Datenpanne legt 153 Millionen Führerscheine im Dark Web offen

Ein Identitätsdiebstahl-Dienst im Dark Web namens Nexus bietet mehr als 153 Millionen Führerschein-Scans von Personen aus den USA und Kanada an. Das FBI hat Ermittlungen zur offensichtlichen Quelle bei einem in Louisiana ansässigen Identitätsprüfungsanbieter namens idscan.net aufgenommen. Der Dienst wurde am 31. August im russischen Cybercrime-Forum Exploit gestartet, das Teil des Dark Web ist – einem Teil des Internets, der nicht von normalen Suchmaschinen indexiert wird und nur mit spezieller Software erreichbar ist. Eine Quelle alarmierte KrebsOnSecurity, nachdem der Betreiber des Dienstes den Führerschein der Publikation aus Virginia als kostenloses Muster veröffentlicht hatte.

Nexus behauptet, 153 Millionen Führerscheine, mehr als 10 Millionen Ausweise, über drei Millionen Reisedokumente oder internationale Ausweise und mindestens 579.000 medizinische Karten zu besitzen. Eine leere Suche im Dienst liefert etwa 11,5 Millionen Ergebnisseiten mit etwa 15 Datensätzen pro Seite. Die meisten Datensätze stammen aus den USA, aber etwa 1,1 Millionen sind kanadisch, mit der größten Konzentration in Ontario mit 473.673 Datensätzen. Die Datensätze umfassen auch Karten von Cannabis-Dispensaries, und einige tragen Quellenvermerke wie „CDL“ (vermutlich gewerblicher Führerschein) und „CAC“ (möglicherweise Common Access Cards für den physischen Zugang zu Regierungsgebäuden). Die Betreiber von Nexus behaupten, die Daten stammten aus einer aktiven Sicherheitsverletzung bei einem großen Identitätsprüfungsunternehmen, zu dessen Kunden mehrere Fortune-500-Unternehmen gehören, und sie hätten seit über einem Jahr kontinuierlich Daten exfiltriert, also ohne Genehmigung kopiert. Die Anzahl der im Nexus gelisteten Führerscheindatensätze stieg innerhalb von 24 Stunden um fast 400.000, was darauf hindeutet, dass weiterhin frische Daten gesammelt werden.

Der eigene Reporter von KrebsOnSecurity entdeckte, dass sein Führerscheindatensatz aus Virginia sechs Bilddateien enthielt: Vorder- und Rückseite, ein Basisbild sowie Infrarot- und Ultraviolett-Versionen – Aufnahmen unter nicht sichtbarem Licht, die Sicherheitsmerkmale wie Hologramme und Mikroschrift zeigen. Der Zeitstempel des Führerschein-Scans entsprach einem Flug im Juni 2025, aber der Reporter nutzte den Führerschein nicht an der Flughafensicherheit, da er stattdessen einen US-Pass vorzeigte. Der Führerschein wurde gleichzeitig mit dem seiner Mutter einem Hertz-Mitarbeiter an der Autovermietung übergeben, und die Zeitstempel ihrer beiden Datensätze liegen nur wenige Sekunden auseinander. KrebsOnSecurity bat mehr als ein Dutzend Freunde und Familienmitglieder um Erlaubnis, in dem Dienst nach ihren Führerscheinen zu suchen, und alle neun gefundenen Personen bestätigten, dass sie an oder sehr nahe an den Daten in ihren Bild-Zeitstempeln gereist waren. Eine Person war kürzlich nicht geflogen, hatte aber um den Zeitstempel herum mehrere Monate lang ein Auto von Hertz gemietet. Die Zeitstempel scheinen auf Greenwich Mean Time eingestellt zu sein, basierend auf Autovermietungsunterlagen, die mehrere Teilnehmer teilten.

Der Sicherheits- und Datenschutzforscher Zach Edwards, der den Dienst DecryptAds betreibt, fand seinen Führerschein auf Nexus mit einem Zeitstempel, der in die Mitte einer Reise nach Las Vegas zur Sicherheitskonferenz DEFCON fiel. Edwards sagte, er habe seinen Führerschein an einem TSA-Kontrollpunkt, einer Cannabis-Dispensary namens Planet13 und seinem Hotel vorgelegt, aber der einzige Ort, der den Ausweis definitiv in einem Gerät scannte, war die Dispensary. Planet13, eine Multi-State-Dispensary-Kette, hat eine exklusive Identitätsprüfungsvereinbarung mit idscan.net, einem in New Orleans ansässigen Anbieter, der angibt, Identitätsprüfungen für mehr als 1.000 Dispensaries in 19 US-Bundesstaaten durchzuführen. Die Vertrauensseite von idscan.net listet Kunden wie Hertz, Target, FedEx, Motorola Solutions, Jack Henry und Caesars Entertainment auf, und die Dokumentation besagt, dass die Technologie Ausweise mit Infrarot- und Ultraviolettlicht scannt. Das Unternehmen gibt an, monatlich mehr als 21 Millionen Prüfungen an über 20.000 Standorten weltweit durchzuführen.

Als KrebsOnSecurity Kontakt aufnahm, sagte idscan.net, dass man ermittle, lieferte aber keine substanzielle Antwort. Jillian Kossman, eine Marketing- und Betriebsleiterin bei idscan.net, schrieb, das Unternehmen könne keine weiteren Informationen teilen, begrüße aber die Aktualisierungen, um die Ermittlungen des Teams zu unterstützen. Das FBI-Feldbüro in New Orleans leitete eine offizielle Untersuchung zu einem offensichtlichen Vorfall bei idscan.net ein, und FBI-Agenten der Cyber-Abteilung hielten eine Telefonkonferenz mit KrebsOnSecurity ab. Der Reporter hatte erfahren, dass Nexus auch die Führerscheindaten eines FBI-Assistenzdirektors verkaufte, obwohl der Führerschein des FBI-Direktors nicht im Dienst gefunden wurde.

Larry Baldwin, leitender Intelligenzforscher bei der Cybersicherheitsfirma Cybera, fand heraus, dass ein Vorder- und Rückseiten-Scan seines Führerscheins auf Nexus Zeitstempel hatte, die mit einer kürzlichen Urlaubsautovermietung bei Hertz übereinstimmten. Baldwin sagte, der Dienst stelle ernsthafte Sicherheits- und Datenschutzbedrohungen dar, da staatlich ausgestellte Führerscheine häufig als Identitätsnachweis bei der Eröffnung neuer Kreditlinien verwendet werden. Er bemerkte auch, dass Menschen, die ihr Aussehen nicht wesentlich ändern können, wie etwa Personen, die vor häuslicher Gewalt fliehen, oder Personen im Zeugenschutzprogramm des Bundes, durch KI-basierte Bildabgleich-Tools gefährlich exponiert sein könnten. Baldwin sagte, dass, gerade als Authentifizierungskontrollen durch Führerschein-Verifizierungssysteme verbessert würden, dieser Vorfall genau das gefährde, wovon diese Verbesserungen abhingen.

Am 8. September veröffentlichte idscan.net eine kurze Mitteilung, in der es hieß, man habe festgestellt, dass ein unbefugter Dritter möglicherweise auf bestimmte Kundeninformationen zugegriffen oder diese kopiert habe, einschließlich vollständiger Namen und Führerscheinnummern oder anderer von der Regierung ausgestellter Identifikationsnummern. Das Unternehmen gab an, betroffene Personen zu benachrichtigen und Kreditschutzdienste anzubieten. Separately erklärte ein Sprecher von Caesars Entertainment, dass Caesars kein Kunde von idscan.net sei und dessen VeriScan-Produkt seit Februar 2025 nicht mehr nutze, idscan.net nicht autorisiert habe, Daten von seinen Konten zu speichern, und von idscan.net informiert worden sei, dass der Vorfall keine Auswirkungen auf Caesars haben sollte. Kurz nach der Veröffentlichung der Geschichte verschwand die Website des Nexus-Dienstes aus dem Dark Web und ersetzte ihre Anmeldeseite durch eine Nachricht mit dem Text „Dieser Dienst ist nicht mehr verfügbar.“

Dieser Vorfall erinnert daran, dass jeder Dienst, der Führerscheine scannt und speichert, ein hochwertiges Ziel wird. Für Website-Betreiber und Unternehmen, die Identitätsprüfungsdienste nutzen, ist die Anwendung von Sicherheits-First-Prinzipien auf Lieferantenbeziehungen entscheidend, und AEU-I, die Security-First-IT- und Beratungspraxis der AEU Group, arbeitet mit Organisationen an Security-First-IT- und Infrastrukturentscheidungen.