Florida DMV: DAVID-Datenbank durch gestohlenen Polizei-Login kompromittiert
Floridas Behörden geben an, dass ein gestohlener Login der Plant City Police den Angreifern Zugriff auf die DAVID-Fahrerdatenbank verschaffte, doch die Zahl der betroffenen Datensätze ist weiterhin unbekannt.
Das Florida DMV hat bestätigt, dass seine DAVID-Fahrerdatenbank kompromittiert wurde, nachdem ein Angreifer gestohlene Zugangsdaten eines Polizeikontos verwendet hatte. In einer Erklärung vom 4. September 2026 auf X teilte das Florida Department of Highway Safety and Motor Vehicles (FLHSMV) mit, es habe von dem Eindringen einer internationalen cyberkriminellen Organisation erfahren, schnell Gegenmaßnahmen ergriffen und festgestellt, dass keine weitere Kompromittierung mehr stattfand.
Die Untersuchung des FLHSMV ergab, dass der Angreifer kompromittierte Login-Daten eines einzelnen Nutzers des Plant City Police Department verwendete. Diese Zugangsdaten waren unsachgemäß auf dem persönlichen elektronischen Gerät des Mitarbeiters gespeichert. Die Behörde hat das Florida Office of the Attorney General benachrichtigt und arbeitet mit dem Florida Digital Service und dem Florida Department of Law Enforcement zusammen. Da es sich um eine laufende strafrechtliche Untersuchung handelt, werden weitere Informationen zu gegebener Zeit veröffentlicht.
Die Bestätigung folgt auf eine Behauptung von ShinyHunters, einer für Datenerpressung bekannten Gruppe, sie sei in die DAVID-Datenbank eingebrochen und habe mehr als 200.000 Fahrerdatensätze gestohlen. ShinyHunters beschrieb vor der Ankündigung der Behörde einen anderen Zugangsweg. Die Gruppe gab an, eine Schwachstelle beim Zurücksetzen von Passwörtern ausgenutzt zu haben, um auf mehrere DAVID-Konten zuzugreifen, darunter Konten von DMV-Mitarbeitern und eines FBI-Agenten. Die Angreifer erklärten weiter, sie hätten sich durch DAVID-Datensatz-IDs bewegt und ab dem 3. September zugehörige HTML-Seiten und Bilder heruntergeladen. Als Beweis teilte die Gruppe einen Screenshot eines DAVID-Datensatzes von Jeffrey Epstein, der sensible persönliche und Fahrzeuginformationen enthielt. ShinyHunters teilte BleepingComputer später mit, den Zugang zum System verloren zu haben und glaubte, dass die Schwachstelle gepatcht werde.
Das FLHSMV hat nicht mitgeteilt, wie viele Datensätze eingesehen oder gestohlen wurden, und hat die Behauptung der Gruppe, mehr als 200.000 Datensätze seien entwendet worden, nicht bestätigt. Die unterschiedlichen Erklärungen lassen auch Fragen zum genauen Kompromittierungsweg offen. Ein gestohlener, auf einem persönlichen Gerät gespeicherter Zugang deutet auf ein menschliches und gerätebezogenes Sicherheitsversagen hin, während eine Schwachstelle beim Zurücksetzen von Passwörtern auf eine Schwäche in der DAVID-Webanwendung selbst hindeuten würde. So oder so kann ein einzelnes Konto zum Einstiegspunkt in eine große Datenbank mit Fahrerdatensätzen werden.
Für Website-Betreiber und IT-Teams ist die Lehre praktisch. Admin-Panels, Kundenportale und interne Systeme setzen oft auf dieselbe Art von Benutzername-und-Passwort-Zugang wie die DAVID-Datenbank. Die Wiederverwendung von Passwörtern über Dienste hinweg erhöht die Wahrscheinlichkeit, dass ein durchgesickertes Zugangsdatum ein anderes System öffnet. Multi-Faktor-Authentifizierung (MFA), die einen zweiten Nachweis über ein Passwort hinaus verlangt, kann den Wert eines gestohlenen Zugangsdatums verringern. Das Speichern von Arbeitspasswörtern auf persönlichen Telefonen oder Laptops erweitert zudem die Angriffsfläche, da persönliche Geräte möglicherweise nicht über dieselben Sicherheitskontrollen wie verwaltete Arbeitsgeräte verfügen.
Fahrerdatenbank-Datensätze sind besonders sensibel, weil sie Identitätsinformationen mit Fahrzeugdetails kombinieren, die für gezielten Betrug oder Identitätsmissbrauch genutzt werden können. Selbst ohne Bestätigung der Gesamtzahl der Datensätze sollten Einwohner Floridas, deren Informationen in der DAVID-Datenbank erscheinen, auf Benachrichtigungen des Staates achten und auf ungewöhnliche Kontoaktivitäten alert sein. Eine Schwachstelle beim Zurücksetzen von Passwörtern ist eine Schwäche im Prozess, der es einem Nutzer ermöglicht, wieder Zugriff auf ein Konto zu erlangen; wird sie missbraucht, kann ein Angreifer ein Konto übernehmen, ohne das ursprüngliche Passwort zu kennen.
Für Organisationen, die ähnliche Zugangsportale betreiben, ist die Überprüfung, wer sich anmelden kann und wo Zugangsdaten gespeichert sind, ein praktischer erster Schritt. Die sicherheitsorientierte Beratung von AEU-I kann helfen, Zugriffe zu kartieren und die Wahrscheinlichkeit zu verringern, dass ein einzelner schwacher Login zu einer Kompromittierung führt, obwohl der disziplinierte Umgang der Mitarbeiter mit Passwörtern unerlässlich bleibt.
So schützen Sie sich
- Verwenden Sie für jedes Arbeits- oder Regierungskonto ein separates, starkes Passwort und verwenden Sie niemals Passwörter auf verschiedenen Websites oder Diensten wieder.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, die einen zweiten Code von Ihrem Telefon verlangt, für jedes Konto, das dies anbietet.
- Bewahren Sie Arbeits- oder Regierungs-Zugangsdaten nicht auf einem persönlichen Telefon, Tablet oder Computer auf, es sei denn, Ihr Arbeitgeber verlangt dies ausdrücklich und sichert es ab.
- Wenn Sie eine Mitteilung erhalten, dass Ihre Führerschein- oder Fahrzeuginformationen möglicherweise offengelegt wurden, überwachen Sie Ihre Kreditwürdigkeit und erwägen Sie, bei einer Auskunftei einen kostenlosen Betrugsalarm einzurichten.
- Behandeln Sie jede unerwartete Passwort-Zurücksetzung oder Konto-Zugriffsmeldung als Warnung und melden Sie sie Ihrem IT-Team oder dem Dienstanbieter.
Begriffe Erklärt
- credential Ein Paar aus Benutzername und Passwort, mit dem Sie sich bei einem System anmelden und Ihre Identität nachweisen.
- password reset flaw Eine Schwäche im Ablauf, mit dem ein Nutzer wieder Zugriff auf ein Konto erlangt, die ein Angreifer ausnutzen kann, um das Konto zu übernehmen.
- DAVID Die Datenbank für Führerschein- und Fahrzeuginformationen in Florida namens DAVID, in der Fahrerdatensätze gespeichert sind.
- ShinyHunters Eine cyberkriminelle Gruppe, die Daten stiehlt und anschließend für Erpressung nutzt.
- multi-factor authentication (MFA) Eine Sicherheitsmethode, die zusätzlich zum Passwort einen zweiten Nachweis verlangt, etwa einen Code von Ihrem Telefon.