Ein Darknet-Dienst namens Nexus bot diese Woche Scans von mehr als 153 Millionen Führerscheinen aus den USA und Kanada an, jeweils mit Vorder- und Rückseite sowie Infrarot- und UV-Aufnahme. Laut KrebsOnSecurity führt die Spur zu einem laufenden Einbruch beim Identitätsprüfer idscan.net, dessen Kundenliste von Hertz über FedEx bis Caesars reicht. Das FBI in New Orleans eröffnete noch am selben Tag eine Untersuchung.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Führerschein-Datenleck begann nicht bei einem Hacker, sondern an einem Mietwagenschalter. Der Sicherheitsforscher Brian Krebs fand seinen eigenen Ausweis als kostenlose Kostprobe im Angebot und verfolgte den Zeitstempel zurück bis zur Ausgabe seines Mietwagens.
Das Wichtigste in Kürze
- Umfang: über 153 Millionen Führerschein-Scans aus den USA und Kanada, dazu Ausweiskarten, Reisedokumente und rund 579.000 Gesundheitskarten.
- Spur: laut KrebsOnSecurity ein seit über einem Jahr laufender Einbruch beim Prüfdienst idscan.net; das FBI in New Orleans ermittelt.
- Kernproblem: nicht ein einzelner Hack, sondern die zentrale Speicherung vollständiger Ausweisscans über Monate hinweg.
- Für Sie: Ausweisdaten fallen unter die schärfsten DSGVO-Pflichten; ein einziger Scan lässt sich nach dem Leck nie mehr zurücksetzen.
Was steckt hinter dem Darknet-Angebot?
Der Dienst Nexus tauchte in der Woche zum 31. August im russischen Cybercrime-Forum Exploit auf und warb mit Scans von über 153 Millionen Führerscheinen, dazu mehr als zehn Millionen Ausweiskarten und rund 579.000 Gesundheitskarten.[1] Jeder Datensatz umfasst sechs Bilddateien, also Vorder- und Rückseite in normaler, infraroter und ultravioletter Ansicht.
Das Tempo verrät den Ursprung. Innerhalb von 24 Stunden wuchs das Angebot laut KrebsOnSecurity um rund 400.000 Führerscheine. Die Betreiber sprachen von einem seit über einem Jahr laufenden Datenabfluss. Wenige Stunden nach der Veröffentlichung verschwand die Nexus-Seite mit dem Hinweis, der Dienst stehe nicht mehr zur Verfügung. Das FBI in New Orleans hatte da bereits eine Untersuchung eröffnet.
Warum wird ein Identitätsprüfer zum Datenleck?
idscan.net prüft nach eigenen Angaben rund 21 Millionen Ausweise pro Monat an etwa 20.000 Standorten, von Autovermietungen über Casinos bis zu Cannabis-Verkaufsstellen. Der Prüfdienst speichert dabei nicht nur ein Ja oder Nein, sondern die vollständigen Scans. Genau diese zentrale Sammlung wurde laut KrebsOnSecurity zum Ziel.
Krebs ordnete die Zeitstempel einzelnen Alltagsmomenten zu, seinem Mietwagen bei Hertz und dem Besuch eines Kollegen in einer Cannabis-Verkaufsstelle in Las Vegas. Die Bilder stammen also nicht aus einem Behördenregister, sondern aus den Prüfvorgängen des Alltags. idscan.net bestätigte eine laufende interne Untersuchung, ohne den Einbruch zu bestätigen oder zu dementieren; Hertz, FedEx und Target führt das Unternehmen selbst als Kunden.
Der eigentliche Fehler ist damit strukturell, nicht technisch. Ein Passwort können Sie wechseln, einen Führerschein-Scan nicht. Ein Anbieter, der Ausweisbilder jahrelang zentral hortet, schafft ein Ziel, das mit jedem Prüfvorgang wertvoller wird. Dieselbe Klasse von Zugriffs- und Vertrauensfehlern zeigte sich beim koordinierten Zugriff auf Hugging-Face-Konten und bei den ServiceNow-Lücken ohne Login.
Nicht der Angreifer ist der eigentliche Skandal, sondern die Entscheidung, jeden Ausweisscan jahrelang zentral aufzubewahren. Ein Foto vom Führerschein lässt sich nicht wie ein Passwort zurücksetzen, sobald der Scan im Darknet steht.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Unternehmen im DACH-Raum?
Für Betriebe im DACH-Raum ist ein Ausweisscan kein gewöhnliches Datum. Die DSGVO zählt ihn zu den besonders sensiblen Kategorien, ein Abfluss löst die Meldepflichten nach Artikel 33 und 34 aus, also die 72-Stunden-Frist an die Aufsichtsbehörde und die Information der Betroffenen. Artikel 5 verlangt zudem Datenminimierung. Eine reine Prüfung rechtfertigt keine dauerhafte Speicherung aller Rohbilder.
Die europäische Antwort auf das Grundproblem heißt eIDAS 2.0. Die künftige EUDI-Wallet soll ein Alter oder eine Identität bestätigen, ohne dass ein zentraler Anbieter ganze Ausweisscans sammelt. Bis dahin bleibt der praktische Hebel, Prüfdienste zu bevorzugen, die nur das Ergebnis speichern statt der Rohbilder, sowie jede Aufbewahrungsfrist hart zu begrenzen.
Der Vorfall zeigt zugleich, warum sich der Markt für Cyberversicherungen bewegt, wie die Übernahme von At-Bay durch die Münchener Rück belegt. Dass eine fremde Anmelde-Identität ohne echte Prüfung ein Konto öffnet, führte zuletzt auch zur Dropbox-Kontoübernahme über einen Lenovo-Login.
Quelle
[1] KrebsOnSecurity: „FBI Probes Service Selling 153M+ Drivers Licenses“ (2. September 2026).
Mehr Newshunger?
- Dropbox: Ein fremder Lenovo-Login genügte zur Kontoübernahme
- Hugging-Face-Hack: Wie sich OpenAIs KI-Agenten heimlich koordinierten
- Drei kritische ServiceNow-Lücken: Angreifer brauchen kein Login
- TeamViewer: zwei hochriskante Client-Lücken erlauben fremden Code
- WPLP Cookie Consent: Kritische Upload-Lücke erlaubt die Komplettübernahme
