Mehr als 153 Millionen digitale Scans von Führerscheinen, Personalausweisen und Reisedokumenten aus Nordamerika standen über ein Jahr lang im Darknet zum Verkauf. Die Daten stammten nach Recherchen des Journalisten Brian Krebs von dem auf Identitätsprüfung spezialisierten Unternehmen IDScan.net, das die FBI zu Ermittlungen veranlasste.
Das Datenleck bei IDScan.net und die Entdeckung im Darknet
Das netzpolitische Jahr 2026 ist stark geprägt von Altersüberprüfungen und digitalen Identitätsverifikationen, deren Risiken von Sicherheitsexperten nun auf dramatische Weise bestätigt wurden. Durch ein anhaltendes Datenleck waren Millionen amtlicher Dokumente frei im Darknet erwerbbar. Technisch betrachtet handelt es sich bei den meisten dieser Altersverifikationen um Identitätsüberprüfungen. Die Warnung von Sicherheitsexperten vor solchen Datenerhebungen wurde nun ein weiteres Mal bestätigt: Durch ein Datenleck waren über ein Jahr lang Millionen an Führerscheinen von Menschen online erwerbbar.
Die Vorgänge kamen ans Licht, nachdem ein anonymer Nutzer auf dem russischen Cyberkriminalitätsforum Exploit einen neuen Dienst namens Nexus anbot. Ein threat actor this week started offering on the dark web digital scans of over 153 million US and Canadian driver’s licenses. Über diese Plattform konnten Käufer gezielt nach Identitätsdokumenten von mehr als 170 million Menschen in Nordamerika suchen. Der investigative Journalist Brian Krebs wurde auf den Vorfall aufmerksam, nachdem ihm ein Informant am 31. August einen Hinweis gab und der Verkäufer von Nexus den eigenen Führerschein von Krebs als kostenlose Vorschau nutzte. Krebs traced the source of the data to IDScan.net, a New Orleans-based identity verification company. IDScan processes more than 21 million verifications per month at over 20,000 locations globally, and its client list spans car rentals, hotels, retailers, financial services firms, and marijuana dispensaries.
When contacted, the company acknowledged an internal investigation and did not confirm or deny a breach. On the same day, after Krebs shared his findings with law enforcement, the FBI’s New Orleans field office opened an official inquiry. Nexus went dark shortly after the story published, though the underlying data is almost certainly still circulating on other criminal marketplaces. Das Unternehmen verarbeitet monatlich mehr als 21 Millionen Verifizierungen an über 20.000 Standorten weltweit und arbeitet mit Kunden aus Branchen wie dem Bankwesen, dem Einzelhandel und der Automobilindustrie zusammen.
Nexus bot Millionen hochsensible Dokumente mit Infrarot- und UV-Scans an
Die auf Nexus angebotenen Datensätze gingen weit über einfache Passfotos oder grundlegende Textinformationen hinaus. Neben rund 153 Millionen US-amerikanischen und kanadischen Führerscheinen enthielt die Datenbank mehr als 10 Millionen Identitätskarten, über 3 Millionen Reisedokumente und internationale Ausweise sowie etwa 579,000 medizinische Karten, darunter auch Dokumente von Cannabis-Ausgabestellen. Only around 1.1 million driver’s licenses were from Canada.
Besonders brisant ist die Zusammensetzung der einzelnen Führerscheindatensätze. The Nexus dataset was reportedly not just basic photos. Each license entry included six separate image files: standard front and back scans, plus infrared and ultraviolet versions of the same document. These infrared and UV images matter because they reveal the security features that governments embed in modern licenses precisely to prove authenticity, which means the leaked records are close to what a fraudster would need to build convincing fake IDs or to defeat scanners that check for hologram and watermark authenticity. Zudem enthielt die Datenbank laut Berichten auch Hinweise auf sogenannte Common Access Cards (CAC) für den Zugang zu militärischen und staatlichen Einrichtungen, wobei unter den betroffenen Dokumenten auch die Lizenz eines ranghohen US-Regierungsbeamten und die von FBI-Agenten auftauchten.
Das Problem der dauerhaften Exponierung und die Reaktion der Behörden
Im Gegensatz zu gestohlenen Passwörtern oder Kreditkartennummern lässt sich ein amtlicher Ausweis nicht einfach austauschen oder sperren. A password is a piece of arbitrary text you chose and can replace in thirty seconds. A driver’s license is a government-issued document that ties your face, address, date of birth, and unique identifier together in a single artifact. You cannot change any of those fields on demand. Der Sicherheitsforscher Seemant Sehgal, CEO of BreachLock, put it plainly in his comments to Infosecurity Magazine: none of the fields on your license can be changed, so every person in this dataset will carry the exposure with them for life.
“The first takeaway lesson is that organizations should design identity systems on the assumption that identity evidence may eventually be compromised. A genuine-looking document cannot remain sufficient proof of identity indefinitely. Organizations should inventory identity data and establish who collects it, why it is needed, where it flows, and when it is deleted,”
Tim Rawlins, NCC Group senior adviser and director
IDScan.net bestätigte gegenüber Gizmodo den Beginn einer internen Untersuchung, vermied jedoch eine explizite Bestätigung oder Dementierung des Vorfalls. Unmittelbar nach der Veröffentlichung der Berichte und der Unterrichtung der Behörden ging die Plattform Nexus offline, während das New-Orleans-Büro des FBI offizielle Ermittlungen einleitete. Organizations should also monitor for abnormal bulk access and potential data exfiltration, including unusual activity involving service accounts, application programming interfaces, and administrative accounts, Rawlins added. Individuals should avoid sharing copies of their driver’s licenses unless absolutely necessary and, when presenting an ID for verification, ask whether it can be checked without being scanned, photographed, or retained.
Verwandte Artikel
