Betrug mit synthetischen Identitäten: Wenn es den Kunden gar nicht gibt

First-Party-Fraud, also jene altbekannte, analoge Art von Betrug, bei der der rechtmäßige Vertragspartner den Versicherer selbst täuscht, ist nach wie vor die dominante Betrugsform im österreichischen Versicherungswesen. Bei der letzten Geburtstagsparty lief man selbst durch die geschlossene Fliegengittertür, man wartet jedoch auf Sturmtief Paula und reicht die Tür als Sturmschaden ein.

Auch beim sogenannten Second-Party-Fraud werden reale Identitäten und Adressen, häufig mit Einwilligung der betroffenen Personen eingesetzt, um Versicherungsbetrug zu ermöglichen – wie etwa im Fall der 15 Fahrzeuge, die alle an derselben Adresse in der Linzer Straße angemeldet waren.

Beim Third-Party-Fraud hingegen werden Identitäten ohne Wissen oder Mitwirkung der Betroffenen verwendet. Durch die rasante technologische Entwicklung steigt die Komplexität deutlich an: Neben echten gestohlenen Identitäten kommen zunehmend auch künstlich erzeugte Persönlichkeiten zum Einsatz.

True Identity Theft

Während beim Fliegengitter und beim Strohmann-Beispiel in der Linzer Straße die Beteiligten aus Freundschaft oder gegen Geld bewusst mitspielen, weiß das Opfer beim True Identity Theft von absolut nichts. Seine Identität wurde online gestohlen und für betrügerische Zwecke missbraucht.

Auch wenn Versicherungen am österreichischen Markt nach wie vor in den meisten Fällen über den Makler persönlich abgeschlossen werden und die Identität des Kunden zunächst weitgehend sichergestellt ist, repräsentiert jede weitere Interaktion entlang der Customer Journey eine potenzielle Möglichkeit für KI-gestützten Datendiebstahl. Unser Anspruch an eine schnelle, unkomplizierte Customer Experience ohne Medienbrüche steht zunehmend in Konflikt mit steigenden Sicherheitsanforderungen.

Die Erstellung eines Kundenaccounts und Zahlungsprozesse sind die sicherheitstechnisch sensibelsten Touchpoints, doch auch scheinbar harmlose Vorgänge wie Login, Adressänderungen oder Passwort-Resets bieten Angriffsflächen für Kriminelle. Mit
einem kompromittierten Account könnten Betrüger dann Schäden melden, Zahlungsdaten ändern, Polizzen anpassen oder Auszahlungen auf eigene Konten umlenken.

Parallel dazu wird Social Engineering immer gefinkelter. Phishing-E-Mails werden schwieriger zu erkennen, Vishing – Anrufe erreichen uns mit der echten Stimme vom (KI-)Chef, und Smishing – SMS wie „Bitte klicken Sie auf den untenstehenden Link“ – verleiten uns in schwachen Momenten zum Tippen auf den Bildschirm. Selbst in unseren Teams-Meetings können KI-generierte Avatare von Vorgesetzten sitzen und versuchen, an Daten heranzukommen. Auch wenn man noch so gut aufpasst, kann man seine persönlichen Daten dann dennoch im Dark Web finden, etwa aus großflächigen Datenlecks bei Finanzdienstleistern, Onlineplattformen oder Hotelketten.

Das datenbestohlene Opfer bemerkt oft lange Zeit nichts – bis ein Schaden eingereicht wird und das Geld anstelle am Konto des Kunden auf dem des Betrügers landet.

Synthetic Identity Theft

Rupert Gottwalt ist 183 cm groß, geboren am 11.12.1982, wohnhaft in der Laudongasse im achten Bezirk. Laut seinem LinkedIn-Profil arbeitet er als Privatkundenbetreuer bei einer Bank. Er ist verheiratet, hat zwei Kinder, Louis und Daniel. Seine E-Mail-Adresse ist rupert@gottwalt.co.at. Die Mastercard endet mit der Nummer 4287, läuft 04/2028 ab, Security Code 054. Für sein Foto beim Grillen am Campingplatz in Bibione mit seiner Familie hat er 29 Likes und drei Kommentare bekommen. „So ein schöner Sonnenuntergang <3!“ Rupert zahlt brav und regelmäßig seine Versicherungsprämien und hat erst einen kleinen Schaden online eingereicht.

Doch Rupert Gottwalt gibt es nicht – ebenso wenig wie ein mögliches Opfer, das den Betrug überhaupt bemerken könnte. Beim synthetischen Identitätsdiebstahl werden frei erfundene Angaben raffiniert mit echten, gestohlenen Daten kombiniert. Einkommenshöhe, Wohnort, Beruf oder Social-Media-Accounts des synthetischen Kunden sind stimmig und konsistent. Auf diese Weise entstehen vollständig neue Scheinidentitäten, die genutzt werden, um Konten bei Banken, Wettanbietern oder Gamingplattformen zu eröffnen oder Versicherungsverträge abzuschließen.

KI-Agenten täuschen echte
Kundenbeziehungen vor

Hat man vor nicht einmal einem Jahr noch ganze Betrugszentren, etwa in Myanmar, benötigt, ist es heute technisch bereits möglich, dass ein einziger Betrüger mit Hilfe von KI-Agenten viele synthetische Identitäten parallel führt und damit echte Kundenbeziehungen vortäuscht. Versicherungsprämien für die Fahrradversicherung und die Lebensversicherung können von diesen digitalen Assistenten zeitgerecht einbezahlt werden, nur in der Urlaubszeit ein, zwei Wochen zu spät. CAPTCHAs werden umgangen, indem menschliches Verhalten wie Klickmuster, Mausbewegungen oder Bilderkennung nachgeahmt wird. Der Schadenbericht wird absichtlich mit ein, zwei kleinen Rechtschreibfehlern erstellt. Täuschend echte Fotos von kleineren Schäden können automatisch KI-generiert und zum richtigen Zeitpunkt eingereicht werden, etwa nach großen Unwettern, wenn die Versicherungen ohnehin mit Schadenmeldungen überflutet sind.

Und irgendwann verstirbt Rupert dann auch noch. Tragisch. Bei einem Verkehrsunfall im Ägyptenurlaub. Als begünstigte Person ist Ruperts Ehefrau eingetragen, die nette braunhaarige Dame mittleren Alters vom Facebook-Foto aus Bibione, die mit verweinter Stimme die Anrufe beantwortet. Ihr Profilbild trägt nun eine schwarze Trauerschleife. Wird die Versicherung zahlen?

Derzeit noch kein Thema in Österreich (?)

Laut führenden Betrugsexperten sind solche Szenarien in Österreich zwar denkbar und „wahrscheinlich schon in irgendeiner Art am Laufen“, aber derzeit dank zusätzlicher Identitätsüberprüfungen noch kein großes Thema. Dunkelziffern sind jedenfalls nur schwer zu schätzen. Am ehesten vorstellbar sind Betrügereien mit synthetischen Identitäten im Bereich der Lebens- und der Krankenversicherung, sie sind jedoch ebenso in der Sachversicherung möglich.

Blickt man jedenfalls auf den Zustand der IT-Landschaft heimischer Versicherungen, auf die Qualität des Kundendatenbestandes und die nach wie vor papierbasierten Verifikationsprozesse bei vielen kleineren Häusern, dann könnte der österreichische Markt vielleicht schon bald ein Zielgebiet für betrügerische Disruption sein.