Ein massiver Datenabfluss bei dem US-Identitätsprüfungsdienstleister idscan.net führte zur Exfiltration von über 153 Millionen Führerscheinen sowie Millionen weiteren Ausweisdokumenten aus den USA und Kanada. Die gestohlenen Datensätze, welche Front- und Rückseiten-Scans inklusive Infrarot- und Ultraviolettaufnahmen mit Zeitstempeln umfassen, wurden über ein Jahr lang live abgegriffen und auf dem Darknet-Marktplatz Nexus feilgeboten. Betroffen sind unter anderem Kunden von Unternehmen wie Hertz und Planet13 sowie hochrangige US-Regierungsbeamte, was eine offizielle Ermittlung des FBI auslöste. Der Vorfall unterstreicht die fundamentalen Sicherheitsrisiken zentralisierter, auf Bildscans basierender Identitätsprüfungsverfahren.
Wichtigste Punkte
Datenleck bei idscan.net: Der Sicherheitsforscher Brian Krebs deckte auf, dass der Identitätsdienstleister idscan.net über mehr als ein Jahr hinweg Opfer eines kontinuierlichen Datenabflusses war.
Ausmaß der Exfiltration: Der Darknet-Dienst Nexus bot Zugriff auf über 153 Millionen Führerscheine, 10 Millionen Personalausweise, 3 Millionen Reisedokumente und 579.000 medizinische Ausweise (darunter Registrierungen für Cannabis-Dispensaries).
Echtzeit-Siphon: Das Leck befüllte die Nexus-Datenbank fortlaufend; innerhalb von 24 Stunden kamen rund 400.000 neue Datensätze hinzu, bevor der Dienst kurz nach Veröffentlichung des Krebs-Berichts offline ging.
Umfangreiche Bilddaten: Zu einzelnen Einträgen gehörten bis zu sechs Bilddateien (Vorder-/Rückseite, Standard-Scan, Infrarot- und Ultraviolett-Aufnahmen) inklusive GMT-Zeitstempeln.
Betroffene Organisationen: Die Scans stammten aus Prüfungen bei Großkunden wie der Autovermietung Hertz und der Cannabis-Kette Planet13. Ebenfalls betroffen waren prominente Personen wie US-Verteidigungsminister Pete Hegseth und Führungskräfte des FBI.
FBI-Ermittlungen: Das FBI-Büro in New Orleans leitete eine formelle Untersuchung gegen idscan.net ein.
Diskussions-Highlights
Sicherheitsarchitektur von Bildscans: Die Community kritisiert das Konzept, Identität durch das Übermitteln statischer Ausweisbilder zu beweisen ("Prove you are Alice by sending data to impersonate Alice"), als grundsätzlich fehlerhaft, da gestohlene Scans dauerhaft für Identitätsdiebstahl missbraucht werden können.
Kryptografische Alternativen (PKI & ZKP): Als technisch überlegene Lösung werden Public-Key-Infrastrukturen (PKI) und Zero-Knowledge Proofs (ZKP) diskutiert, wie sie im EU-Digital-Identity-Wallet vorgesehen sind. Damit lassen sich spezifische Attribute (z. B. Volljährigkeit) nachweisen, ohne personenbezogene Daten (PII) oder verfolgbare Identifikatoren offenzulegen.
Vorbehalte gegenüber EU-Wallets & ZKP: Nutzer weisen darauf hin, dass europäische Implementierungen häufig Abhängigkeiten von Apple und Google schaffen (Inkompatibilität mit gehärteten Systemen wie GrapheneOS) und ZKP-Systeme durch Proxy-Dienste umgangen werden können, sofern keine strikte Hardware-Bindung vorliegt.
Reale Missbrauchsgefahren: Kommentatoren berichten von Vorfällen, in denen Banken (z. B. Chase) Sicherheitsfaktoren (2FA) von Konten entfernten, nachdem Angreifer lediglich ein gestohlenes Foto eines Führerscheins vorlegten.
Strukturelle Mängel in den USA: Ein zentrales US-Identitätssystem scheitert an der Zersplitterung über 50 Bundesstaaten, Datenschutzbedenken und politischem Widerstand. Hinzu kommt das kommerzielle Eigeninteresse von Behörden (z. B. verkaufte die California DMV Halterdaten für zweistellige Millionenbeträge).
Fehlende Haftung & Anreize: Es wird bemängelt, dass Unternehmen keine spürbaren finanziellen Konsequenzen für Datenlecks tragen, während Zertifizierungen wie SOC2 oft reine "Sicherheits-Show" seien. Bisherige Sammelklagen entschädigten Opfer meist nur mit vernachlässigbaren Beträgen.
Referenz-Links: In den Diskussionen wird auf den Originalbericht von KrebsOnSecurity (krebsonsecurity.com), vorangegangene HN-Threads (ID: 49529621) sowie Analysezusammenhänge bezüglich der CISA-AWS-GovCloud-Lecks verwiesen.
Glossar
PKI (Public Key Infrastructure): Ein System zur Ausstellung, Verwaltung und Überprüfung digitaler Zertifikate auf Basis asymmetrischer Kryptografie (öffentlicher und privater Schlüssel).
ZKP (Zero-Knowledge Proof): Ein kryptografisches Verfahren, mit dem eine Partei einer anderen beweisen kann, dass eine Aussage wahr ist (z. B. "Ich bin über 18 Jahre alt"), ohne jegliche weitere Information oder Identitätsmerkmale preiszugeben.
PII (Personally Identifiable Information): Personenbezogene Daten, mit denen eine Einzelperson direkt oder indirekt identifiziert werden kann (z. B. Name, Geburtsdatum, Führerscheinnummer).
CAC (Common Access Card): Ein Smartcard-Ausweis des US-Verteidigungsministeriums zur physischen und logischen Zugangskontrolle für Militär- und Regierungspersonal.
REAL ID: Ein US-Bundesstandard für Führerscheine und Personalausweise mit erhöhten Sicherheits- und Verifikationsanforderungen, unter anderem vorgeschrieben für Inlandsflüge.
SOC2 (Service Organization Control 2): Ein Prüfungsstandard für Dienstleistungsunternehmen, der die Einhaltung von Kriterien bezüglich Sicherheit, Verfügbarkeit und Datenschutz bewertet.
2FA (Two-Factor Authentication): Zweifaktor-Authentifizierung; ein Sicherheitsverfahren, bei dem zwei unabhängige Kategorien von Nachweisen zur Identitätsprüfung erforderlich sind.
GrapheneOS: Ein auf Datenschutz und Sicherheit spezialisiertes, quelloffenes Android-Betriebssystem, das ohne Standard-Integration von Google-Diensten auskommt.