Selfie mit dem Ausweis in der Hand — sollte ich das schicken?

Irgendwann kommt eine Anfrage, die sich anders anfühlt als die übliche Bitte um eine Dokumentenkopie: Schicken Sie ein Foto von sich, auf dem Sie Ihren Ausweis neben Ihr Gesicht halten. Manchmal mit einem Blatt Papier, auf dem das heutige Datum steht. Das kommt häufig genug vor, dass es sich nach Routine anfühlt — und genau deshalb funktioniert es als Betrugsmasche. Die Antwort lautet nicht, dass Verifizierungs-Selfies falsch wären. Sie lautet, dass die legitimen fast nie so ankommen wie diese Anfrage.

Warum überhaupt jemand danach fragt

Eine Dokumentenkopie belegt, dass ein Dokument existiert. Sie belegt nicht, dass die Person, die es schickt, die Person darauf ist. Beides zu verbinden — ein echter, lebender Mensch, der jetzt gerade ein echtes Dokument hält — ist der ganze Sinn von Fernidentifizierung, und für regulierte Unternehmen ist sie nicht optional. Nach der EU-Geldwäscheverordnung müssen Banken, Kryptowerte-Dienstleister und andere Kunden anhand einer verlässlichen, unabhängigen Quelle identifizieren; die Leitlinien der Europäischen Bankenaufsicht zum Fern-Onboarding beschreiben, wie das auf Distanz gelingt, ohne sich täuschen zu lassen, und die eIDAS-Verordnung regelt die elektronischen Identifizierungssysteme, auf die viele davon aufsetzen.

Aus keinem Teil dieses Rahmens folgt die Bitte, ein Foto von sich zu mailen. Daraus folgt eine Live-Kamerasitzung: eine App oder Seite, die die Kamera selbst einschaltet, Sie den Kopf drehen oder einem Punkt folgen lässt, Einzelbilder aufnimmt, die sie auswählt statt Sie, und das Dokument in einem eigenen geführten Schritt prüft. Die Sitzung ist darauf ausgelegt, dass alles, was Sie ihr vorlegen, ein Foto von einem Foto sein könnte. Genau diese Annahme übersteht ein per Chat verschicktes Standbild nicht.

Das Erkennungsmerkmal ist, wie es eingesammelt wird

Die letzte Zeile ist praktisch die nützlichste. Eine echte Prüfung können Sie immer abbrechen und später selbst wieder öffnen, indem Sie sich anmelden. Ein Betrug muss Sie in diesem Gespräch halten.

Warum das Standbild so viel wert ist

Ein Foto Ihres Dokuments allein ist auf ganz bestimmte, begrenzte Weise gefährlich. Ein Foto Ihres Gesichts und Ihres Dokuments in einem Bild ist erheblich mehr wert als die Summe beider, weil es ein fertiges Erzeugnis ist: genau das Dateiformat, das manuelle Identitätsprüfungen bei Banken, Börsen und Marktplätzen annehmen. Ein Betrüger muss keinen Lebendcheck überlisten, wenn er stattdessen einen menschlichen Prüfer dazu bringt, ein Bild freizugeben.

Das erklärt auch das Papier. Ein handgeschriebener Zettel mit dem heutigen Datum, einem Plattformnamen oder einer Referenznummer ist das, was viele Dienste verlangen, um zu belegen, dass ein Bild aktuell und eigens für sie gemacht ist. Wenn jemand Sie bittet, einen zu schreiben, ist der Zettel nicht für ihn. Er wird in Auftrag gegeben, um anderswo eine Prüfmaske zu passieren — meist dort, wo in Ihrem Namen ein Konto eröffnet oder übernommen wird. Keine regulierte Identitätsprüfung wird Sie je bitten, ein Blatt Papier hochzuhalten.

Ein dokumentiertes Muster, keine Hypothese

Die Polizeiliche Kriminalprävention der Länder und des Bundes beschreibt genau diesen Ablauf auf polizei-beratung.de, und das Bundesamt für Sicherheit in der Informationstechnik warnt in seinen Verbraucherhinweisen vor derselben Masche: unaufgeforderte Nachrichten im Namen einer Behörde, eines Zustelldienstes oder eines Marktplatzes, die drei Bilder verlangen — Vorderseite, Rückseite und ein Selfie —, zurückzuschicken an eine Adresse, die der angeblichen Organisation nicht gehört. In Österreich sammelt die Watchlist Internet dieselben Fälle.

Beachten Sie, was dabei verlangt wird: Vorderseite, Rückseite und das Gesicht. Zusammen ergibt dieser Satz eine vollständige Fern-Onboarding-Einreichung für die Plattform eines anderen.

Was Sie verdecken können und was bleiben muss

Wenn Sie zu dem Schluss kommen, dass die Anfrage echt, aber informell ist — ein kleiner Betrieb, ein privater Vermieter, eine Vereinsmitgliedschaft —, können Sie trotzdem eingrenzen, was Sie herausgeben. Geprüft wird passt dieses Gesicht zu diesem Dokument, und das übersteht die Schwärzung fast vollständig.

Die letzte Zeile ist kein Füllmaterial. Ein Türrahmen, ein Fensterblick, ein Paketaufkleber oder ein Umschlag auf dem Tisch verorten Sie genauso zuverlässig wie jedes Feld auf dem Dokument — und anders als beim Dokument denkt niemand daran, dort hinzusehen. Nehmen Sie eine schlichte Wand. Denken Sie außerdem daran, dass eine Fotodatei direkt aus der Kamera GPS-Koordinaten in den Metadaten tragen kann: Ein Bildschirmfoto oder eine neu exportierte, flach gerechnete Kopie trägt die des Originals nicht — das Original selbst aber möglicherweise schon.

Bereiten Sie erst die Dokumentenkopie vor und fotografieren Sie sich dann mit dieser statt mit dem echten Dokument — die vollständige Methode steht in Ausweis oder Reisepass schwärzen, das Benennen von Empfänger und Zweck in Wasserzeichen auf einer Ausweiskopie.

Wann Sie nicht schwärzen sollten

Es gibt eine klare Ausnahme, und sie zählt. Im eigenen regulierten Onboarding einer Bank, eines Brokers oder einer Kryptobörse schicken Sie das Dokument, wie es ist. Diese Systeme lesen das vollständige Dokument automatisch, einschließlich der maschinenlesbaren Zone, und ein verdecktes Feld lässt die Prüfung meist scheitern — was Sie das Konto kostet, statt Sie zu schützen. Die Unterscheidung steht vollständig in Welche Ausweiskopie braucht die Bank wirklich?. Schwärzen ist für Kopien, die Ihre Kontrolle verlassen; ein reguliertes Verfahren, das Sie selbst in einer App gestartet haben, in der Sie angemeldet sind, ist das Gegenteil davon.

Wenn der Kanal das Problem ist

Viele dieser Anfragen sind echt, kommen aber am falschen Ort an — im WhatsApp eines Maklers, in der privaten E-Mail einer Personalvermittlung. Dass die Anfrage echt ist, macht den Kanal nicht sicher, und die Kopie überlebt das Gespräch: siehe Ausweis per WhatsApp oder E-Mail schicken und Darf eine Firma die Ausweiskopie speichern?, sobald sie eine hat. Nach der DSGVO braucht, wer fragt, einen rechtmäßigen Grund und darf nur erheben, was angemessen und auf das Notwendige beschränkt ist — die juristische Form desselben Arguments, das diese ganze Seite macht.

Wenn Sie schon eines geschickt haben

Keine Panik, aber lassen Sie es auch nicht liegen. Verlangen Sie schriftlich die Löschung, melden Sie die Anfrage der Plattform, über die sie kam, und achten Sie auf Kontoeröffnungsversuche und Passwort-Zurücksetzungen in Ihrem Namen. Die Schritt-für-Schritt-Fassung steht in Ausweiskopie ungeschwärzt verschickt — was jetzt?.

Für die nächste Anfrage ist die Lösung eine Kopie, die schon sicher ist, bevor sie in die Nähe einer Kamera kommt. Anonymize my ID verdeckt Dokumentennummer, MRZ, Geburtsdatum und Unterschrift und versieht das Ergebnis mit einem Wasserzeichen für genau einen Empfänger — vollständig auf Ihrem Handy, ohne Upload, sodass die Kopie nur dort existiert, wohin Sie sie schicken.

Mit einer Selfie-mit-Ausweis-Anfrage sicher umgehen

1. Nach dem offiziellen Verfahren fragen. Antworten Sie mit der Bitte, die Identitätsprüfung in der eigenen App oder auf der eigenen Domain des Unternehmens durchzuführen. Wer wirklich prüfen muss, hat dieses Verfahren längst; ein Betrüger kann keines herbeizaubern.
2. Den Kanal prüfen, nicht die Formulierung. Schauen Sie, wo die Anfrage ankam und wohin die Antwort gehen soll. Eine unaufgeforderte SMS, ein Marktplatz-Chat oder eine Adresse bei einem Gratis-Mailanbieter ist das Signal — geschliffene Formulierungen sind keine Beruhigung.
3. Den handgeschriebenen Zettel ablehnen. Ein Blatt Papier mit dem heutigen Datum, einem Plattformnamen oder einer Referenznummer ist in keinem regulierten Verfahren vorgesehen. Es dient dazu, Ihr Foto an einer Prüfmaske anderswo passieren zu lassen.
4. Das Dokument schwärzen, bevor es ins Bild kommt. Verdecken Sie Dokumentennummer, maschinenlesbare Zone, Geburtsdatum und Unterschrift und halten Sie die geschwärzte Kopie in die Kamera, nicht das Original. Gesicht sowie Name und Lichtbild auf dem Dokument sind das, worum es angeblich geht.
5. Ein Wasserzeichen für diesen Empfänger setzen. Schreiben Sie Stelle, Zweck und Datum über das Bild, damit eine Kopie, die anderswo wieder auftaucht, sichtbar aus dem Zusammenhang gerissen ist.
6. Den Raum aus dem Bild halten. Nehmen Sie eine schlichte Wand. Ein Türrahmen, ein Fensterblick, ein Paketaufkleber oder Post auf dem Tisch hinter Ihnen verortet Sie genauso zuverlässig wie das Dokument.

Häufige Fragen