IDScan.net bestätigt Leck: 153 Mio. Ausweis-Scans im Darknet

IDScan.net, ein Anbieter für Identitätsprüfung aus Louisiana, dessen Software amtliche Ausweise im Einzelhandel, an Mietwagenschaltern und in Cannabis-Geschäften kontrolliert, hat bestätigt, dass ein Unbefugter möglicherweise auf Daten in Kundenkonten seiner Cloud zugegriffen hat. In einer auf den 4. September datierten Mitteilung erklärte das Unternehmen, der Eindringling habe „möglicherweise bestimmte Kundeninformationen aus den Konten in der IDScan.net-Cloud abgerufen und/oder kopiert“; betroffen seien vollständige Namen sowie Führerschein- oder andere amtliche Ausweisnummern. Von dem möglichen Zugriff habe man am oder um den 1. September erfahren; potenziell betroffen seien Datensätze, die vor diesem Datum ins System gelangt sind.

Der Mitteilung ging ein Darknet-Angebot voraus, das am 1. September öffentlich wurde: Der Sicherheitsjournalist Brian Krebs berichtete, ein neuer Identitätsdiebstahl-Dienst namens Nexus – beworben von einem neuen Nutzer im russischsprachigen Cybercrime-Forum Exploit – verkaufe durchsuchbaren Zugang zu angeblich mehr als 153 Millionen US-amerikanischen und kanadischen Führerschein-Scans, dazu Personalausweise, Reisedokumente und Versichertenkarten. Im Verkaufsthread schrieb Nexus, man exfiltriere „seit über einem Jahr laufend neue Daten“. IDScan.net hat keine dieser Zahlen bestätigt und sich öffentlich nicht mit Nexus in Verbindung gebracht; diese Verknüpfung stammt aus Krebs’ Recherche.

Krebs’ Belege sind Indizien, keine Bestätigung der Beteiligten. Sein eigener Führerschein aus Virginia wurde als kostenlose Probe angeboten. Nachdem er mehr als ein Dutzend Bekannte und Verwandte um Erlaubnis gebeten hatte, fand er neun ihrer Führerscheine – und alle diese Personen bestätigten Reisen an oder nahe den Daten, die als Zeitstempel an den Bildern hingen. Mehrere hatten ihren Ausweis an einem Hertz-Mietwagenschalter vorgelegt; der Scan eines Forschers passte zum Besuch eines Cannabis-Geschäfts in Las Vegas. IDScan.net führt sowohl Hertz als auch Cannabis-Geschäfte als Kunden. Pässe enthielt der Datenbestand laut Krebs nicht.

Die Reichweite ist heikel, weil die meisten Betroffenen IDScan.net nie selbst gewählt haben. Die Kunden des Unternehmens lagern Alters- und Identitätsprüfungen aus – nach eigenen Angaben führt IDScan.net monatlich mehr als 21 Millionen Prüfungen an über 20.000 Standorten durch. Ein an der Ladentür oder am Mietwagenschalter gescannter Führerschein landet damit in der Cloud eines Anbieters, von dem der Betroffene nie gehört hat. Genau solche Scans akzeptieren Banken und Online-Plattformen als Identitätsnachweis.

Unbekannt bleibt das Ausmaß. IDScan.net hat nicht mitgeteilt, wie viele Personen betroffen sind, wie lange der Zugriff bestand oder ob neben den Nummern auch die Dokumentbilder abflossen; externe Spezialisten ermittelten noch den Umfang, man arbeite mit den Bundesbehörden zusammen und werde identifizierten Betroffenen kostenlose Kreditüberwachung und Identitätsschutz anbieten. Das FBI sagte dem Magazin TIME am 3. September, es „prüfe den Vorfall“, lehnte weitere Auskunft aber ab. Nexus ging wenige Stunden nach Krebs’ Bericht offline; auf der Login-Seite stand nur noch: „Dieser Dienst ist nicht mehr verfügbar.“ Solange weder Unternehmen noch Ermittler eine Zahl vorlegen, bleiben die 153 Millionen eine Behauptung des Verkäufers.