Daten steigern in den Händen von Angreifern die Aussichten enorm, dass Manipulations- und Erpressungsbestrebungen sowie automatisierte Authentisierungsversuche (sogenanntes Credential Stuffing) bis hin zum Direktzugriff auf fremde Konten von Erfolg gekennzeichnet sind. Das BSI empfiehlt deswegen, Sorgfalt im Umgang mit den eigenen, persönlichen Informationen walten zu lassen und die Verwendung einer Zwei-Faktor-Authentisierung in Anspruch zu nehmen, sobald ein Online-Dienst dies ermöglicht. So wurde etwa mit dem Standard FIDO2 (Fast Identity Online 2) ein Protokoll für die Authentifizierung 18 definiert, das die Verwendung von Schlüsselspeichern in Mobilgeräten oder externen Hardware-Token als Authentifizierungsfaktor erlaubt, und das bereits in den meisten Browsern implementiert worden ist. Das Protokoll basiert auf Public-Key-Kryptografie, bei der Nutzerinnen und Nutzer ihre privaten Schlüssel nie mit dem Dienst teilen müssen, sondern dessen Besitz mit einer digitalen Signatur über einen Zufallswert nachweist. Der Standard wird bereits durch viele Diensteanbieter wie zum Beispiel Google, Facebook und Microsoft unterstützt. Durch die Verwendung von Authentifizierungsfaktoren aus getrennten Kategorien (Wissen, Besitz oder biometrische Merkmale) wird die Möglichkeit eines Identitätsdiebstahls bzw. -missbrauchs deutlich erschwert. Eine prominente Form des Identitätsdiebstahls ist das sogenannte Phishing. Mit Hilfe hoch entwickelter Techniken des Social Engineering versucht ein Angreifer, das Opfer zur Herausgabe sensibler Informationen zu bewegen (vgl. Kapitel Phishing und weitere Betrugsformen, Seite 18). Eine weitere Möglichkeit, Identitätsdaten zu entwenden, besteht im Einsatz spezieller Schadprogramme (vgl. Kapitel Schadprogramme für den Diebstahl von Identitätsdaten, Seite 20). Aber auch ohne direkte Beteiligung des Opfers können Identitätsdaten entwendet werden, zum Beispiel direkt bei einem Dienstanbieter (vgl. Kapitel Daten-Leaks, Seite 20). 1.2.1 Phishing und weitere Betrugsformen Beim Thema Phishing stehen in Deutschland neben Bankkundinnen und -kunden insbesondere auch Kundinnen und Kunden von Online-Versandhändlern wie Amazon oder Bezahlsystemen wie PayPal im Fokus der Angreifer. Nach wie vor orientieren sich aktuelle Phishing-Kampagnen an gesellschaftlichen Ereignissen und aktuellen Themen wie etwa Steuerrückzahlungen oder Rabatt-Aktionen zum Black Friday. Während sich Angreifer im vergangenen Berichtszeitraum die Unsicherheit rund um das Thema Datenschutzgrundverordnung (DSGVO) zunutze machten, stand im aktuellen Berichtszeitraum größtenteils die Umsetzung der zweiten Zahlungsdiensterichtlinie (Payment Service Directive 2, PSD2) im Vordergrund. Aber auch die Auswirkungen der COVID-19-Pandemie spiegelten sich in der digitalen Welt wider. Die Unsicherheit im Umfeld der Maßnahmen gegen die COVID-19-Pandemie, der reale und empfundene Zeitdruck und die gesellschaftliche und mediale Dominanz des Themas wurden von Angreifern ausgenutzt. Vor diesem Hintergrund wurden dem BSI deutschsprachige Phishing-E-Mails gemeldet, die sich dadurch auszeichnen, dass sie in gutem Deutsch formuliert sind, gezielt mit Emotionen spielen und das bestimmende Thema COVID-19 adressieren: Die vorübergehende Schließung