Welche Zahlen in einem Dokument sind bei einem Leck am gefährlichsten?

Nicht jede Zahl in einem Dokument ist bei einem Leck gleich riskant. Eine gestohlene Kartennummer kann innerhalb von Minuten für eine Zahlung genutzt werden. Eine gestohlene Sozialversicherungsnummer kann jahrelang Identitätsdiebstahl befeuern. Dieser Leitfaden ordnet gängige Kennnummern danach ein, was Kriminelle damit wirklich anfangen können, gestützt auf offizielle Quellen, damit Sie wissen, was Sie zuerst schwärzen sollten, wenn die Zeit knapp ist.

Welche Zahlen kann ein Betrüger wirklich nutzen?

Manche Zahlen öffnen ein Bankkonto. Andere öffnen ein Strafverfahren unter Ihrem Namen. Das Risiko hängt davon ab, was eine Zahl ermöglicht, nicht davon, wie offiziell sie wirkt. Eine Mitgliedsnummer sieht wichtig aus, bringt aber allein wenig. Eine Kartennummer mit ihrem Sicherheitscode kann noch am selben Tag Geld bewegen.

Welche Zahlen bergen das größte Risiko?

Eine vollständige Kartennummer zusammen mit ihrem dreistelligen Sicherheitscode ist am schnellsten missbraucht. Zusammen reichen sie für den Versuch einer Online-Zahlung ohne physische Karte, ganz ohne PIN. Deshalb schwärzen Kassenbons und Kontoauszüge den größten Teil der Nummer, aber ein durchgesickertes Dokument mit beiden Teilen zusammen hebt diesen Schutz vollständig auf.

Eine Sozialversicherungs- oder Personalausweisnummer funktioniert anders. Sie bewegt allein kein Geld, kann aber helfen, einen Kredit oder ein Konto unter Ihrem Namen zu eröffnen. Solcher Schaden zeigt sich oft erst Monate später, was ihn schwerer zu beheben macht.

Warum funktioniert teilweises Schwärzen bei einer Kartennummer, aber nicht bei einem Reisepass?

Die Zahlungsbranche hat für Karten eine offizielle Antwort. Der PCI Security Standards Council, der die Regeln für Banken und Händler festlegt, nennt die ersten sechs und die letzten vier Ziffern die übliche Ausgangsbasis für eine angezeigte Kartennummer, der Rest bleibt verborgen. Diese Ziffern allein reichen für keine Zahlung, deshalb gilt ihre Anzeige als sicher.

• Für einen Reisepass, Führerschein oder eine Personalausweisnummer gibt es keine vergleichbare offizielle Regel für eine teilweise Anzeige: im Zweifel lieber vollständig schwärzen.
• Ein IBAN ist dafür gedacht, weitergegeben zu werden, damit man Zahlungen empfangen kann, aber ein Dokument, das auch Namen und Adresse trägt, macht aus einer ungefährlichen Zahl drei Teile, die ein Betrüger zusammen braucht.
• Ein Geburtsdatum besteht nur aus drei kurzen Angaben: Verbergen Sie nur eine davon, Tag, Monat oder Jahr, erledigen die anderen beiden mit dem Namen trotzdem den größten Teil der Arbeit.

Welche Kombinationen erhöhen das Risiko am meisten?

Eine Zahl steht in einem echten Dokument selten allein. Das britische Information Commissioner's Office nennt Namen, Geburtsdatum und aktuelle oder frühere Adressen als die persönlichen Angaben, die Betrüger stehlen, um jemanden zu imitieren und Konten zu eröffnen. Keine der drei Angaben ist für sich geheim. Zusammen reichen sie oft für eine Identitätsprüfung.

Erika Mustermann beantragt einen Kredit für ihr kleines Unternehmen und fügt eine gescannte Gehaltsabrechnung als Einkommensnachweis bei. Die Abrechnung zeigt bereits ihren vollen Namen und ihr Geburtsdatum im Kopf. Lässt sie zusätzlich ihre Adresse in der Fußzeile sichtbar, hat die lesende Person nun genau die drei Angaben, die eine Bank bei einer Identitätsprüfung üblicherweise verlangt.

Was sollten Sie zuerst schwärzen, wenn Sie nur fünf Minuten haben?

1. 1Jede Kartennummer, die mit Sicherheitscode oder Ablaufdatum angezeigt wird.
2. 2Jede Sozialversicherungs-, Personalausweis-, Reisepass- oder Führerscheinnummer.
3. 3IBAN oder Kontonummern, besonders neben Ihrem Namen und Ihrer Adresse.
4. 4Das Geburtsdatum, wenn Name und Adresse ebenfalls sichtbar sind.
5. 5Alles Weitere: Telefonnummern, E-Mails und Referenznummern, sobald die ersten vier erledigt sind.

Ein Schwärzungswerkzeug kann diese Reihenfolge automatisch anwenden. ONYRI Sanitize läuft im Browser und findet Kartennummern, die mit dem Luhn-Algorithmus geprüft werden, IBANs, Sozialversicherungs- und Personalausweisnummern für die abgedeckten Länder, Daten und Telefonnummern, und entfernt sie, bevor die Datei Ihr Gerät verlässt. Die Grenze: Die Erkennung ist nicht lückenlos, und sie schwärzt jeden Wert vollständig, statt die letzten vier Ziffern stehen zu lassen.

Welches Werkzeug Sie auch nutzen, die Grundregel bleibt gleich. Ordnen Sie die Zahlen vor Ihnen danach, was sie ermöglichen, nicht danach, wie lang oder offiziell sie wirken, und schwärzen Sie zuerst, was jemandem erlaubt, Sie zu imitieren oder Ihr Geld auszugeben.