Wenn eine gestohlene Identität zum Beweis wird: CashApp muss haften

Wie nennt man ein System, in dem die Person, deren Identität gestohlen wurde, beweisen soll, dass sie es nicht war, während das Unternehmen, das die Beweise besitzt, ihr den Einblick verweigert, weil sie nicht nachweisen kann, dass ihr das Konto gehört? Effizient, wenn man das Unternehmen ist. Kafkaesk, wenn man sie ist.

Diese Lage schildert 404 Media. Amanda Smith öffnete an einem Nachmittag im April die Tür und stand Beamten des Sheriff-Büros im Norden von Pennsylvania gegenüber. Sie hatten einen Haftbefehl wegen Computerbetrugs, begangen angeblich in Arkansas, wo sie nach eigenen Angaben noch nie war. Sie verbrachte drei Nächte im Gefängnis.

Laut dem Bericht brachte ein Betrüger auf Facebook Marketplace jemanden dazu, 1.000 Dollar an ein CashApp-Konto zu senden, das er kontrollierte. Das Konto wurde mit Smiths Sozialversicherungsnummer und ihrem Geburtsdatum eröffnet. Sie sagt, sie habe CashApp nie genutzt. Sechs Monate später ist der Fall weiter offen, und CashApp verweigert ihr Berichten zufolge jede Auskunft über das Konto, weil sie nicht belegen konnte, dass es ihr gehört. All dies ist ihre Darstellung, wie sie berichtet wurde; die Anklageschriften haben wir nicht gesehen.

Eine Identität ist eine Behauptung, kein Beweis

Der Kernfehler besteht darin, zwei Datenpunkte, eine Sozialversicherungsnummer und ein Geburtsdatum, mit der Person gleichzusetzen. Das sind sie nicht. Sie lassen sich in Erfahrung bringen, kaufen oder stehlen. Wenn eine App sie als ausreichend akzeptiert, um ein Konto zu eröffnen, über das Geld fließt, ist das eine unternehmerische Entscheidung: wenig Reibung, mehr Anmeldungen. Das ist in Ordnung, bis die weggefallene Reibung bei jemand anderem landet.

Und hier landete sie bei Smith. Die Anmeldeprüfung der Plattform genügte offenbar, um das Konto zu eröffnen, aber nicht, damit man Smith glaubt, dass es nicht ihres ist. Diese Asymmetrie ist aus unserer Sicht die ganze Geschichte. Das Unternehmen vertraute der Identität, solange es bequem war, und misstraut der realen Person, wenn sie Fragen stellt.

Der Teufelskreis ist eine Designentscheidung

Man betrachte die Schleife. Um die Kontodaten zu sehen, muss sie nachweisen, dass das Konto ihr gehört. Es gehört ihr nicht, und genau das ist ihre Verteidigung. Die eine Aufzeichnung, die sie entlasten könnte, etwa wie das Konto eröffnet wurde oder von wo aus darauf zugegriffen wurde, bleibt also außerhalb ihrer Reichweite. Datenschutzregeln haben gute Gründe, aber eine Richtlinie, die in einem Strafverfahren die Person aussperrt, deren Name auf dem Konto steht, schützt nicht ihre Privatsphäre. Sie schützt den Prozess des Unternehmens.

Auch die Staatsanwaltschaft verdient ihren Teil an Kritik. Ein Haftbefehl über Bundesstaatsgrenzen hinweg gegen eine Frau, die nach eigener Darstellung nie in der Nähe des Tatorts war, legt nahe, dass ein Name auf einem Konto als starkes Indiz galt. Wir meinen, dass bei einem Fall um eine Zahlungs-App am Anfang die Frage stehen sollte: „Könnte es sich um Identitätsdiebstahl handeln?“ Das ist kaum exotisch in einer Welt, in der laut der eigenen Sicherheitsseite von Cash App Betrug durch Identitätsvortäuschung die bei der FTC am häufigsten gemeldete Betrugsart ist.

Wer die Last tragen sollte

Cash App erklärt seinen Nutzern, dass Betrug funktioniert, weil er darauf angelegt ist, den Instinkt der Menschen zu umgehen, und dass man durch das Hereinfallen nicht naiv ist. Dem stimmen wir zu. Doch dieselbe Logik sollte auch nach oben gelten. Smith ist auf nichts hereingefallen. Sie hat das Produkt nicht einmal genutzt. Wenn eine Betrugspräventionsstrategie so viel Gewicht auf die Wachsamkeit der Nutzer legt, kann sie nicht zugleich jemandem, der sich nie angemeldet hat, sagen, er hätte das verhindern müssen.

Wie sähe eine faire Regel aus? Unser Vorschlag, als Meinung und nicht als Gesetz: Wird eine Plattform darauf hingewiesen, dass ein Konto mit gestohlenen Zugangsdaten eröffnet worden sein könnte, sollte sie verpflichtet sein, die Unterlagen aufzubewahren und der genannten Person sowie den Ermittlern rasch zugänglich zu machen und den Strafverfolgungsbehörden zu melden, dass Identitätsdiebstahl plausibel ist. Unternehmen, die von einfacher Anmeldung profitieren, sollten die Kosten der Prüfung tragen, wer tatsächlich hinter einem Konto steckt, und die Kosten übernehmen, wenn sie das nicht tun.

Fazit

Smiths Fall betrifft ein einziges Konto, und wir wissen nicht, wie er ausgeht. Er ist aber aus gutem Grund im Trend: Fast jeder, der darüber liest, kann sich vorstellen, dass die eigene Sozialversicherungsnummer im Anmeldeformular eines anderen steht. Solange Zahlungs-Apps nicht dafür haften, wen sie hereinlassen, bleibt der günstigste Verdächtige der Name auf dem Konto. Das ist verkehrt herum. Wer die Tür entworfen hat, sollte dafür einstehen, wer hindurchgeht.