Was sind personenbezogene Informationen (PII)?

Jedes Mal, wenn Sie ein Konto eröffnen, einen Kauf tätigen oder eine App herunterladen, geben Sie Informationen über sich preis. Einige dieser Daten wirken harmlos. Andere Details können jedoch dazu verwendet werden, Ihre Identität zu verifizieren, auf Ihre Konten zuzugreifen oder Betrug zu begehen, wenn sie in die falschen Hände geraten.

Zu verstehen, welche Informationen Sie gefährden und wie sie missbraucht werden können, ist der erste Schritt zum Schutz Ihrer digitalen Identität. Wenn Sie wissen, worauf Sie achten müssen, wird es leichter, Ihre Angriffsfläche zu verringern und die Kontrolle über Ihre personenbezogenen Daten zu behalten.

Das Wichtigste in Kürze:

• PII umfasst offensichtliche Angaben wie Ihren Namen und Ihre Sozialversicherungsnummer, aber auch indirekte Daten wie Standortverlauf oder Gerätekennungen.
• Einige PII identifizieren Sie direkt, während andere Daten erst in Kombination identifizierend werden.
• Offengelegte PII können zu Identitätsdiebstahl, Betrug, Phishing und der Übernahme von Konten führen.
• Unternehmen sind verpflichtet, PII im Rahmen von Datenschutz- und Datensicherheitsgesetzen sorgfältig zu behandeln.
• Sie können das Risiko reduzieren, indem Sie einschränken, was Sie teilen, und Konten absichern. Viele Menschen überwachen zudem eine mögliche missbräuchliche Nutzung.

Was sind personenbezogene Informationen (PII)?

Personenbezogene Informationen (PII) sind alle Informationen, die zur direkten oder indirekten Identifizierung einer Person verwendet werden können.

Die Daten können einer einzelnen Person eindeutig zugeordnet sein, etwa eine Sozialversicherungsnummer, oder es handelt sich um „Quasi-Identifikatoren“, also verschiedene allgemeine Datenpunkte wie Geburtsort und Geburtsdatum, die kombiniert eine Person identifizierbar machen.

PII reichen von Namen und ID-Nummern bis hin zu E-Mail-Adressen, IP-Adressen und Standortdaten. Es ist wichtig, die Risiken einer Offenlegung zu verstehen und zu wissen, wie PII geschützt oder aus dem Internet entfernt werden sollten.

Welche Beispiele gibt es für personenbezogene Informationen?

PII umfassen alle Informationen, die Sie identifizieren können. Manche Datenpunkte wirken für sich genommen harmlos. Zusammen können sie die Identität einer Person jedoch schnell eingrenzen. Kasperskys Forschung zeigt, dass personenbezogene Informationen zu den am häufigsten offengelegten Daten bei Datenschutzverletzungen gehören – sie tauchen in etwa 43 % der Fälle auf, was verdeutlicht, wie oft diese Art von Daten gefährdet ist.

Direkte Identifikatoren

Direkte Identifikatoren verweisen ohne zusätzlichen Kontext eindeutig auf eine bestimmte Person. Dazu zählen:

• Kreditkartendaten
• Sozialversicherungsnummern
• Führerscheinnummern
• Reisepassnummern und -angaben
• Bankkontoinformationen
• Gesundheitsakten
• Biometriedaten und Identifikatoren wie Fingerabdrücke und Gesichtserkennungsdaten

Wenn diese Art von Informationen offengelegt wird, kann dies schnell zu Identitätsdiebstahl oder finanziellem Betrug führen.

Indirekte (Quasi-)Identifikatoren

Indirekte oder Quasi-Identifikatoren sind weniger offensichtlich. Dazu gehören:

• ZIP-Codes
• Ethnie
• Religionen
• Geschlecht
• Geburtsdaten
• Geburtsorte
• Vollständiger Name
• Beschäftigungsinformationen und -historie
• Ausbildungsdetails
• E-Mail-Adresse oder Postanschrift
• Telefonnummern
• Geburtsname der Mutter
• Biografische Informationen – etwa Angaben zu Eltern, Geschwistern, Partnern und Kindern
• IP-Adressen und gerätebezogene Identifikatoren, die online erfasst werden

Auch wenn diese Details alltäglich erscheinen, kann ihre Verknüpfung mehr offenlegen als erwartet und das Risiko erhöhen.

Was ist PII im Gesundheitswesen?

PII werden im Gesundheitswesen häufig als geschützte Gesundheitsinformationen (PHI) bezeichnet. PHI umfasst medizinische oder gesundheitsbezogene Daten, die einer bestimmten Person zugeordnet werden können, beispielsweise nach Gesetzen wie HIPAA in den Vereinigten Staaten.

PHI kombiniert in der Regel grundlegende PII (Name oder Geburtsdatum) mit medizinischen Details wie Diagnosen, Behandlungsakten, Verschreibungen oder Versicherungsinformationen. Die Verknüpfung dieser Bestandteile kann viel über eine Person preisgeben.

Für Patientinnen und Patienten betrifft dies potenziell Online-Portale, Versicherungsansprüche, Terminsysteme und Abrechnungsunterlagen. Da Gesundheitsdaten persönlich und langfristig relevant sind, ist der Schutz von PHI entscheidend, um Identitätsdiebstahl oder den Missbrauch medizinischer Unterlagen zu verhindern.

Worin besteht der Unterschied zwischen sensiblen und nicht-sensiblen PII?

Der Unterschied hängt von der Auswirkung ab. Die Sensitivität richtet sich danach, wie groß der Schaden bei einer Offenlegung wäre.

Sensible PII können direkt zu Identitätsdiebstahl oder finanziellem Betrug führen. Nicht-sensible PII wirken für sich genommen möglicherweise harmlos und sind auf andere Daten angewiesen, um eine präzise Identität zu ermöglichen.

Reisepass- oder Führerscheinnummern gelten als sensibel. Sie können bereits für sich genommen schädlich sein, wenn sie offengelegt werden. Ihre Beschäftigungs- oder Ausbildungshistorie sind Beispiele für nicht-sensible PII.

Selbst „nicht-sensible“ Daten können in Kombination gefährlich werden. Ein Name plus Geburtsdatum und Ort kann die Identität schnell eingrenzen. Eine IP-Adresse allein benennt eine Person möglicherweise nicht eindeutig. In Verbindung mit Anmeldedatensätzen und Geräte-Fingerprints kann sie jedoch auf eine bestimmte Nutzerin oder einen bestimmten Nutzer verweisen.

Warum zielen Kriminelle auf personenbezogene Informationen ab?

Kriminelle haben es auf PII abgesehen, weil sie für viele Formen von Betrug und Kontoübernahmen genutzt werden können.

Gestohlene Informationen können direkt verwendet werden, um auf Finanzkonten zuzugreifen oder Passwörter zurückzusetzen. Sie können auch gebündelt und im Darknet verkauft oder gehandelt werden, wo andere damit Betrügereien durchführen. PII sind für Betrüger sehr wertvoll.

Für Betroffene kann dies finanzielle Verluste und langfristige Probleme wie eine geschädigte Kreditwürdigkeit bedeuten. Die Wiederherstellung von Konten und Identität kann langwierig und schwierig sein.

Wie werden PII gestohlen?

PII werden meist über alltägliche Kanäle gestohlen – nicht durch hochkomplexe Hacks.

Der häufigste Weg ist Phishing oder Smishing. Eine gefälschte E-Mail oder SMS fordert Sie auf, auf einen Link zu klicken oder Angaben zu bestätigen, dient tatsächlich jedoch dem Diebstahl Ihrer Daten, um sie zu nutzen oder weiterzuverkaufen. Social-Engineering-Betrugsmaschen funktionieren ähnlich, indem sie mit Druck und vermeintlicher Dringlichkeit dazu bringen, Informationen direkt preiszugeben.

Datenpannen und Malware-Angriffe sind eine weitere wesentliche Quelle. Wenn Unternehmen gehackt werden, können wichtige Kontodaten ihrer Kundschaft massenhaft offengelegt werden. Dies kann selbst global bekannten Unternehmen passieren. So führte beispielsweise ein kürzlicher Fehler in der Programmierung einer PayPal-Kredit-App dazu, dass Kundendaten über viele Monate offengelegt waren.

PII können auch durch verlorene Geräte oder unsichere öffentliche WLANs offengelegt werden. Eine ungesicherte Verbindung kann Angreifern Zugriff auf gespeicherte Konten und Zugangsdaten ermöglichen.

Warnsignale, auf die Sie achten sollten:

• Nachrichten, die um die dringende Bestätigung von Konto- oder Zahlungsdaten bitten
• Aufforderungen, Einmalcodes oder Passwörter zu teilen
• Ungesicherte öffentliche WLANs ohne Passwörter
• Unerwartete Abbuchungen oder Anmeldebenachrichtigungen

Beachten Sie außerdem Berichte (aus vertrauenswürdigen Quellen) über Datenpannen bei von Ihnen genutzten Diensten.

Welche Gesetze schützen personenbezogene Informationen?

Weltweit gibt es mehrere Gesetze, die personenbezogene Daten schützen und Einzelpersonen bestimmte Rechte über ihre Informationen einräumen. Länder erlassen eigene Gesetze zu diesen Daten, können sich dabei aber ähnlicher Rahmenwerke bedienen.

• GDPR (General Data Protection Regulation) gewährt Menschen im EU das Recht, auf ihre personenbezogenen Daten zuzugreifen, sie zu berichtigen und ihre Löschung zu verlangen.
• CCPA/CPRA (California Consumer Privacy Act und California Privacy Rights Act) ermöglichen Einwohnerinnen und Einwohnern Kaliforniens zu erfahren, welche Daten über sie gesammelt werden, und zu verlangen, dass diese gelöscht oder nicht verkauft werden.
• Der Privacy Act von 1974 regelt, wie US-Bundesbehörden personenbezogene Informationen erheben und verwenden.
• HIPAA (Health Insurance Portability and Accountability Act) schützt gesundheitsbezogene Informationen, die von medizinischen Dienstleistern und Versicherern verarbeitet werden.
• PCI DSS (Payment Card Industry Data Security Standard) legt Sicherheitsanforderungen für Unternehmen fest, die Kreditkartendaten verarbeiten.
• PDPA (Singapore Personal Data Protection Act) definiert Regeln für Erhebung, Nutzung und Offenlegung von Daten in Singapur.
• POPIA (South Africa’s Protection of Personal Information Act) legt Bedingungen für die rechtmäßige Verarbeitung personenbezogener Daten fest.
• PDPL (Saudi Arabia’s Personal Data Protection Law) ist 2024 vollständig in Kraft getreten. Es enthält Datenschutzrechte und -pflichten innerhalb des Königreichs Saudi-Arabien.

Wie können Sie Ihre personenbezogenen Informationen schützen?

Der Schutz Ihrer PII bedeutet, deren Offenlegung zu verringern und es Angreifern zugleich schwerer zu machen, gefundene Daten zu missbrauchen. Es gibt mehrere einfache Methoden, mit denen Sie Kontoübernahmen und Identitätsmissbrauch entgegentreten können.

Kontosicherheit stärken

Verwenden Sie für jedes Konto starke, eindeutige Passwörter und speichern Sie diese zur zusätzlichen Absicherung in einem Passwortmanager. Aktivieren Sie, wo immer möglich, Mehrfaktor-Authentifizierung, um eine weitere Sicherheitsebene hinzuzufügen.

Prüfen Sie auf durch Lecks offengelegte Zugangsdaten mittels Breach-Warnungen und ändern Sie betroffene Passwörter zügig.

Teilen Sie online nur, was nötig ist

Überprüfen Sie Ihre Social-Media-Datenschutzeinstellungen und entfernen Sie unnötige öffentliche Details – überlegen Sie, was wirklich öffentlich sichtbar sein soll. Vermeiden Sie es, Ihr vollständiges Geburtsdatum, Ihre Privatadresse oder Ihren aktuellen Standort zu posten.

Seien Sie vorsichtig mit allem, was Sie zum Teilen von Informationen animiert. Dazu können Quizze oder Beiträge gehören, die Sicherheitsfragen ähneln. Solche Inhalte können Betrugsmaschen sein, die speziell zur Sammlung Ihrer Informationen erstellt wurden.

Geräte und Verbindungen absichern

Nutzen Sie Sicherheitseinstellungen und -technologien, um bestmöglich geschützt zu sein. Es ist ratsam, Geräte aktuell zu halten sowie Bildschirmsperren und integrierte Verschlüsselung zu verwenden.

Wir empfehlen außerdem, in öffentlichen WLANs ein VPN zu verwenden, um Abfangrisiken zu reduzieren. Öffentliche Verbindungen bergen Risiken.

Tracking und Datenerhebung reduzieren

Tracking ist eine weitere Bedrohung für Ihre Informationen. Passen Sie Datenschutzeinstellungen an und beschränken Sie Drittanbieter-Cookies, um einzuschränken, wie Ihre Internetverbindung und Geräteangaben verfolgt werden. Überprüfen Sie App-Berechtigungen und deaktivieren Sie unnötiges Tracking oder Überwachungsfunktionen, die Ihre Daten gefährden könnten.

Beschränken Sie beispielsweise den Standortzugriff für Apps, die ihn nicht benötigen, um die Wahrscheinlichkeit zu senken, dass Ihre Daten verfolgt und zu Ihrer Identifizierung genutzt werden.

Fachleute empfehlen zudem, die Browser-Datenschutzeinstellungen zu optimieren – Drittanbieter-Cookies zu deaktivieren, Website-Tracking zu verhindern, Werbung zu begrenzen – den Browserverlauf (einschließlich Cookies und Caches) regelmäßig zu löschen und unnötige Erweiterungen zu entfernen.

Auf Identitätsmissbrauch überwachen

Wachsamkeit zahlt sich oft aus – richten Sie Benachrichtigungen für Ihre Konten ein. Aktivieren Sie Transaktionswarnungen bei Bank- und Kreditkartenkonten, damit Sie sehen, wann Geld ausgegeben wird. Es ist empfehlenswert, regelmäßig Kreditauskünfte auf unbekannte Aktivitäten zu prüfen. Im US stellen die „großen Drei“ Auskunfteien, Experian, TransUnion und Equifax, Berichte kostenlos bereit.

Dienste zur Identitätsüberwachung oder Datenbereinigung können zusätzliche Transparenz bieten, wenn Sie eine laufende Kontrolle Ihrer Informationen wünschen.

Wie können Sie Ihre persönlichen Informationen aus dem Internet entfernen?

Das Entfernen von PII online ist möglich, aber meist ein Prozess statt einer einmaligen Maßnahme. Ziel ist es, die Offenlegung an den wichtigsten Stellen zu reduzieren.

Die wichtigsten Tipps:

• Löschen oder deaktivieren Sie ungenutzte Konten. Alte Foren und Apps speichern oft persönliche Details, die Sie online nicht mehr benötigen. Soziale Netzwerke speichern möglicherweise viele Informationen. Entfernen Sie Ihre Daten dort, wo es möglich ist.
• Ziehen Sie die Datenschutzeinstellungen in sozialen Netzwerken an. Begrenzen Sie, wer Ihr Profil sehen kann und welche Informationen öffentlich sind. Entfernen Sie persönliche Details wie Telefonnummern oder vollständige Geburtsdaten.
• Verlangen Sie Löschungen. Bitten Sie Website-Betreibende, veraltete oder unnötige Informationen über Sie zu löschen. Sie können zudem – sofern anwendbar – die Entfernung bestimmter personenbezogener Details aus Suchergebnissen beantragen.
• Widersprechen Sie Datenhändlern. Viele Unternehmen sammeln und verkaufen personenbezogene Daten weiter. Sie können Opt-out-Anfragen direkt stellen oder einen seriösen Löschdienst nutzen, wenn Ihre Informationen breit gelistet sind.
• Prüfen Sie Ihre PII online erneut. Personenbezogene Informationen können mit der Zeit wieder auftauchen. Es ist wichtig, regelmäßig zu überprüfen und aufzuräumen, statt die Entfernung als einmalige Aufgabe zu betrachten.

Was sollten Sie tun, wenn Ihre PII offengelegt wurden?

Wenn Ihre PII offengelegt wurden, bewahren Sie nach Möglichkeit Ruhe. Priorisieren Sie Schritte, die weiteren Zugriff begrenzen und finanziellen Schaden reduzieren.

• Sichern Sie zuerst Ihre Konten. Ändern Sie Passwörter – insbesondere für E-Mail. Aktivieren Sie, wo möglich, Mehrfaktor-Authentifizierung (MFA).
• Prüfen Sie unautorisierte Aktivitäten. Überprüfen Sie Kontoanmeldungen und jüngste Transaktionen sowie eventuelle Änderungen an Sicherheitseinstellungen.
• Kontaktieren Sie Ihre Bank oder Kartenanbieter. Melden Sie verdächtige Abbuchungen und fragen Sie nach zusätzlichen Schutzmaßnahmen.
• Lassen Sie Ihre Kreditauskunft bei Bedarf einfrieren. Eine Kreditsperre kann verhindern, dass neue Konten in Ihrem Namen eröffnet werden, bis Ihre Daten gesichert sind.
• Beobachten Sie Kontoauszüge und Warnmeldungen. Behalten Sie finanzielle Aktivitäten und Kontobewegungen im Blick, um anhaltenden Missbrauch zu erkennen.
• Melden Sie Identitätsdiebstahl. Im UK können Sie beispielsweise leicht einen Bericht bei der Polizeieinheit „Prevent Fraud“ einreichen oder sie unter 0300 123 2040 anrufen.

Seien Sie vorsichtig bei Folge-Betrugsversuchen. Angreifer geben sich nach einer Datenpanne manchmal als „Wiederherstellungsdienste“ oder Sicherheitsteams aus. Prüfen Sie stets unabhängig, bevor Sie weitere Informationen teilen.

Weiterführende Artikel:

• Welche Risiken sind mit Data Leakage verbunden?
• Wie schützen Sie Ihre Privatsphäre am besten vor Online-Bedrohungen?
• Was sind die Hauptursachen für eine Data Breach?
• Wie beeinflusst das Internet die individuelle Privatsphäre und den Datenschutz?

Empfohlene Produkte:

• Kaspersky Premium
• 30-tägige kostenlose Testversion unseres Premium-Tarifs herunterladen

FAQ

Gilt eine IP-Adresse als PII?

Für sich genommen identifiziert eine IP-Adresse eine Person möglicherweise nicht direkt, kann jedoch in Verbindung mit anderen Daten oder Kontodaten als personenbezogen gelten.

Was ist der Unterschied zwischen PII und personenbezogenen Daten?

PII ist ein gebräuchlicher Begriff für identifizierende Informationen. „Personenbezogene Daten“ ist ein weiter gefasster Begriff, der in Vorschriften wie GDPR verwendet wird und zusätzliche Datentypen umfassen kann.

Was ist der Unterschied zwischen PII und PHI?

PII umfasst allgemeine identifizierende Informationen. PHI bezieht sich speziell auf gesundheitsbezogene Informationen, die einer Person zugeordnet sind, und ist durch Gesetze wie HIPAA geschützt.

Können Sie Ihre PII vollständig aus dem Internet entfernen?

Eine vollständige Entfernung ist selten möglich. Laufende Überwachung und regelmäßige Bereinigung sind oft realistischere Ansätze.