Ein gravierendes Datenleck bei dem Identitätsprüfungsdienstleister idscan.net führte dazu, dass über ein Jahr lang hochauflösende Scans von Ausweisdokumenten in Echtzeit abgefangen und auf der Darknet-Plattform Nexus zum Verkauf angeboten wurden. Der Datensatz umfasst mehr als 153 Millionen Führerscheine aus den USA und Kanada, über 10 Millionen Personalausweise sowie Reisepässe und medizinische Registrierungen, darunter Datensätze hochrangiger US-Regierungsbeamter. Die forensische Analyse der Metadaten und Zeitstempel belegt, dass die Rohdaten direkt aus Verifikationssystemen von Kunden wie Hertz und Cannabis-Abgabestellen (Planet13) abgesaugt wurden. Das FBI eröffnete über seine Außenstelle in New Orleans offizielle Ermittlungen, woraufhin die Nexus-Plattform den Betrieb vorerst einstellte.
Wichtigste Punkte
Massive Datenexfiltration via Nexus: Auf dem russischsprachigen Cybercrime-Forum Exploit offerierte der Dienst Nexus über 153 Millionen digitalisierte Führerscheine, 10 Millionen ID-Karten, 3 Millionen Reisedokumente sowie 579.000 medizinische Bescheinigungen. Eine unfilterte Suche lieferte rund 11,5 Millionen Ergebnisseiten mit 15 Einträgen pro Seite; der Bestand wuchs teils um 400.000 Dokumente innerhalb von 24 Stunden.
Kompromittierte Vektor-Identifikation (idscan.net): Zeitstempel und Bildformate stimmen exakt mit Hardware-Scans des Unternehmens idscan.net überein. Pro Vorgang wurden sechs Bilddateien abgegriffen (Vorder- und Rückseite im sichtbaren Farbspektrum, Infrarot und Ultraviolett), generiert bei Kunden wie Hertz-Mietwagenstationen und Planet13-Dispensaries.
Echtzeitabgriff über ein Jahr: Laut Angaben der Bedrohungsakteure erfolgte die Datenübertragung kontinuierlich über mehr als zwölf Monate hinweg direkt aus den Systemen des Anbieters, dessen Technologie monatlich rund 21 Millionen Prüfungen an 20.000 Standorten verarbeitet.
Betroffene Hochwertziele: Unter den geleakten Identitäten befanden sich Dokumente des US-Verteidigungsministers Pete Hegseth, des stellvertretenden FBI-Direktors sowie von IT-Sicherheitsforschern wie Brian Krebs und Zach Edwards.
Ermittlungen der Bundesbehörden: Nach Hinweisen von KrebsOnSecurity leitete das FBI New Orleans eine strafrechtliche Untersuchung bezüglich des Dienstes und der Sicherheitsarchitektur von idscan.net ein. Unmittelbar nach Publikation der Recherche wurde die Plattform abgeschaltet.
Kritische Bedrohungsszenarien: Laut Sicherheitsforschern von Cybera eignen sich die UV-/IR-Rohdaten für systematischen Identitätsdiebstahl zur Eröffnung von Kreditlinien sowie für das Aushebeln von Schutzprogrammen (Zeugenschutz, Opfer häuslicher Gewalt) mittels automatisierter Gesichtsabgleichsysteme.
Diskussions-Highlights
Fundamentale Architekturkritik an Identitätsprüfungen: Kommentatoren verurteilten das gängige Modell, Identität durch Übermittlung statischer, nicht widerrufbarer Ausweisbilder zu belegen („Beweise, dass du Alice bist, indem du genug Daten sendest, um sich als Alice auszugeben“). Sobald Dokumentenkopien gespeichert werden, entstehen unvermeidbare Angriffsvektoren.
Kryptografische Alternativen (PKI & ZKP): Gefordert wurden Public-Key-Infrastrukturen mit Vertrauensketten, Verifiable Credentials (W3C/OpenID) sowie Zero-Knowledge-Beweise (ZKP). Nutzer könnten damit Eigenschaften (wie Volljährigkeit) mathematisch nachweisen, ohne personenbezogene Daten offenzulegen oder deanonymisiert zu werden.
Einschränkungen europäischer E-ID-Modelle: Diskutanten wiesen darauf hin, dass die EU-Architektur zur Altersverifikation Abhängigkeiten von Apple- und Google-Ökosystemen schafft und quelloffene Mobilbetriebssysteme (z. B. GrapheneOS) ausschließt. Ein technischer Einwand betonte zudem das Orakel-Problem: Ein einzelner gültiger ZKP-Nachweis könne missbraucht werden, um als Prüfinstanz für unberechtigte Dritte zu fungieren.
Passkeys und Schlüsselverwaltung: Diskutiert wurde die Diskrepanz zwischen hardwaregebundenen Schlüsseln (YubiKey, Nitrokey) und betriebssystemintegrierten Passkeys. Letztere bergen laut Kritikern das Risiko eines Hersteller-Lock-ins, während Befürworter auf softwarebasierte Passwortmanager (Vaultwarden, KeePassXC) zur plattformunabhängigen Sicherung verwiesen.
Strukturelle Defizite in den USA: Die Implementierung zentraler digitaler Ausweise scheitert an föderalen Barrieren, dem historisch gewachsenen Flickenteppich einzelstaatlicher Behörden (DMVs) und Datenschutzbedenken. Es wurde hervorgehoben, dass US-Behörden Daten selbst kommerziell verwerten oder private Dienstleister (wie ID.me) einbinden, was das Missbrauchsrisiko weiter erhöht.
Praktische Angriffsfolgen bei Finanzinstituten: Berichte zeigten, dass Angreifer gestohlene Führerscheinbilder bereits erfolgreich einsetzen, um bei Banken wie Chase die Zwei-Faktor-Authentifizierung (2FA) im Rahmen von Konto-Wiederherstellungsprozessen remote zurücksetzen zu lassen.
Mangelnde Haftung und Compliance-Theater: Die Community forderte existenzbedrohende Schadensersatzstrafen pro kompromittiertem Datensatz. Zertifizierungsstandards wie SOC 2 wurden als rein bürokratische Alibimaßnahmen („Security Theater“) bezeichnet, die Unternehmen vor juristischen Konsequenzen abschirmen, ohne reale Sicherheit zu erzwingen.
Glossar
ALPR (Automated License Plate Recognition): Automatische Kennzeichenerfassung; kamerabasierte Systeme, die Nummernschilder von Fahrzeugen im öffentlichen Raum erfassen und Standortprofile erstellen.
CAC (Common Access Card): Eine Chipkarte für Angehörige des US-Verteidigungsministeriums, die zur physischen Zutrittskontrolle sowie zur Authentifizierung an militärischen Computersystemen dient.
CDL (Commercial Driver’s License): Gewerbliche Fahrerlaubnis in den USA, erforderlich zum Führen schwerer Nutzfahrzeuge wie Lastkraftwagen oder Bussen.
Darknet: Ein über das Internet zugängliches, jedoch verschlüsseltes Overlay-Netzwerk (z. B. Tor), das Anonymität bietet und häufig für illegale Handelsplätze genutzt wird.
Data Exfiltration (Datenexfiltration): Das unbefugte, heimliche Ausleiten von vertraulichen Daten aus einem kompromittierten Rechnernetzwerk durch externe Angreifer.
DMV (Department of Motor Vehicles): Die zuständige Behörde auf Ebene der US-Bundesstaaten für die Ausstellung von Führerscheinen, Personalausweisen und Fahrzeugregistrierungen.
Honeypot: Im Sicherheitskontext eine massive Ansammlung sensibler Daten an einem zentralen Ort, die ein primäres, hochattraktives Ziel für Angreifer darstellt.
Passkey: Ein auf den Standards WebAuthn und FIDO2 basierendes Verfahren zur passwortlosen Anmeldung mittels asymmetrischer Kryptografie (bestehend aus privatem und öffentlichem Schlüssel).
PKI (Public-Key-Infrastruktur): Ein System aus digitalen Zertifikaten, Zertifizierungsstellen (CAs) und kryptografischen Schlüsseln zur Ausstellung, Verteilung und Verifizierung digitaler Identitäten.
REAL ID: US-Bundesstandard aus dem Jahr 2005, der einheitliche Sicherheitsanforderungen und Verifikationsprozesse für bundesstaatlich ausgestellte Führerscheine und Ausweise festlegt.
SOC 2 (System and Organization Controls 2): Ein gängiges Prüf- und Zertifizierungsverfahren für IT-Dienstleister zur Demonstration grundlegender IT-Sicherheits-, Verfügbarkeits- und Datenschutzprozesse.
Verifiable Credentials: Standard des W3C für digitale Nachweise, die kryptografisch fälschungssicher und maschinenlesbar belegen, dass eine Eigenschaft von einer autorisierten Stelle zertifiziert wurde.
Zero-Knowledge-Beweis (ZKP): Ein kryptografisches Verfahren, mit dem eine Partei einer anderen nachweisen kann, dass eine bestimmte Aussage wahr ist (z. B. „volljährig“), ohne dabei weitergehende Details (wie Geburtsdatum oder Name) offenzulegen.
Zwei-Faktor-Authentifizierung (2FA/MFA): Sicherheitsmechanismus, bei dem der Identitätsnachweis über zwei voneinander unabhängige Faktoren (z. B. Passwort und zeitbasierter Einmalcode oder Biometrie) erfolgt.