Synthetische Identität (Synthetic Identity Fraud)

Ausführliche Erklärung

Beim Betrug mit synthetischen Identitäten imitieren Angreifer keine reale Person, sondern erschaffen eine gänzlich neue, die es nicht gibt. Generative KI liefert dafür täuschend echte Gesichter, plausible Lebensläufe, Referenzen und sogar in Echtzeit veränderte Stimmen und Videobilder. Solche Kunstfiguren treten auf LinkedIn, in Bewerbungsverfahren, bei Online-Legitimationen oder in Kampagnen zur Meinungsbeeinflussung auf. Fachlich üblich sind die Bezeichnungen „synthetische Identität“ und „Synthetic Identity Fraud“; gelegentlich liest man auch „Persona-Synthese“, wobei dieser Ausdruck meist etwas anderes meint, nämlich KI-generierte Personas in der Marktforschung.

Im Unternehmenskontext entstehen daraus zwei typische Schadensbilder. Erstens gefälschte Bewerberprofile: Über eine erfundene Identität verschaffen sich Angreifer als vermeintliche Remote-Mitarbeitende Zugang zu internen Systemen. Staatlich gesteuerte Akteure nutzen dieses Muster systematisch, wie zahlreiche dokumentierte Fälle mit vorgetäuschten IT-Fachkräften zeigen. Zweitens Betrug im Finanz- und Vertragsbereich: Synthetische Identitäten dienen dazu, Know-Your-Customer-Prüfungen (KYC) zu umgehen, Kredite oder Leasingverträge zu erschleichen oder Geldwäsche zu verschleiern. Das österreichische Portal onlinesicherheit.gv.at beschreibt genau diese Muster – gefälschte Bewerbungen und die Umgehung von KYC-Verfahren – als wachsende Bedrohung. Belastbare Schadenssummen gibt es nicht: Schätzungen stammen überwiegend von Anbietern von Identitätsprüfungen und reichen bis in den zweistelligen Milliardenbereich pro Jahr; eine unabhängig geprüfte Statistik existiert nicht.

Rechtlich fällt der Einsatz synthetischer Identitäten in Österreich je nach Sachverhalt unter Betrug (§ 146 StGB) oder, wenn nicht ein Mensch, sondern ein automatisierter Ablauf getäuscht wird, unter betrügerischen Datenverarbeitungsmissbrauch (§ 148a StGB); hinzu kommen Fälschungsdelikte sowie zivilrechtliche Unterlassungs- und Schadenersatzansprüche, sobald Bilder oder Daten realer Personen mitverwendet werden. Seit 2. August 2026 gelten zudem die Transparenzpflichten des Art. 50 der EU-KI-Verordnung: Wer Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake darstellen, muss dies offenlegen; der Bußgeldrahmen reicht bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Kriminelle halten sich daran naturgemäß nicht – für Unternehmen ist die Vorschrift vor allem beim eigenen KI-Einsatz relevant.

Für Unternehmen jeder Größe bedeutet das erhöhte Wachsamkeit bei der Personalsuche, bei der Geschäftsanbahnung über soziale Netzwerke und beim Vertragsabschluss mit neuen Kontakten. Bewährt haben sich: Video-Identifikation mit Lebendigkeitsprüfung, Rückwärtsbildersuche zu Profilfotos, Verifizierung von Referenzen über selbst recherchierte Kontaktwege statt der von der Bewerberseite angegebenen, Prüfung von Ausweisdokumenten durch spezialisierte Dienstleister sowie ein Vier-Augen-Prinzip bei Zahlungs- und Zugangsfreigaben. KYC-Prüfungen sollten um technische Verifizierungsmaßnahmen ergänzt und Mitarbeitende für die Erkennungsmerkmale synthetischer Profile sensibilisiert werden.