Identitätsdiebstahl: was tun, wenn auf Ihren Namen Konten eröffnet und Waren bestellt wurden

Aktualisiert am 17. September 2026

Identitätsdiebstahl liegt vor, wenn jemand mit Ihren Personalien, Ausweisdaten oder Zugangsdaten Verträge schließt, Konten eröffnet oder Waren bestellt, ohne dass Sie davon wissen. Wie arbeitsteilig das inzwischen abläuft, zeigt ein Fall aus Österreich: Am 11. September 2026 gab das Landeskriminalamt Wien zwölf Festnahmen bekannt. Eine Gruppe hatte mit gefälschten österreichischen Personalausweisen über 200 Bankkonten eröffnet, bei Mobilfunkanbietern Smartphones und andere hochpreisige Waren bestellt, teils auf Kredit, und die Pakete an „tote“ Adressen oder an Abholstationen ohne Videoüberwachung liefern lassen. Pro falscher Identität und Bestellung entstand ein Schaden von 3.000 bis 4.000 Euro, insgesamt mehrere hunderttausend Euro. Die Rechnungen, Mahnungen und Inkassoschreiben erreichten Menschen, die nie etwas bestellt hatten. Die Suche nach „Identitätsdiebstahl was tun“ beginnt für die meisten Betroffenen deshalb erst mit dem ersten Mahnschreiben, also zu einem Zeitpunkt, an dem die Täter längst weitergezogen sind.

Genau darin liegt die Tücke: Betroffene erfahren vom Identitätsmissbrauch nicht durch eine Warnung, sondern durch eine Mahnung, ein Inkassoschreiben oder einen negativen SCHUFA-Eintrag. Ab diesem Moment müssen sie etwas belegen, das Juristen als Negativbeweis bezeichnen: dass sie nie einen Vertrag geschlossen, nie ein Konto eröffnet und nie eine Ware erhalten haben. Formal trägt der Gläubiger die Beweislast für den Vertragsschluss, in der Praxis entscheidet aber, wer den Ablauf lückenlos dokumentieren kann.

Drei Dinge sollten Sie deshalb sofort tun: Strafanzeige erstatten, jeder Forderung schriftlich widersprechen und bei den Auskunfteien einen Schutzvermerk beantragen. Noch bevor Sie den ersten Brief verschicken, sichern Sie die Beweise an der Quelle, so dass ihre Integrität und Authentizität später nachweisbar sind.

Woran Sie Identitätsdiebstahl erkennen: Mahnung, Inkassoschreiben, Schufa-Eintrag

Identitätsdiebstahl erkennen Sie in den meisten Fällen an Post, die nicht zu Ihrem Leben passt: Rechnungen für Waren, die Sie nie bestellt haben, Mahnungen unbekannter Händler, Inkassoschreiben, Willkommensbriefe von Banken oder Mobilfunkanbietern, eine abgelehnte Kreditanfrage oder ein SCHUFA-Eintrag, den Sie sich nicht erklären können. Wie merkt man Identitätsdiebstahl? Meist an genau diesen Signalen, und jedes davon verdient Aufmerksamkeit, auch bei kleinen Summen.

Wie verbreitet das Problem ist, zeigt die Cybercrime-Bilanz des Bitkom vom März 2025: 61 Prozent der befragten Internetnutzer waren in den zwölf Monaten davor von Cyberkriminalität betroffen, 36 Prozent wurden beim Online-Kauf betrogen, bei 9 Prozent wurden Zugangsdaten ausgespäht, bei 5 Prozent Konto- oder Kreditkartendaten missbraucht. Nur 26 Prozent erstatteten Strafanzeige. Das Bundeskriminalamt zählte für 2024 zudem 131.391 Cybercrime-Inlandstaten und 201.877 Auslandstaten, ein neuer Höchststand.

Der Fall Wien: über 200 Konten mit gefälschten Personalausweisen

Der Wiener Fall zeigt, wie organisiert Identitätsbetrug inzwischen betrieben wird. Nach Angaben des Landeskriminalamts Wien, Außenstelle Süd, gingen die ersten Anzeigen im November 2024 ein; der Hauptzugriff erfolgte am 25. August 2025, rund 30 Beschuldigte wurden identifiziert. Die Täter beschafften sich gefälschte Personalausweise mit den Daten realer Personen, eröffneten damit bis zum Sommer 2025 über 200 Bankkonten und bestellten darüber Smartphones, häufig auf Kredit. Die Ware wurde weiterverkauft, die Raten blieben unbezahlt, und die Forderungen erreichten die Namensträger oft erst Monate später.

Typische Muster: Kontoeröffnung, Warenkreditbetrug, Bestellungen an fremde Adressen

Drei Muster tauchen bei Identitätsklau immer wieder auf. Das erste ist die Kontoeröffnung auf fremden Namen, die als Drehscheibe für weitere Betrugsgeschäfte dient und dem Opfer erst auffällt, wenn die Bank Gebühren einfordert. Das zweite ist der Warenkreditbetrug, in der Polizeistatistik auch als Warenbetrug geführt: Ware wird auf Rechnung oder Ratenkauf bestellt, der Händler liefert im Vertrauen auf die Bonität des Namens, und die Forderung geht an den echten Namensträger. Das dritte ist die Lieferung an fremde Adressen, ob Packstation, leerstehende Wohnung oder ahnungsloser Nachbar. Den Tätern genügen dafür Name, Geburtsdatum, Anschrift und manchmal eine Ausweiskopie aus einem Datenleck, einer Phishing-Mail oder dem Darknet; in Österreich spricht man dabei schlicht von Datenklau.

Identitätsdiebstahl: was tun in den ersten 72 Stunden

Die Frage „Identitätsdiebstahl, was tun?“ hat in den ersten Tagen eine klare Antwort, weil Fristen laufen und weil sich jede Forderung, der Sie nicht widersprechen, verfestigt. Die Schritte gelten für jedes dieser Schreiben. Halten Sie die Reihenfolge ein: erst sichern, dann sperren, dann melden, dann widersprechen.

1. Beweise an der Quelle sichern. Jedes Schreiben, jede E-Mail und jeden Kontoauszug im vorliegenden Zustand und mit belastbarem Zeitpunkt erfassen, bevor Sie irgendetwas verschicken.
2. Karten und Online-Banking sperren. Der Sperrnotruf 116 116 sperrt Bank- und Kreditkarten sowie die Online-Ausweisfunktion des Personalausweises.
3. Passwörter ändern. Zuerst das E-Mail-Postfach, dann Online-Banking, Shops und alle Accounts mit derselben Adresse.
4. Strafanzeige erstatten. Bei der Polizei oder über die Onlinewache; das Aktenzeichen brauchen Sie für alle weiteren Schritte.
5. Forderungen schriftlich widersprechen. Händler, Bank und Inkassounternehmen getrennt, jeweils mit Kopie der Strafanzeige.
6. Identitätsdiebstahl melden. Bei der SCHUFA und weiteren Auskunfteien, mit Antrag auf Schutzvermerk und Datenkopie.
7. Betroffene Unternehmen informieren. Bank, Mobilfunkanbieter und Händler sollen Verträge auf Ihren Namen sperren und die Bestelldaten herausgeben.
8. Chronologie führen. Eingangsdatum, Absender und Ihre Reaktion zu jedem Schreiben.

Anzeige erstatten: Polizei, Onlinewache, Strafnormen

Wer sich fragt, was bei Identitätsdiebstahl zu tun ist, beginnt mit der Strafanzeige: Sie ist keine Formalität, sondern Ihr wichtigstes Dokument gegenüber Händlern, Inkassounternehmen und Auskunfteien. Sie erstatten sie bei jeder Polizeidienststelle oder über die Onlinewache Ihres Bundeslandes, in Österreich bei jeder Polizeiinspektion. Welche Strafe bei Identitätsdiebstahl droht, richtet sich in Deutschland nach § 263 StGB für Betrug, § 267 StGB für Urkundenfälschung und § 269 StGB für die Fälschung beweiserheblicher Daten, etwa bei Online-Formularen unter fremdem Namen; in Österreich greifen § 146 StGB und § 223 StGB. Die Strafe trifft den Täter; für Sie zählt das Aktenzeichen, das jede weitere Stelle verlangen wird.

Forderungen widersprechen: Händler, Bank, Inkasso, Mahnbescheid

Zahlen Sie nicht, auch nicht „zur Sicherheit“ einen Teilbetrag, denn eine Zahlung kann als Anerkenntnis gewertet werden. Die Verbraucherzentrale rät, jede Forderung zu prüfen, schriftlich zu widersprechen und die Kopie der Strafanzeige beizulegen; danach müssen „Inkassounternehmen jetzt den Beweis liefern, dass Sie den Vertrag wirklich abgeschlossen haben“. Widersprechen Sie Händler, Bank und Inkassounternehmen getrennt, auf einem Weg, dessen Zugang Sie belegen können. Besondere Vorsicht gilt beim gerichtlichen Mahnbescheid: Gegen ihn müssen Sie binnen zwei Wochen ab Zustellung Widerspruch beim Mahngericht einlegen, sonst droht ein Vollstreckungstitel. Sperrnotruf 116 116 und neue Passwörter gehören in dieselben Stunden.

Auskunfteien: Auskunft nach Art. 15 DSGVO, Löschung nach Art. 17 DSGVO, Schufa-Schutzvermerk

Bei der SCHUFA und anderen Auskunfteien setzen Sie an drei Stellen an. Zunächst fordern Sie die kostenlose Datenkopie nach Art. 15 DSGVO an: Sie zeigt, welche Konten, Verträge und Anfragen auf Ihren Namen gespeichert sind, und deckt häufig weitere Fälle auf. Anschließend melden Sie den Identitätsbetrug über das Formular der SCHUFA mit Ausweiskopie und Kopie der Strafanzeige; Ihr Datensatz erhält dann den Hinweis „Verdacht auf Identitätsbetrug“, einen Schutzvermerk, der für Vertragspartner sichtbar ist und weitere Abschlüsse erschwert. Sobald der Gläubiger die Forderung zurückgezogen hat, beantragen Sie die Löschung der unberechtigten Einträge nach Art. 17 DSGVO; gegenüber österreichischen Auskunfteien gilt dasselbe Vorgehen.

Der Negativbeweis: warum einfache Screenshots nicht ausreichen

Der Negativbeweis ist der Nachweis, dass etwas nicht stattgefunden hat: kein Vertragsschluss, keine Lieferung, keine Kenntnis. Formal liegt die Beweislast für einen Vertrag beim Anspruchsteller, also beim Händler, bei der Bank oder beim Inkassounternehmen. In der Praxis werden Betroffene dennoch zu Gegenbeweisen aufgefordert, und im Zivilprozess gilt nach § 286 ZPO die freie Beweiswürdigung: Das Gericht entscheidet nach eigener Überzeugung, welchen Wert ein Beweismittel hat. Ein einfacher Screenshot oder eine ausgedruckte E-Mail ist dabei nur ein Augenscheinsobjekt nach § 371 ZPO, das die Gegenseite mit dem Hinweis angreifen kann, es sei nachträglich verändert worden. Den gesetzlichen Anschein der Echtheit nach § 371a ZPO genießen nur elektronische Dokumente, die mit einer qualifizierten elektronischen Signatur (QES) versehen sind. Alles andere bezieht seinen Beweiswert aus der Art der Sicherung: Wer hat erfasst, wann, mit welchem Gerät, und ist der Inhalt seither unverändert?

Was Sie beweisen müssen: kein Vertrag, keine Ware, keine Kenntnis

Drei Tatsachen tragen Ihre Verteidigung. Dass kein Vertrag zustande kam, belegen Sie über Widerspruch, Strafanzeige und die Anfrage beim Händler nach den Bestelldaten: IP-Adresse, E-Mail-Adresse, Lieferadresse, Zahlungsweg. Weichen diese Daten von Ihren ab, spricht das gegen einen Vertrag mit Ihnen. Dass Sie keine Ware erhalten haben, ergibt sich aus Lieferadresse und Zustellnachweis des Paketdienstes. Dass Sie keine Kenntnis hatten, zeigt die Chronologie mit belastbaren Zeitangaben: wann das erste Schreiben kam, wann Sie reagiert und Anzeige erstattet haben, so dokumentiert, dass niemand Ihnen nachträgliche Änderungen vorwerfen kann.

Beweiswert von E-Mails und Screenshots vor Gericht

Eine E-Mail beweist ihren Inhalt nur so gut, wie ihre Herkunft und Unversehrtheit belegt sind. Kopfzeilen lassen sich bearbeiten, Anhänge austauschen, Datumsangaben ändern, und ein Gericht wertet eine einfache E-Mail entsprechend vorsichtig. Für Screenshots gilt dasselbe: Sie zeigen, was ein Bildschirm in einem Moment darstellte, aber nicht, ob die Datei danach verändert wurde. Wann Gerichte solche Beweise anerkennen, zeigen die Beiträge zur Beweiskraft von E-Mails und zum Screenshot als Beweismittel vor Gericht. Inkassoschreiben, Bestellbestätigung und Löschungsbestätigung brauchen deshalb einen Nachweis, dass sie zu einem bestimmten Zeitpunkt genau so vorlagen. Ein qualifizierter Zeitstempel nach Art. 41 der eIDAS-Verordnung begründet die Vermutung, dass Datum, Uhrzeit und Unversehrtheit der Daten zutreffen; genau diese Vermutung fehlt dem einfachen Screenshot.

Wie sichert man Beweise bei Identitätsmissbrauch mit Rechtswert?

Beweise mit Rechtswert sichern Sie, indem Sie jedes Dokument in dem Moment erfassen, in dem es vorliegt, und die Erfassung so gestalten, dass ein Dritter später Herkunft, Zeitpunkt und Unversehrtheit eigenständig prüfen kann. TrueScreen ist die Data Authenticity Platform, die genau diesen Ablauf abbildet: forensische Erfassung an der Quelle in einer kontrollierten Umgebung, Verifikation von Gerät, Metadaten, Inhalt und Integrität, ein technischer Bericht, den jede Partei unabhängig nachvollziehen kann, und die Zertifizierung mit elektronischem Siegel nach Art. 35 und qualifiziertem Zeitstempel nach Art. 41 der eIDAS-Verordnung, deren Rechtswert in allen Mitgliedstaaten der EU anerkannt ist. Die Methodik folgt ISO/IEC 27037 und der DSGVO. Das Ergebnis ist eine lückenlose Beweiskette, die Sie per TrueLink an Anwalt, Polizei oder Auskunftei weitergeben. TrueScreen erkennt keine Fälschungen, sondern sichert, was echt ist: Eine Veränderung während der Erfassung wird verhindert, jede spätere Veränderung wird erkennbar.

Mahn- und Inkassoschreiben und E-Mails zertifizieren

Die E-Mail-Zertifizierung sichert eine Nachricht samt Kopfzeilen und Anhängen zu dem Zeitpunkt, an dem sie in Ihrem Postfach liegt. Mit der E-Mail-Zertifizierung von TrueScreen erhalten die E-Mails des Händlers, der Bank oder des Inkassounternehmens ein elektronisches Siegel und einen qualifizierten Zeitstempel; die Bestellbestätigung, die Sie nie hätten bekommen dürfen, wird so zum Beleg für Lieferadresse und Zahlungsweg der Täter. Papierschreiben, also Mahnungen, Inkassoforderungen und den gerichtlichen Mahnbescheid, erfassen Sie mit der App TrueScreen: Das Foto entsteht in einer kontrollierten Umgebung und wird mit Gerätedaten und Zeitpunkt verifiziert und zertifiziert, so dass der Beginn der Zweiwochenfrist belegt ist.

Webseiten und Profile der Täter beweissicher erfassen

Der Forensic Browser ist ein isolierter Browser, der eine Webseite während der Navigation forensisch erfasst: Bildschirminhalt, Seiteninhalt und Zeitpunkt, in einer Umgebung, in der der Nutzer den Inhalt nicht verändern kann. Betreiben die Täter einen Shop unter Ihrem Namen, haben sie ein Profil mit Ihrem Foto angelegt oder Ihre Daten über eine gefälschte Login-Seite abgegriffen, sichern Sie diese Inhalte mit dem Forensic Browser, bevor sie verschwinden. Die Chrome-Erweiterung erfasst einzelne Seiten aus dem eigenen Browser heraus; wie Sie Phishing-Seiten beweissicher erfassen, beschreibt ein eigener Beitrag.

Eigene Korrespondenz mit Bank und Auskunftei dokumentieren

Die Plattform bündelt alle zertifizierten Inhalte eines Falls an einem Ort: Schreiben der Gegenseite, Widersprüche, SCHUFA-Meldung, Antwort der Bank. Über die Plattform erhält jedes Dokument seinen technischen Bericht und seinen Zeitstempel, und Sie geben das Paket per TrueLink an Anwalt oder Polizei weiter, ohne Dateien zu verschicken, die unterwegs verändert werden könnten. Ein Beispiel: Eine Verbraucherin erhält ein Inkassoschreiben über mehrere hundert Euro für ein Smartphone auf Ratenkauf, geliefert an eine Packstation in einer anderen Stadt. Sie erfasst das Schreiben mit der App, zertifiziert die E-Mails des Händlers mit Lieferadresse und Bestellkonto und schickt dem Inkassounternehmen den TrueLink. Der Händler erkennt die fremde Adresse und zieht die Forderung zurück.

Zwei Praxisbeispiele: eine Verbraucherin in München und ein Onlinehändler

Was bei Identitätsdiebstahl zu tun ist, zeigt die Erfahrung Betroffener und Händler als dieselbe Aufgabe aus zwei Perspektiven: Das Opfer muss belegen, dass es nicht Vertragspartner war, der Händler muss belegen, dass er getäuscht wurde und welche Daten die Täter benutzt haben. In beiden Fällen entscheidet die Qualität der Beweissicherung über Dauer und Ausgang des Verfahrens.

Eine Verbraucherin in München erfährt durch die Ablehnung eines Mobilfunkvertrags, dass ihr SCHUFA-Score eingebrochen ist. Die Datenkopie nach Art. 15 DSGVO zeigt ein Girokonto bei einer Direktbank und einen Ratenkredit, beide ihr unbekannt. Sie sichert Datenkopie, Ablehnungsschreiben und die Willkommensmails der Bank, die an eine fremde E-Mail-Adresse gegangen waren, mit TrueScreen, erstattet Anzeige und meldet den Identitätsbetrug an die SCHUFA. Mit Schutzvermerk, Anzeige und zertifiziertem Beweispaket erreicht sie die Löschung der Einträge.

Ein Elektronikhändler stellt fest, dass binnen drei Wochen vierzehn Bestellungen auf Rechnung mit unterschiedlichen Namen, aber gleichem Muster eingegangen sind: Neukunden, Lieferung an Packstationen, Bestellung nachts. Die Ware ist weg, und die angeschriebenen Personen widersprechen zu Recht. Der Händler erfasst mit TrueScreen Bestelldaten, Lieferadressen und die Kommunikation mit den Bestellern, bevor die Kundenkonten gelöscht werden, und übergibt das Paket mit der Strafanzeige an die Polizei. Gegenüber Warenkreditversicherung und betroffenen Verbrauchern kann er belegen, dass er selbst Opfer eines Warenkreditbetrugs geworden ist.

Pflichten von Banken und Händlern: Identifizierung nach GwG

Wer bei Identitätsdiebstahl haftet, hängt auch davon ab, wer seine Prüfpflichten erfüllt hat. Banken und andere Verpflichtete nach dem Geldwäschegesetz müssen ihre Kunden vor Begründung einer Geschäftsbeziehung identifizieren: Nach §§ 11 bis 13 GwG sind Name, Geburtsort, Geburtsdatum, Staatsangehörigkeit und Anschrift anhand eines gültigen Ausweisdokuments zu erheben und zu überprüfen, vor Ort oder in einem gleichwertigen Verfahren wie der Videoidentifizierung. Ein gefälschter Ausweis, der diese Prüfung passiert, ist deshalb ein Versagen der Kontrolle und zugleich ein Argument für den Betroffenen: Er hat das Konto nicht eröffnet, und die Bank muss belegen, wen sie identifiziert hat. Onlinehändler unterliegen dieser Pflicht in der Regel nicht und bleiben bei Warenkreditbetrug oft auf dem Schaden sitzen, weil die Ware weg ist und der angeschriebene Verbraucher nachweislich nicht bestellt hat. Für sie zählt, Bestelldaten, Lieferadresse und Kommunikation so zu belegen, dass Strafanzeige und Rückabwicklung auf denselben Unterlagen aufbauen. Wie ein zertifiziertes Kunden-Onboarding mit Dokumentenprüfung dieses Risiko verringert, zeigt der Anwendungsfall.

FAQ: Identitätsdiebstahl

Wer muss bei Identitätsdiebstahl bezahlen?
+

Grundsätzlich haftet niemand für einen Vertrag, den er nicht selbst geschlossen hat: Ohne Willenserklärung des Betroffenen kommt kein Vertrag zustande, und die Beweislast für den Vertragsschluss liegt beim Händler oder Inkassounternehmen. Die Verbraucherzentrale rät deshalb, nicht zu zahlen, schriftlich zu widersprechen und eine Kopie der Strafanzeige beizulegen. Den wirtschaftlichen Schaden trägt in der Praxis meist der Händler, der die Ware an die Täter geliefert hat.

Was tun bei Identitätsdiebstahl mit dem Personalausweis?
+

Melden Sie Verlust oder Missbrauch des Personalausweises sofort bei der Polizei und beim Bürgeramt, lassen Sie die Online-Ausweisfunktion über den Sperrnotruf 116 116 sperren und beantragen Sie ein neues Dokument. Erstatten Sie Strafanzeige, denn ein gefälschter oder missbrauchter Ausweis erfüllt in Deutschland den Tatbestand der Urkundenfälschung nach § 267 StGB. Auch wenn Ihr Ausweis nie abhandenkam, können Täter mit Ihren Daten ein gefälschtes Dokument herstellen; dann melden Sie den Verdacht der SCHUFA, damit Ihr Datensatz einen Schutzvermerk erhält.

Wie stelle ich Identitätsdiebstahl fest?
+

Fordern Sie bei der SCHUFA die kostenlose Datenkopie nach Art. 15 DSGVO an: Sie listet alle Konten, Verträge und Anfragen auf, die auf Ihren Namen gespeichert sind. Prüfen Sie außerdem Ihre Post auf Rechnungen und Mahnungen unbekannter Händler, Ihre Kontoauszüge auf fremde Abbuchungen und Ihr E-Mail-Postfach auf Bestell- oder Registrierungsbestätigungen. Nach der Bitkom-Erhebung vom März 2025 wurden bei 9 Prozent der Internetnutzer Zugangsdaten ausgespäht, häufig lange unbemerkt.

Kann ein Screenshot als Beweismittel dienen?
+

Ja, aber mit begrenztem Gewicht: Ein einfacher Screenshot ist im Zivilprozess ein Augenscheinsobjekt nach § 371 ZPO und unterliegt der freien Beweiswürdigung des Gerichts nach § 286 ZPO. Die Gegenseite kann einwenden, er sei bearbeitet worden. Höheren Beweiswert hat ein Screenshot, der in einer kontrollierten Umgebung erfasst und mit elektronischem Siegel und qualifiziertem Zeitstempel nach Art. 41 der eIDAS-Verordnung versehen ist, weil dann Datum, Uhrzeit und Unversehrtheit der Daten vermutet werden.

Wie widerspreche ich einer unberechtigten Inkassoforderung?
+

Schriftlich, innerhalb der im Schreiben genannten Frist, mit dem Hinweis, dass Sie den Vertrag nicht geschlossen haben, und mit einer Kopie der Strafanzeige. Fordern Sie das Inkassounternehmen auf, den Vertragsschluss zu belegen; nach Angaben der Verbraucherzentrale muss es diesen Beweis liefern. Versenden Sie den Widerspruch per Einschreiben und bewahren Sie Schreiben und Sendungsnachweis auf. Gegen einen gerichtlichen Mahnbescheid legen Sie binnen zwei Wochen ab Zustellung Widerspruch beim Mahngericht ein.