Identitätsdiebstahl und Identitätsmissbrauch im Internet - Rechtliche und technische Aspekte

Vorwort

Inhalt

Abbildungsverzeichnis (Technik)

Tabellenverzeichnis (Technik)

Abkürzungsverzeichnis (Recht)

I. Begriff der Identität

1. Divergierende Begriffe der Identität

Kapitel 1 Grundlagen

I. Begriff der Identität

1. Divergierende Begriffe der Identität

2. Begriff der Identität im rechtlichen Sinne

3. Identitätsbegriff der Studie

4. Begriff der Identität im technischen Sinne

II. Identitätsmissbrauch und Identitätsdiebstahl

1. Der Begriff des Identitätsmissbrauchs

2. Der Begriff des Identitätsdiebstahls

3. Schutz von Identitäten (Überblick)

III. Fallgruppen des Identitätsdiebstahls und -missbrauchs

1. Identitätsdiebstahl und -missbrauch ohne IT-Bezug (Überblick)

2. Identitätsdiebstahl und -missbrauch mit IT-Bezug (Überblick)

IV. Ähnliche Phänomene

Kapitel 2 Strukturen von Identitätsdiebstahl und -missbrauch unter Einsatz von Informationstechnologie

I. Vortäuschung einer technisch nicht geschützten Identität (Spoofing)

II. Diebstahl von durch Wissen geschützten Identitätsdaten

1. Benutzername/Passwort, PIN

2. TAN

3. iTAN

III. Man-in-the-Middle-Angriffe gegen den Nachweis einer Identität durch Besitz

1. Hardwaretoken

2. One-Time Passwords (OTP)/elektronische TANs (eTAN)

3. eTAN+

4. mTAN

5. HBCI/FinTS

6. FinTS+/Secoder

7. (Qualifizierte) elektronische Signaturen

8. SSL Clientzertifikate

IV. Weitere Methoden zum Nachweis einer Identität

1. Biometrie

2. CAPTCHAs

V. Man-in-the-Middle-Angriffe

1. Man-in-the-Middle im Internet

2. Man-in-the-Middle im PC

VI. Standardsicherheitsmaßnahmen

1. Antivirenprogramme

2. Personal Firewall

3. Firefox-Add-Ons

4. Weitere Standardsicherheitsmaßnahmen

Kapitel 3 Künftige Entwicklung von Identitätsmissbrauch und Identitätsdiebstahl

I. Prognose: Angriffsszenarien

1. Business Cases zukünftiger Angreifer

2. Umgehung von Standardsicherheitsmaßnahmen

3. Umgehung spezieller softwarebasierter Schutzmechanismen

4. Umgehung spezieller hardwarebasierter Schutzmechanismen (Chipkarten, HSM)

5. Umgehung von Sicherheitsmechanismen auf Serverseite

6. Netzwerkbasierte Angriffe

7. Klassische Malware: neue Trends

8. Social Engineering

9. Malware + JavaScript, Web 2.0-Angriffe

10. Google-Hacking

II. Prognosen: Zielplattformen

1. Zielplattformen

2. Neue Computing-Paradigmen: Browsertechnologien

3. Neue Computing-Paradigmen: Servertechnologien

4. Neue Computing-Paradigmen: Kommunikationstechnologien

5. Neue Computing-Paradigmen: Web 2.0 und SaaS

6. Neue Computing-Paradigmen: Webservices, SOAP und Cloud Computing

7. Neue Computing-Paradigmen: Single-Sign-On

8. Neue Computing-Paradigmen: neue Schutzmaßnahmen

9. Kombination mehrerer Angriffstechniken

Kapitel 4 Identitätsdiebstahl und neuer Personalausweis

I. Einführung

1. Der elektronische Identitätsnachweis

2. Einsatzbereiche des elektronischen Identitätsnachweises

II. Technische Rahmenbedingungen

1. Bestandteile des Neuer-Personalausweis-Gesamtsystems

2. Beschreibung der Anwendungsmöglichkeiten des neuen Personalausweises

3. Beschreibung der Protokolle des neuen Personalausweises

4. Art des Chipkartenlesers

5. Kombination der einzelnen kryptografischen Protokolle (für Webanwendungen: SSL)

6. Klassifikation der Dienste auf Basis des neuen Personalausweises

III. Rechtliche Rahmenbedingungen des neuen Personalausweises

1. Überblick

2. Das Personalausweisgesetz

3. Gesetzliche Regeln zum Einsatz des Personalausweises

4. AGB mit Bezugnahme auf den Personalausweis

5. Ergebnis: Die Bedeutung des Personalausweises als Identitätsnachweis

IV. Verhinderung von Identitätsdiebstahl und -missbrauch durch Einsatz des neuen Personalausweises

1. Realistische Ziele

2. Mögliche Ziele

Kapitel 5 Rechtsfragen des Identitätsmissbrauchs

I. Überblick

1. Strafrechtliche Aspekte

2. Zivilrechtliche Aspekte

II. Gesetzliche Rahmenbedingungen

1. Grundrechtsschutz

2. Datenschutzrecht

3. Strafrecht

4. Zivilrecht

III. Aktuelle Geschäftsbedingungen

1. Regeln zum Identitätsmissbrauch in AGB

2. Risikoverteilung und Haftungsregeln in AGB

IV. Strafbarkeit de lege lata

1. Strafbarkeit des Erlangens der fremden Identität (Identitätsdiebstahl)

2. Strafbarkeit des Verwendens der fremden Identität (Identitätsmissbrauch)

3. Probleme der Rechtsanwendung

V. Risikotragung bei Identitätsmissbrauch

1. Risikoverteilung im Onlinebanking

2. Risikoverteilung bei Handelsplattformen

3. Ergebnis und Ausblick

VI. Verkehrspflichten im Internet

1. Verkehrspflichten der Anbieter

2. Verkehrspflichten der Internetnutzer

VII. Verhaltenspflichten und Haftung der Identitätsinhaber

1. Grundlagen der Haftung

2. Verhaltenspflichten des Identitätsinhabers in Fallgruppen

3. Haftung für Pflichtverletzungen

4. Haftungsbeschränkungen

VIII. Verhaltenspflichten und Haftung der Anbieter

1. Überblick

2. Verhaltenspflichten im Onlinebanking

3. Verhaltenspflichten in anderen Feldern

IX. Zivilrechtliche Beweisfragen

1. Überblick

2. Der Beweis der Urheberschaft im gerichtlichen Verfahren

3. Der Anscheinsbeweis für die Urheberschaft elektronisch übermittelter Erklärungen

Kapitel 6 Deutschland im internationalen Vergleich

I. Technische Rahmenbedingungen in anderen Staaten (Überblick)

1. Im Onlinebanking (eTAN+, FinTS/HBCI, Secoder, mTAN)

2. In ausgewählten anderen Diensten

II. Überblick zu Angriffsund Schadensszenarien

1. Vergleich der Angriffsszenarien im Bereich Onlinebanking: transaktionsvs. kontobezogene Sicherheitsmechanismen

2. Vergleich der Angriffsszenarien in ausgewählten weiteren Diensten

III. Rechtliche Rahmenbedingungen in anderen Staaten (Überblick)

1. Strafbarkeit von Identitätsdiebstahl und -missbrauch (de lege lata)

2. Zivilrechtliche Verantwortlichkeit für Identitätsmissbrauch

IV. Die Positionierung Deutschlands im Vergleich

1. Technisch: Vergleich im Bereich Onlinebanking (Überblick)

2. Rechtlich: Vergleich im Bereich Onlinebanking (Überblick)

Kapitel 7 Handlungsoptionen/Abwehrmaßnahmen und Empfehlungen

I. Technische Maßnahmen

1. Empfehlungen zum Einsatz von Standardsicherheitsmaßnahmen

2. Empfehlungen zum Einsatz bestimmter Technologien

3. Empfehlungen zur Erstellung von Best-Practice-Richtlinien für bestimmte Einsatzszenarien

4. Aufzeigen gezielten Forschungsbedarfs (z. B. in den Bereichen Malware, Bot-Netze, Browsersicherheit, Betriebssystemsicherheit

II. Organisatorische Maßnahmen

1. Schulungsinhalte

2. Meldestellen für entdeckte Schwachstellen, neue Angriffe etc. mit Anreizmechanismen (nicht monetär)

III. Polizeiliche Maßnahmen

1. Zentrale Meldestelle (z. B. zur Meldung von Phishingservern)

2. Information zur Prävention/Aufklärung

IV. Gesetzliche/regulatorische Maßnahmen

1. Vorgaben zur Produktgestaltung

2. Umgang mit gespeicherten Kundendaten

3. Strafrechtliche Maßnahmen

4. Gesetzliche Haftungsregeln für Anbieter und Nutzer

5. Regulierung von Verhaltenspflichten

V. Information und Aufklärung der Nutzer

VI. Internationale Abkommen für das Internet (Strafverfolgung)

VII. Aufwandsschätzungen für die Umsetzung

VIII. Restrisiken

1. Gezielte Angriffe

2. Spionageangriffe

Literatur

I. Technik

II. Recht