Synthetischer Identitätsdiebstahl: der 40 Milliarden Dollar Betrug, den kaum jemand kennt

Ein Kreditgeber legt eine Akte für einen 23 Jahre alten Antragsteller an, mit vier Jahren sauberer Kredithistorie und einem Score in den unteren 700ern. Diesen Antragsteller gibt es nicht: die Sozialversicherungsnummer auf dem Antrag gehört einem neunjährigen Kind, das nie ein Bankkonto hatte, und binnen einer Woche zieht der erfundene Kreditnehmer jede Linie leer und verschwindet. Das ist synthetischer Identitätsdiebstahl, und anders als bei einer gestohlenen Brieftasche schlägt nie eine Warnung an, weil die Konten auf einen Namen laufen, der niemandem gehört.

Laut der US-Notenbank, die 2021 eine für die Branche empfohlene Definition veröffentlichte, ist synthetischer Identitätsbetrug die Nutzung einer Kombination personenbezogener Daten, um zum finanziellen Vorteil eine Person oder ein Unternehmen zu erfinden. Die gängige Variante, um die es in diesem Leitfaden geht, verschweißt ein einziges echtes Merkmal mit erfundenen Angaben. Laut dem Consumer Sentinel Network Data Book der FTC für 2024 blieb Identitätsdiebstahl eine der größten Beschwerdekategorien des Landes, doch synthetische Fälle verstecken sich darin, abgeschrieben als gewöhnlicher Kreditausfall statt gemeldet als Betrug.

Genau diese Untererfassung ist der Grund, warum die Schlagzeilenzahl eine Spanne ist und keine Summe. Branchenschätzungen setzen die jährlichen weltweiten Verluste zwischen 20 und 40 Milliarden Dollar an, während der Anteil, den Kreditgeber tatsächlich zählen können, nur einen Bruchteil davon ausmacht.

Kurze Antwort

Was ist synthetischer Identitätsdiebstahl?

Klassischer Identitätsdiebstahl gibt sich als Sie aus: jemand eröffnet eine Karte auf Ihren exakten Namen, die Abrechnung kommt, Sie widersprechen. Synthetischer Betrug macht das Gegenteil. Er nimmt ein einziges echtes Fragment von Ihnen, fast immer die neun Ziffern einer Sozialversicherungsnummer, und baut darum herum eine neue Person. Name, Geburtsdatum und Anschrift sind vollständig erfunden.

Diese eine Konstruktionsentscheidung macht den Betrug so schwer greifbar. Auskunfteien führen Datensätze nur zusammen, wenn mehrere Merkmale übereinstimmen, eine passende Sozialversicherungsnummer mit einem Namen und einem Geburtsdatum, die nicht zu Ihrer Akte passen, erzeugt deshalb meist eine zweite, eigene Akte, statt in Ihre einzufließen. Betrugswarnungen hängen an Ihrem Namen und bleiben daher still, während die Schattenidentität auf Ihrer Nummer unterwegs ist.

Der bevorzugte Rohstoff ist eine Nummer, die niemand beobachtet. Kinder stehen ganz oben, denn die Nummer eines Minderjährigen liegt achtzehn Jahre lang ungenutzt und kaum ein Elternteil prüft sie je. Ein viel zitierter Bericht des CyLab der Carnegie Mellon University von 2011 fand, dass bei 10,2 Prozent von mehr als 40.000 Kindern, die bei einem Identitätsschutzdienst angemeldet waren, die Nummer bereits von jemand anderem genutzt wurde. Diese Stichprobe war selbst ausgewählt, die tatsächliche Quote dürfte also niedriger liegen. Ältere Menschen in Pflegeeinrichtungen, Inhaftierte und Verstorbene folgen aus demselben Grund. Unser Leitfaden zu Identitätsdaten im Darknet zeigt, woher diese Nummern stammen.

So funktioniert synthetischer Identitätsdiebstahl, und warum Ihre Kreditauskunft ihn nie zeigt

Der Ablauf ist geduldig und industriell. Eine Bande, die Hunderte Profile gleichzeitig führt, geht immer dieselben sechs Schritte.

1. <strong>Das Merkmal beschaffen.</strong> Eine Sozialversicherungsnummer wird massenhaft aus Leak-Daten gekauft, einem Opfer per Phishing entlockt oder innerhalb eines gültigen Bereichs geraten und an einem Antragsformular getestet.
2. <strong>Die Person bauen.</strong> Die Nummer wird mit einem plausiblen Namen, einem Geburtsdatum, das die Person zum jungen Erwachsenen macht, und einer zustellbaren Anschrift kombiniert.
3. <strong>Die Anlage einer Kreditakte erzwingen.</strong> Die erfundene Person beantragt Kredit und wird abgelehnt, doch schon die Anfrage bringt eine Auskunftei dazu, eine dünne Akte anzulegen. Damit existiert die Identität formal.
4. <strong>Die Akte reifen lassen.</strong> Eine Kreditkarte mit Sicherheitseinlage oder ein kleines Händlerkonto wird zwölf bis vierundzwanzig Monate lang perfekt bedient, und der Score steigt durch echtes Rückzahlungsverhalten.
5. <strong>Fremde Historie aufpfropfen.</strong> Das Profil wird als autorisierter Nutzer zu bestehenden Kreditlinien hinzugefügt, oft bei Vermittlern eingekauft, und pfropft so Jahre an Historie auf eine Akte, die erst Monate alt ist.
6. <strong>Alles auf einmal leerziehen.</strong> Jede Linie wird binnen Tagen bis zum Limit ausgeschöpft, oft bei einem Dutzend Kreditgebern gleichzeitig, dann wird die Identität fallen gelassen. Auf die Mahnanrufe antwortet niemand.

Warnzeichen: so prüfen Sie, ob Ihre Identität benutzt wird

Weil die falsche Identität nie Ihren Namen trägt, achten Sie stattdessen auf ihre Nebenwirkungen. Jedes einzelne dieser Zeichen rechtfertigt eine vollständige Bonitätsprüfung.

• <strong>Post an einen Namen, den Sie nicht kennen.</strong> Vorab genehmigte Kreditangebote oder Mahnschreiben für eine fremde Person an Ihrer Anschrift sind das häufigste erste Signal.
• <strong>Jede Kreditpost, die an Ihr Kind adressiert ist.</strong> Ein Minderjähriger sollte null Kreditangebote auslösen. Kommt eines an, existiert eine Akte, die es nicht geben dürfte.
• <strong>Ein Sperrantrag für ein Kind, auf den es heißt, es gebe bereits eine Akte.</strong> Das ist die deutlichste Bestätigung für Identitätsbetrug mit Kinderdaten.
• <strong>Verdienste in Ihrem Sozialversicherungskonto, die Sie nie erzielt haben.</strong> Löhne, die unter Ihrer Nummer von einem Arbeitgeber gemeldet werden, für den Sie nie gearbeitet haben, deuten direkt auf synthetischen Beschäftigungsbetrug.
• <strong>Unbekannte Aliasnamen oder Anschriften in Ihrer Kreditauskunft.</strong> Auskunfteien listen Varianten unter „auch bekannt als“, und ein Schreibfehler, den Sie nie verwendet haben, kann die erfundene Identität sein, die in Ihre Akte überläuft.
• <strong>Eine Steuererklärung, die abgelehnt wird, weil bereits eine eingereicht wurde.</strong> Der Bescheid der US-Steuerbehörde bringt den Missbrauch der Nummer oft vor jedem Kreditgeber ans Licht.

Das alles zu prüfen kostet nichts, und ein kostenpflichtiges Überwachungsabo braucht es dafür nicht.

Sie haben eine Nachricht bekommen, die Ihre Sozialversicherungsnummer, Ihr Geburtsdatum oder Ausweisdokumente bestätigt haben will? Prüfen Sie sie mit Truvizy, bevor Sie irgendetwas beantworten.

So erkennt Truvizy synthetischen Identitätsbetrug

Truvizy ist keine Auskunftei und liest Ihre Akte nicht. Es arbeitet einen Schritt früher, in dem Moment, in dem Ihre Identitätsmerkmale verlangt werden. Manche erfundenen Identitäten beruhen auf Nummern, die bei einem Datenleck gestohlen wurden. Andere beginnen mit einer Nummer, die ein Opfer in eine gefälschte Sozialleistungsmitteilung, ein erfundenes Onboarding-Formular oder eine nachgebaute Bank-Identitätsprüfung getippt hat.

Fügen Sie diese Nachricht, den Screenshot oder den Link auf truvizy.app in Truvizy ein: die KI-gestützte Erkennung führt eine mehrschichtige Analyse von Wortwahl, Dringlichkeitsrahmen, behauptetem Absender und Ziel durch und liefert in Sekunden ein klares Urteil. Eine Sozialversicherungsnummer, die einmal im Umlauf ist, lässt sich nicht zurückholen, der wirksamste Moment ist deshalb der eine davor, besonders am Handy, wo die üblichen Hinweise verborgen bleiben.

Was tun bei Verdacht auf synthetischen Identitätsdiebstahl

Arbeiten Sie diese Schritte der Reihe nach ab. Synthetische Fälle lösen sich langsam auf, weil die Konten nicht auf Ihren Namen laufen.

Fordern Sie alle drei Auskünfte an. Holen Sie die Auskünfte von Equifax, Experian und TransUnion über annualcreditreport.com und lesen Sie jeden Aliasnamen, jede Anschrift und jede Anfrage, nicht nur die Kontoliste.

Sperren Sie alle drei Auskunfteien. Eine Sperre ist kostenlos, umkehrbar und blockiert neue Konten auf Ihrer Nummer, ganz gleich welchen Namen der Antragsteller benutzt. Tun Sie dasselbe für jedes Kind in Ihrem Haushalt.

Prüfen Sie Ihren Verdienstverlauf bei der Sozialversicherung. Bitten Sie die SSA, alle Verdienste zu korrigieren, die nicht Ihre sind, und melden Sie den Missbrauch selbst dem Office of the Inspector General der SSA. Die SSA korrigiert den Datensatz, sie ermittelt nicht gegen den Betrug.

Melden Sie es der FTC und danach vor Ort. Erstatten Sie Meldung über reportfraud.ftc.gov oder identitytheft.gov, dort bekommen Sie den Wiederherstellungsplan und die eidesstattliche Erklärung, und ergänzen Sie eine Strafanzeige bei der Polizei. Erklärung plus Anzeige sind das, was Auskunfteien und Kreditgeber akzeptieren, wenn Sie die Sperrung eines betrügerischen Kontoeintrags verlangen.

Melden Sie auch den Übertragungsweg. Hat Sie der Betrug online erreicht, also über eine Phishing-SMS, eine gefälschte Stellenanzeige oder eine nachgebaute Kreditgeberseite, ergänzen Sie eine Beschwerde auf ic3.gov. Zeigt er sich als nie verdiente Löhne oder als abgelehnte Steuererklärung, reichen Sie stattdessen das IRS-Formular 14039 ein.

Widersprechen Sie schriftlich und heben Sie alles auf. Schicken Sie Widersprüche per Post, behalten Sie Kopien und rechnen Sie damit, sich wiederholen zu müssen. Unser Leitfaden zur Wiederherstellung nach Identitätsdiebstahl geht die Abfolge der Formalitäten im Detail durch.

Anmerkung aus der Expertenanalyse: die entscheidende Schwäche dieses Betrugs ist strukturell, nicht technisch. Kreditgeber verbuchen den Verlust als faule Forderung, Auskunfteien trennen nicht passende Datensätze, statt sie zusammenzuführen, und der echte Inhaber der Nummer wird gerade deshalb ausgewählt, weil er keinen Anlass hat hinzusehen. Entdeckung stellt sich fast nie von selbst ein, deshalb ist es die einzige Verteidigung, die auf der Ebene eines Menschen statt einer Institution funktioniert: eine Sozialversicherungsnummer als Zugangsdatum zu behandeln, das sich nie wechseln lässt, und jede Anfrage danach zu prüfen, bevor man antwortet.

Häufige Fragen

Woran erkenne ich, dass jemand meine Sozialversicherungsnummer benutzt?

Fordern Sie Ihre Kreditauskünfte bei allen drei US-Auskunfteien über annualcreditreport.com an und achten Sie auf Konten, Anschriften oder Namensvarianten, die Sie nicht kennen. Prüfen Sie danach Ihren Verdienstverlauf im Konto my Social Security auf Löhne, die Sie nie verdient haben: das ist das deutlichste Einzelsignal für synthetischen Missbrauch. Das Consumer Sentinel Network der FTC registrierte 2024 rund 1,1 Millionen Meldungen zu Identitätsdiebstahl, prüfen Sie also vierteljährlich.

Wie kann ich kostenlos prüfen, ob meine Identität missbraucht wird?

Kostenlose Prüfungen decken fast alles ab. Wöchentliche Kreditauskünfte von Equifax, Experian und TransUnion kosten über annualcreditreport.com nichts, eine Sperre bei jeder Auskunftei ist gesetzlich kostenlos, und Ihr Verdienstverlauf ist im Konto my Social Security gratis. Ergänzen Sie eine IRS Identity Protection PIN, dann haben Sie die vier Stellen abgedeckt, an denen eine erfundene Identität zuerst auftaucht. In Deutschland entspricht dem die kostenlose Datenkopie nach Artikel 15 DSGVO bei der SCHUFA, und Missbrauchsfälle nimmt die Polizei entgegen, deren Lagebilder zur Cyberkriminalität das BKA veröffentlicht.

Kann ich prüfen, ob die Sozialversicherungsnummer meines Kindes benutzt wurde?

Ja, und die Prüfung ist zugleich die Lösung. Beantragen Sie bei jeder Auskunftei die kostenlose Sperre für geschützte Verbraucher, mit Nachweis von Sorgerecht und Identität. Existiert noch keine Akte, muss die Auskunftei eine anlegen, nur damit sie gesperrt werden kann. Antwortet eine Auskunftei, dass bereits eine Akte besteht, haben Sie Ihre Antwort, und das ist die deutlichste Bestätigung für synthetischen Betrug mit der Nummer Ihres Kindes.

Erkennt Bonitätsüberwachung synthetischen Identitätsbetrug?

Nur zum Teil. Klassische Überwachung meldet Aktivität, die an Ihrem Namen hängt, und eine synthetische Identität koppelt Ihre Nummer bewusst mit einem anderen Namen, die Meldung bleibt also womöglich aus. Wer die vollständige Auskunft nach unbekannten Aliasnamen und Anschriften durchliest, findet mehr davon. Eine Sperre bei allen drei Auskunfteien ist stärker, denn sie verhindert das neue Konto, statt es hinterher zu melden.

Kann Truvizy mir sagen, ob eine Nachricht, die meine Sozialversicherungsnummer verlangt, Betrug ist?

Truvizy prüft die Nachricht, nicht Ihre Kreditakte. Fügen Sie den Text, die E-Mail oder den Link, der Ihre Sozialversicherungsnummer verlangt, in Truvizy ein: die KI-gestützte Erkennung liefert in Sekunden ein klares Urteil dazu, ob sich der Absender als Bank, Kreditgeber oder Behörde ausgibt. Ein Betrugsurteil sagt Ihnen, dass die Anfrage selbst erfunden war und die Nummer folglich niemandem geschuldet wurde.

Betrug mit der Sozialversicherungsnummer: wie Kriminelle Ihre Nummer gegen Sie verwenden — Die Anrufe und SMS, die genau die Nummer abgreifen sollen, von der synthetischer Betrug lebt

Identitätsdiebstahl vorbeugen: 15 Schritte zum Schutz Ihrer persönlichen Daten — Die vollständige Checkliste zur Vorbeugung, von Sperren bis zur Kontohygiene

Steht Ihre Identität im Darknet? So prüfen Sie das und so reagieren Sie — Wohin geleakte Sozialversicherungsnummern wandern und was sie kosten