Florida DMV: DAVID-Datenbank durch gestohlenen Polizei-Login kompromittiert
Das Florida DMV hat bestätigt, dass seine DAVID-Fahrerdatenbank kompromittiert wurde, nachdem ein Angreifer gestohlene Zugangsdaten eines Polizeikontos verwendet hatte. In einer Erklärung vom 4. September 2026 auf X teilte das Florida Department of Highway Safety and Motor Vehicles (FLHSMV) mit, es habe von dem Eindringen einer internationalen cyberkriminellen Organisation erfahren, schnell Gegenmaßnahmen ergriffen und festgestellt, dass keine weitere Kompromittierung mehr stattfand.
Die Untersuchung des FLHSMV ergab, dass der Angreifer kompromittierte Login-Daten eines einzelnen Nutzers des Plant City Police Department verwendete. Diese Zugangsdaten waren unsachgemäß auf dem persönlichen elektronischen Gerät des Mitarbeiters gespeichert. Die Behörde hat das Florida Office of the Attorney General benachrichtigt und arbeitet mit dem Florida Digital Service und dem Florida Department of Law Enforcement zusammen. Da es sich um eine laufende strafrechtliche Untersuchung handelt, werden weitere Informationen zu gegebener Zeit veröffentlicht.
Die Bestätigung folgt auf eine Behauptung von ShinyHunters, einer für Datenerpressung bekannten Gruppe, sie sei in die DAVID-Datenbank eingebrochen und habe mehr als 200.000 Fahrerdatensätze gestohlen. ShinyHunters beschrieb vor der Ankündigung der Behörde einen anderen Zugangsweg. Die Gruppe gab an, eine Schwachstelle beim Zurücksetzen von Passwörtern ausgenutzt zu haben, um auf mehrere DAVID-Konten zuzugreifen, darunter Konten von DMV-Mitarbeitern und eines FBI-Agenten. Die Angreifer erklärten weiter, sie hätten sich durch DAVID-Datensatz-IDs bewegt und ab dem 3. September zugehörige HTML-Seiten und Bilder heruntergeladen. Als Beweis teilte die Gruppe einen Screenshot eines DAVID-Datensatzes von Jeffrey Epstein, der sensible persönliche und Fahrzeuginformationen enthielt. ShinyHunters teilte BleepingComputer später mit, den Zugang zum System verloren zu haben und glaubte, dass die Schwachstelle gepatcht werde.
Das FLHSMV hat nicht mitgeteilt, wie viele Datensätze eingesehen oder gestohlen wurden, und hat die Behauptung der Gruppe, mehr als 200.000 Datensätze seien entwendet worden, nicht bestätigt. Die unterschiedlichen Erklärungen lassen auch Fragen zum genauen Kompromittierungsweg offen. Ein gestohlener, auf einem persönlichen Gerät gespeicherter Zugang deutet auf ein menschliches und gerätebezogenes Sicherheitsversagen hin, während eine Schwachstelle beim Zurücksetzen von Passwörtern auf eine Schwäche in der DAVID-Webanwendung selbst hindeuten würde. So oder so kann ein einzelnes Konto zum Einstiegspunkt in eine große Datenbank mit Fahrerdatensätzen werden.
Für Website-Betreiber und IT-Teams ist die Lehre praktisch. Admin-Panels, Kundenportale und interne Systeme setzen oft auf dieselbe Art von Benutzername-und-Passwort-Zugang wie die DAVID-Datenbank. Die Wiederverwendung von Passwörtern über Dienste hinweg erhöht die Wahrscheinlichkeit, dass ein durchgesickertes Zugangsdatum ein anderes System öffnet. Multi-Faktor-Authentifizierung (MFA), die einen zweiten Nachweis über ein Passwort hinaus verlangt, kann den Wert eines gestohlenen Zugangsdatums verringern. Das Speichern von Arbeitspasswörtern auf persönlichen Telefonen oder Laptops erweitert zudem die Angriffsfläche, da persönliche Geräte möglicherweise nicht über dieselben Sicherheitskontrollen wie verwaltete Arbeitsgeräte verfügen.
Fahrerdatenbank-Datensätze sind besonders sensibel, weil sie Identitätsinformationen mit Fahrzeugdetails kombinieren, die für gezielten Betrug oder Identitätsmissbrauch genutzt werden können. Selbst ohne Bestätigung der Gesamtzahl der Datensätze sollten Einwohner Floridas, deren Informationen in der DAVID-Datenbank erscheinen, auf Benachrichtigungen des Staates achten und auf ungewöhnliche Kontoaktivitäten alert sein. Eine Schwachstelle beim Zurücksetzen von Passwörtern ist eine Schwäche im Prozess, der es einem Nutzer ermöglicht, wieder Zugriff auf ein Konto zu erlangen; wird sie missbraucht, kann ein Angreifer ein Konto übernehmen, ohne das ursprüngliche Passwort zu kennen.
Für Organisationen, die ähnliche Zugangsportale betreiben, ist die Überprüfung, wer sich anmelden kann und wo Zugangsdaten gespeichert sind, ein praktischer erster Schritt. Die sicherheitsorientierte Beratung von AEU-I kann helfen, Zugriffe zu kartieren und die Wahrscheinlichkeit zu verringern, dass ein einzelner schwacher Login zu einer Kompromittierung führt, obwohl der disziplinierte Umgang der Mitarbeiter mit Passwörtern unerlässlich bleibt.