Betrugsdaten dürfen fließen; ein Verdacht muss als Verdacht erkennbar bleiben

Zusammenfassung

• Der im September veröffentlichte Ofcom-Leitfaden erläutert, wie britische Kommunikationsanbieter nach geltendem Recht betrugsbezogene Daten austauschen können. Er begründet weder eine allgemeine Offenlegungspflicht noch eine neue Befugnis zum Zugriff auf Kundenakten.
• Die zentrale operative Aufgabe besteht darin, jede Information genau und verhältnismäßig zu halten, sie als Tatsache, Hinweis oder Verdacht zu kennzeichnen und eine Berichtigung zu ermöglichen, wenn sich eine Warnung als unbegründet erweist.

Ein Betrug kann mehrere Netz- und Branchengrenzen überschreiten, bevor ein einzelner Anbieter das Gesamtbild erkennt. Ein Anruf läuft über einen Vorleistungsanbieter, erreicht einen Endkundendienst, gibt sich als Bank aus und veranlasst ein Opfer, Geld an ein anderes Institut zu überweisen. Jeder Beteiligte kennt nur einen Ausschnitt: eine Rufnummer, ein ungewöhnliches Verkehrsmuster, eine Kundenbeschwerde oder ein Empfängerkonto. Diese Teilansicht erschwert die Erkennung.

Das Zusammenführen der Teile birgt jedoch ein weiteres Risiko: Ein Verdacht gegen eine Person oder ein Unternehmen kann sich schneller und weiter verbreiten als die Belege, auf denen er beruht.

Ofcom stellte im September 2026 einen Praxisleitfaden für Kommunikationsanbieter im Vereinigten Königreich vor. Verfasst wurde er von Comms Council UK, dem Home Office und Ofcom, unter Mitwirkung des Information Commissioner’s Office (ICO). Ofcom empfiehlt den Anbietern, den Leitfaden zu berücksichtigen. Die Zusammenarbeit dieser Stellen schafft aber weder einen neuen gesetzlichen Offenbarungsweg noch die Pflicht, jeden verdächtigen Datensatz weiterzugeben. Das Dokument beschreibt, wie bestehende Rahmen genutzt werden können, und soll klären, wann, welche und wie Daten geteilt werden.

Die Rechtsgrundlage hatte sich bereits Anfang des Jahres geändert. Der Data (Use and Access) Act 2025 ergänzte ein anerkanntes berechtigtes Interesse für Verarbeitungen, die zur Aufdeckung, Untersuchung oder Verhütung von Straftaten einschließlich Betrugs erforderlich sind. Die Vorschrift trat am 5. Februar 2026 in Kraft. Laut Leitfaden ist dafür keine gesonderte Interessenabwägung erforderlich. Das vereinfacht einen wichtigen Verfahrensschritt. Es erlaubt jedoch nicht, beliebige personenbezogene Daten an beliebige Empfänger zu senden: Die Erforderlichkeit bleibt gesetzliche Voraussetzung, und die übrigen Datenschutzregeln gelten weiter.

Der Leitfaden verlangt eine konkrete Begründung. Welcher Schaden soll verhindert werden? Kann der Austausch voraussichtlich helfen? Lässt sich das Ziel mit weniger identifizierbaren Daten erreichen? Ist der Empfänger geeignet? Braucht es Zugriffsbeschränkungen, Anonymisierung, Pseudonymisierung oder eine Datenaustauschvereinbarung? Was wurde an wen, warum und mit welchem erwarteten Ergebnis übermittelt? So wird „Betrugsprävention“ von einer pauschalen Rechtfertigung zu einer später überprüfbaren Entscheidung.

Auch der Nachweis muss die unterschiedlichen Evidenzstufen sichtbar lassen. Der Leitfaden fordert genaue, aktuelle Informationen und eine klare Trennung von Tatsache und Verdacht. Ein plötzlicher Verkehrssprung, eine ungültige Rufnummernübermittlung oder eine Kundenbeschwerde kann ein nützlicher Hinweis sein. Für sich genommen belegt keiner dieser Punkte, wer dafür verantwortlich ist, ob ein Kunde vorsätzlich handelte oder ein Unternehmen schuldhaft war. Eine belastbare Meldung beschreibt, was wann und von wem beobachtet wurde, und kennzeichnet Schlussfolgerungen sowie Unsicherheit.

Erweist sich ein Verdacht später als unbegründet, soll der Anbieter dies dokumentieren und das zuständige Verfahren aktualisieren.

Ebenso wichtig ist die Unterscheidung zwischen anonymisierten und pseudonymisierten Daten. Eine Rufnummernliste kann nach dem Entfernen von Namen anonym wirken und dennoch personenbezogene Daten enthalten, wenn der Anbieter oder Empfänger die Nummer einer Person zuordnen kann. Auch zusammengefasste Gesprächsmuster können in Verbindung mit anderen Informationen Rückschlüsse auf Einzelne ermöglichen. Der Leitfaden empfiehlt, die Identifizierbarkeit nach Möglichkeit zu verringern. Ein Token, Hash oder Aggregat ersetzt jedoch nicht die Prüfung, welche Schlüsse der Empfänger ziehen kann.

Bestehende Verfahren ersparen es Anbietern, jeden Austauschweg neu aufzubauen. Der Leitfaden unterscheidet zwischen Strategie und Aufsicht, Datenaustauschorganisationen und operativen Datenzulieferern. Als Beispiele nennt er Cifas, das Telecommunications UK Fraud Forum, die Cyber Defence Alliance und National Trading Standards. Die ergänzenden Fallbeispiele beschreiben den Austausch von Rufnummern, Verbindungsdaten, Domains, Begriffen aus schädlichen Nachrichten und weiteren Informationen.

Ein etabliertes Verfahren kann Empfänger und Ablauf bereitstellen; es bestätigt nicht automatisch jede Meldung und entscheidet nicht, welche geschäftliche Maßnahme ein anderes Unternehmen ergreifen sollte.

Die Fallzahlen zeigen außerdem, warum „Wirkung“ genauer eingeordnet werden muss. Ein Beispiel berichtet, dass im vierten Quartal 2025 1.275 Rufnummern außer Betrieb genommen wurden und monatlich weitere 300 bis 400 hinzukamen, obwohl das Problem weiterwuchs. Ein Fall der Cyber Defence Alliance meldet, dass 491 von einer mit Voice-Phishing verbundenen Nummer angerufene Unternehmen zur Beobachtung oder Untersuchung an Banken weitergegeben wurden. Das Dokument erklärt ausdrücklich, dass weder bekannt sei, wie viele dieser Unternehmen tatsächlich betrogen wurden, noch wie viele Verluste die Weitergabe verhinderte.

Cifas nennt zwei Millionen aktive Fälle in der National Fraud Database, 444.000 Einträge im Jahr 2025 und von Mitgliedern gemeldete Einsparungen von 2,1 Milliarden Pfund.

Diese Zahlen können Aktivität, Reichweite und Betriebsumfang zeigen. Sie haben jedoch keinen gemeinsamen Nenner und sind keine unabhängig geprüfte kausale Schätzung vermiedener Verluste. Eine deaktivierte Rufnummer ist ein Prozessresultat; die Zahl geschützter Personen ist eine Schätzung; eine Fallweitergabe bestätigt noch kein Opfer; gemeldete Einsparungen sind keine kontrafaktische Untersuchung. Die Anlagen sind ein Verzeichnis praktischer Verfahren, kein Beleg für eine einheitliche Wirksamkeit aller Kanäle.

Der Leitfaden benennt auch Fragen, die der Datenschutz allein nicht beantwortet. Wettbewerbsrecht und Verteidigungsrechte liegen außerhalb seines vollständigen Umfangs. Der Austausch für die Betrugsbekämpfung darf kein Vorwand für koordinierte geschäftliche Ausgrenzung werden. Anbieter müssen den Austausch von Betrugsinformationen von einer gemeinsamen Entscheidung unterscheiden, Interconnection oder Geschäfte zu verweigern. Ein beschuldigter Anbieter muss die Informationen verstehen und anfechten können; wird ein Kunde falsch zugeordnet, muss die Berichtigung dieselben Empfänger erreichen wie die ursprüngliche Warnung.

Der Leitfaden ergänzt damit praktische Verbindungen in einem System, das bereits aus Gesetzen, Aufsichtsstellen, Netzbetreibern, Banken, Betrugspräventionsorganisationen und Ermittlungsbehörden besteht. Sein Nutzen liegt darin, den rechtlichen und operativen Weg verständlicher zu machen, besonders für kleinere Anbieter. Entscheidend ist die Qualität späterer Entscheidungen und Korrekturen – nicht die Veröffentlichung des Dokuments, die reine Zahl ausgetauschter Datensätze oder eine uneingeschränkte Behauptung über verhinderte Betrugsschäden.

Quellen: Ofcom-Mitteilung und Leitfaden; ergänzende Fallbeispiele; Data (Use and Access) Act 2025, Anhang 4; Inkrafttretensverordnung.; ICO-Leitfaden zur Pseudonymisierung; ICO-Leitfaden zum Teilen personenbezogener Daten bei Betrug; Betrugsbekämpfungscharta des britischen Telekommunikationssektors; Britische Betrugsstrategie 2026–2029; Ofcom-Leitfaden für Telekommunikationsanbieter (PDF)