Die neue Anatomie des Identitätsbetrugs

Wie sich Betrug verändert

Identitätsbetrug beim Remote-Onboarding war früher plump: ein abfotografierter geliehener Ausweis oder ein Scan, der in einem Bildbearbeitungsprogramm verändert wurde. Solche Versuche gibt es immer noch, aber sie sind längst nicht mehr das ganze Bild.

Heute kombinieren Angreifer verschiedene Techniken. Ein gefälschtes oder verändertes Dokument wird mit einem passenden Gesicht kombiniert, das mit frei verfügbaren Tools erzeugt oder ausgetauscht wurde. Das Bild wird so in die Prüfsitzung eingespeist, dass die Smartphone-Kamera komplett umgangen wird. Die persönlichen Daten stammen aus früheren Datenlecks, sodass Namen, Adressen und Geburtsdaten mit anderen Datensätzen übereinstimmen.

Prozesse mit einer einzigen Prüfung reichen nicht mehr aus. Ein Prozess, der nur ein Dokument ausliest oder nur zwei Fotos vergleicht, hat eine einzige Schwachstelle. Organisierter Betrug findet diese Stelle und wiederholt den Angriff über viele Konten hinweg.

Angriffe auf Dokumente

Dokumentenbetrug lässt sich grob in einige Gruppen einteilen, und jede hinterlässt andere Spuren.

• Totalfälschungen. Ein Dokument, das von Grund auf hergestellt wird, damit es wie ein echtes aussieht. Die Qualität reicht von offensichtlichen Fälschungen bis zu gut gemachten Vorlagen, die online verkauft werden.
• Veränderte echte Dokumente. Ein echtes Dokument mit geänderten Feldern, meist Name, Geburtsdatum, Ablaufdatum oder Porträt. Die physische Karte ist echt, und genau das macht diese Art so überzeugend.
• Gestohlene oder geliehene Dokumente. Unverändert und echt, aber von jemand anderem als der Inhaberin oder dem Inhaber vorgelegt.
• Mehrfach verwendete Dokumente. Dasselbe Dokument oder dasselbe Bild davon wird für mehrere Konten oder Dienste eingereicht.

Die Identitätsprüfung erkennt diese Angriffe auf unterschiedliche Weise. Vorlagen- und Sicherheitsmerkmalprüfungen vergleichen das Dokument mit dem, was die ausstellende Behörde tatsächlich herstellt. Die maschinenlesbare Zone enthält Prüfziffern, die mit den aufgedruckten Daten übereinstimmen müssen, sodass eine unsorgfältige Änderung sie oft ungültig macht. Hat das Dokument einen Chip, liest die NFC-Prüfung Daten aus, die von der ausstellenden Behörde signiert sind. Ein Angreifer kann die gedruckte Karte verändern, aber keine gültige Signatur für veränderte Chipdaten erzeugen. Mehrfachverwendung wird erkannt, indem neue Einreichungen mit bereits bekannten verglichen werden.

Ein gestohlenes, aber echtes Dokument besteht alle diese Prüfungen. Deshalb ist die Dokumentenprüfung nie der letzte Schritt.

Bild- und Präsentationsangriffe

Gefälschte Ausweise, Bildschirmwiedergaben und synthetische Gesichter zielen auf schwache Prüfschritte. Mehrstufige Prüfungen machen jeden Versuch teurer.

Beim Gesicht ist die älteste Technik der Präsentationsangriff: Man hält etwas vor die Kamera, das keine lebende Person ist. Das kann ein ausgedrucktes Foto sein, ein Foto oder Video auf einem zweiten Bildschirm, ein Ausschnitt mit ausgeschnittenen Augen oder eine Maske. Ziel ist, dass das Selfie zum Porträt auf dem Dokument passt, ohne dass die echte Inhaberin oder der echte Inhaber anwesend ist.

Bildschirmwiedergaben sind verbreitet, weil sie billig sind: Ein Video des Opfers, oft aus den sozialen Medien, wird auf einem Tablet abgespielt, das vor das Smartphone gehalten wird. Moiré-Muster, Bildschirmränder, Spiegelungen, unnatürliche Tiefe und das Fehlen kleiner unwillkürlicher Bewegungen sind typische Signale, nach denen die Liveness-Erkennung sucht.

Morphing ist eine unauffälligere Variante. Zwei Gesichter werden zu einem Porträt verschmolzen, sodass das daraus entstandene Dokument von beiden Personen genutzt werden kann. Ein Gesichtsabgleich mit einem gemorphten Porträt kann für beide erfolgreich sein. Deshalb gilt die Morphing-Erkennung als eigene Prüfung und wird nicht dem Schwellenwert des Abgleichs überlassen.

Injection-Angriffe und Deepfakes

Ein Injection-Angriff überspringt die Kamera. Statt ein Gerät auf einen Bildschirm zu richten, speist der Angreifer Bilder oder Videos direkt in die Prüfsitzung ein, über eine virtuelle Kamera, eine veränderte App, einen Emulator oder einen manipulierten Browser.

Das ist wichtig, weil viele Prüfungen auf Präsentationsangriffe davon ausgehen, dass das Bild von einer echten Linse stammt, die auf eine echte Szene gerichtet ist. Ist der Videostream selbst gefälscht, kann der Inhalt ein Deepfake sein, der sich bewegt, blinzelt und auf Aufforderung den Kopf dreht. Die Person lächeln oder nach links schauen zu lassen, hilft wenig, wenn das Gesicht in Echtzeit erzeugt wird. Einen guten Deepfake von Auge zu erkennen, ist schwieriger, als die meisten denken: Testen Sie es mit unserem Quiz «Echt oder Deepfake?».

Der Schutz vor Injection betrifft deshalb den Aufnahmekanal genauso wie das Bild. Typische Signale sind, ob die Kamera ein physisches Gerät ist, ob die Sitzung Anzeichen von Emulation oder Manipulation zeigt und ob Bildtiming und Bildstatistik nach einem echten Sensor aussehen. Diese Prüfungen ergänzen die Liveness-Erkennung, sie ersetzen sie nicht.

Synthetische und wiederverwertete Identitäten

Eine synthetische Identität wird gebaut, nicht gestohlen. Sie mischt echte Daten, etwa eine gültige Adresse oder die Kennung einer realen Person, mit erfundenen Angaben. Mit der Zeit baut sie womöglich eine Kredithistorie oder eine Reihe von Konten auf, die sie etabliert wirken lassen.

Mit reinen Datenprüfungen sind synthetische Identitäten schwer zu erkennen, weil jedes einzelne Feld plausibel sein kann. Schwieriger aufrechtzuerhalten sind sie, wenn das Onboarding ein echtes physisches Dokument, ein passendes Gesicht und den Nachweis verlangt, dass eine reale Person anwesend ist. Der Angreifer braucht dann ein echtes Dokument für eine Identität, die es nicht gibt. Diese Hürde ist deutlich höher.

Wo die Identitätsprüfung hilft

Echtheit des Dokuments, Gesichtsabgleich und Liveness schliessen jeweils eine andere Lücke. Zusammen erschweren sie Betrug im grossen Stil.

Keine Ebene ist für sich allein perfekt. Der Sinn der Mehrstufigkeit liegt darin, dass ein Angreifer, der eine Prüfung überwindet, auch die nächste überwinden muss, und die Kosten dafür steigen im grossen Massstab schnell. Was Betrug und manuelle Prüfungen Ihr Unternehmen heute kosten, zeigt Ihnen unser Betrugskostenrechner.

Was Sie für Ihren Prozess entscheiden sollten

Bevor Sie Tools oder Schwellenwerte wählen, lohnt es sich, intern einige Punkte zu klären.

1. Welche Angriffe Sie tatsächlich sehen. Analysieren Sie frühere Betrugsfälle. Eine Kryptobörse hat es mit anderen Mustern zu tun als ein Parkhausbetreiber.
2. Welche Prüfungen verhältnismässig sind. Eine grosse Auszahlung kann einen strengeren Prozess rechtfertigen als die Kontoeröffnung.
3. Was mit unklaren Fällen geschieht. Legen Sie fest, welche Ergebnisse in die manuelle Prüfung gehen und wer diese übernimmt.
4. Wie Sie aus Ablehnungen lernen. Erfassen Sie, warum Sitzungen scheitern, um ein Angriffsmuster von einem Usability-Problem zu unterscheiden.
5. Wie lange Sie Nachweise aufbewahren. Für Betrugsabklärungen braucht es gewisse Daten, aber Bilder länger als nötig aufzubewahren, schafft ein eigenes Risiko.

secuveri führt Dokumentenprüfungen mit Auslesen des NFC-Chips (wo verfügbar), Gesichtsabgleich, Liveness-Erkennung und Betrugssignale für manipulierte und mehrfach verwendete Dokumente, Bildschirmwiedergaben, synthetische Gesichter sowie eingeschleuste oder per Deepfake erzeugte Videostreams durch. Sie wählen, welche Prüfungen in jedem Prozess laufen, und jedes Ergebnis kommt als Freigabe, Prüfung oder Ablehnung zurück. Die Daten werden in der Schweiz bearbeitet und gespeichert, auf Wunsch auch on-premise.