Darknet-Dienst Nexus verkauft 153 Millionen Führerscheine, zurückverfolgt zu IDScan.net

Ein Darknet-Marktplatz namens Nexus wurde dabei entdeckt, digitale Scans von mehr als 153 Millionen Führerscheinen von US-amerikanischen und kanadischen Bürgern zu verkaufen, zusammen mit 10 Millionen Ausweiskarten, 3 Millionen Reisedokumenten und 579.000 medizinischen Karten, wie der investigative Journalist Brian Krebs berichtete. Die FBI-Außenstelle in New Orleans hat eine Untersuchung zur mutmaßlichen Quelle des Lecks eingeleitet.

Das Ausmaß dieses Vorfalls unterscheidet ihn von routinemäßigen Identitätsdiebstahl-Fällen. Die meisten durchgesickerten Anmeldedatenbanken enthalten Namen, E-Mails und Passwörter — wiederverwendbar, aber ersetzbar. Führerschein-Scans sind anders: Sie enthalten physische biometrische Details, Ablaufdaten und behördliche Dokumentnummern, die für Betroffene viel schwerer zu ändern sind, und die Bilder selbst (Vorder- und Rückseite sowie Infrarot- und Ultraviolett-Scans) können zur Fälschung überzeugender physischer oder digitaler Kopien verwendet werden.

Krebs verfolgte die Daten zu IDScan.net zurück, einem in Louisiana ansässigen Unternehmen zur Identitätsprüfung, das nach eigenen Angaben monatlich mehr als 21 Millionen Identitätsprüfungen für Kunden wie Hertz, Target, FedEx und Caesars Entertainment durchführt. Die Zeitstempelanalyse mehrerer Opfer-Scans stimmte mit Daten überein, an denen sie Fahrzeuge bei Hertz gemietet hatten — was darauf hindeutet, dass Autovermietungsschalter und nicht Flughäfen oder Cannabis-Dispensaries (trotz IDScan.nets Geschäft mit Dispensary-Verifizierung) ein wahrscheinlicher Kompromittierungspunkt waren.

Das Leck reicht bis in höchste Regierungskreise: Der Führerschein von US-Verteidigungsminister Pete Hegseth war unter den zum Verkauf stehenden Datensätzen, neben denen mehrerer anderer hochrangiger Beamter. Krebs berichtete, dass der Betreiber von Nexus bei der Bewerbung des Dienstes seinen eigenen Führerschein aus Virginia als kostenloses Muster anbot — und dass die Datenbank innerhalb von 24 Stunden nach seinem ersten Bericht um etwa 400.000 neue Datensätze wuchs.

Nexus soll kurz nach Krebs' Bericht, der öffentliche Aufmerksamkeit erregte, offline gegangen sein, doch das macht die Offenlegung nicht rückgängig: Einmal kopierte physische Ausweisscans können unbegrenzt auf anderen Plattformen weiterverkauft werden.