Ein Dark-Web-Marktplatz bietet Berichten von Cybernews zufolge angeblich Scans von 153 Millionen Führerscheinen zum Verkauf an, die mit einem Verstoß beim Identitätsverifizierungsunternehmen IDScan.net in Verbindung stehen sollen. Das FBI ermittelt nun in dem Fall, der sich – falls bestätigt – zu den größten Offenlegungen von staatlich ausgestellten Identifikationsdokumenten aller Zeiten zählen würde.

Was passiert ist: Die Vorwürfe zum IDScan-Verstoß

Den Berichten zufolge erschien auf einer Dark-Web-Plattform ein Angebot mit digitalen Scans von Führerscheinen, die angeblich von IDScan.net stammen, einem Unternehmen, das Identitätsverifizierungsdienste anbietet, mit denen Unternehmen die Identität ihrer Kunden bestätigen. Das Ausmaß des mutmaßlichen Verstoßes – 153 Millionen Datensätze – ist selbst nach Maßstäben jüngster groß angelegter Datenvorfälle atemberaubend. Bislang wurden die genaue Methode des Kompromittierung, der zeitliche Ablauf des Verstoßes und der vollständige Umfang der betroffenen Personen nicht unabhängig bestätigt. Die Beteiligung des FBI deutet darauf hin, dass die Ermittler die Behauptungen ernst genug nehmen, um eine formelle Untersuchung einzuleiten.

Führerschein-Scans sind nicht nur Namen und Adressen. Sie enthalten in der Regel ein Foto, die Führerscheinnummer, das Geburtsdatum, eine physische Beschreibung und manchmal Barcodedaten, die noch mehr persönliche Informationen kodieren. Wenn Identitätsverifizierungsunternehmen diese Daten sammeln, um vor einer Transaktion zu bestätigen, wer jemand ist, werden sie zu Zielen mit hohem Wert – gerade weil sie so viel sensibles Material an einem Ort bündeln.

Warum 153 Millionen Führerscheine so wichtig sind

Der Führerschein-Verstoß fügt sich in ein breiteres Muster krimineller Gruppen ein, die Organisationen ins Visier nehmen, die konzentrierte Pools von Identitätsdaten halten – sei es ein Abrechnungsdienstleister, eine Anwaltskanzlei oder ein Identitätsverifizierungsdienst. Vpn.social hat über ähnliche Vorfälle berichtet, darunter den MCBS-Ransomware-Verstoß, der Daten von 1,3 Millionen Patienten geleakt hat, sowie Erpressungskampagnen wie Luna Moths Angriff auf die Anwaltskanzleien Jones Day und WilmerHale. Diese Fälle, zusammen mit Erpressungsversuchen wie der Lösegeldforderung der Everest-Bande gegen Stadler Rail, zeigen, dass kriminelle Gruppen zunehmend Organisationen angreifen, die im Zentrum vertrauenswürdiger Transaktionen stehen: Abrechnungsunternehmen, Rechtsberater und Identitätsprüfer.

Was einen Führerschein-Verstoß von vielen anderen Datenlecks unterscheidet, ist die Dauerhaftigkeit der betroffenen Informationen. Anders als ein Passwort oder sogar eine Kreditkartennummer können eine Führerscheinnummer und ein Foto nicht einfach zurückgesetzt werden. Opfer dieser Art von Offenlegung müssen möglicherweise mit der Kfz-Behörde ihres Bundesstaats zusammenarbeiten, um Dokumente neu ausstellen zu lassen – und selbst dann bleiben die zugrunde liegenden persönlichen Details wie Name, Geburtsdatum und physische Beschreibung auf unbestimmte Zeit kompromittiert. Das macht gestohlene Führerscheindaten besonders attraktiv für Identitätsdiebstahl, synthetischen Identitätsbetrug und die Umgehung von Know-your-Customer-Prüfungen bei Banken, Börsen und anderen regulierten Diensten.

Was das für Sie bedeutet

Wenn Sie online Identitätsverifizierungsdienste genutzt haben – sei es zur Eröffnung eines Finanzkontos, zum Mieten eines Autos, zur Altersverifikation oder zur Durchführung eines Hintergrundchecks – besteht die Möglichkeit, dass Ihre Führerscheindaten durch ein System gelaufen sind, das dem hier mutmaßlich kompromittierten ähnelt. Da der Verstoß noch untersucht wird und IDScan.net den verfügbaren Berichten zufolge keine vollständige öffentliche Bestätigung des Umfangs abgegeben hat, könnten betroffene Personen möglicherweise nicht sofort eine direkte Benachrichtigung erhalten.

Das praktische Risiko ist zweifach. Erstens können Kriminelle gestohlene Führerschein-Scans nutzen, um Opfer zu imitieren, wenn sie neue Konten eröffnen oder Identitätsprüfungen bestehen, die auf Dokumentenverifizierung basieren. Zweitens gibt ein Führerschein-Scan Betrügern – kombiniert mit anderen geleakten Daten wie E-Mail-Adressen oder Telefonnummern – fast alles, was sie brauchen, um glaubwürdig als jemand anderes aufzutreten.

So schützen Sie sich jetzt

Während die Untersuchung des mutmaßlichen IDScan-Verstoßes weiterläuft, können Sie konkrete Schritte unternehmen, um Ihre Gefährdung zu reduzieren:

  • Überwachen Sie Ihre Kreditberichte und Kontoauszüge genau auf Konten oder Anfragen, die Sie nicht erkennen.
  • Erwägen Sie, eine Betrugswarnung oder eine Kreditsperre bei den großen Kreditauskunfteien einzurichten, wenn Sie vermuten, dass Ihre Informationen in diesen Verstoß einbezogen wurden.
  • Seien Sie vorsichtig bei Diensten, die Sie auffordern, ein Foto Ihres Führerscheins hochzuladen, und fragen Sie Anbieter, wie lange sie diese Daten aufbewahren und ob sie verschlüsselt sind.
  • Achten Sie auf Phishing-Versuche, die auf persönliche Details wie Ihre Führerscheinnummer oder Ihr Geburtsdatum verweisen, da Betrüger häufig Teildaten aus Verstößen verwenden, um betrügerische Nachrichten legitim aussehen zu lassen.
  • Prüfen Sie, ob die Kfz-Behörde Ihres Bundesstaats Anleitungen oder Ersatzoptionen anbietet, falls Ihre Führerscheinnummer kompromittiert wurde.

Der mutmaßliche Verkauf von 153 Millionen Führerscheinen im Zusammenhang mit IDScan ist eine Erinnerung daran, dass Identitätsverifizierung – die Verbraucher schützen soll – selbst zur Haftung werden kann, wenn die Unternehmen, die sie durchführen, kompromittiert werden. Während sich die FBI-Untersuchung entfaltet, werden wahrscheinlich weitere Details zum Umfang und zur Methode dieses Vorfalls ans Licht kommen. Bis dahin ist es eine vernünftige Vorsichtsmaßnahme, Ihrer Führerscheinnummer die gleiche Vorsicht entgegenzubringen wie einer Sozialversicherungsnummer. Jetzt wachsam auf ungewöhnliche Kontoaktivitäten zu achten, ist weitaus einfacher, als sich später mit Identitätsdiebstahl auseinanderzusetzen.