IDScan bestätigt Cloud-Datenpanne trotz Angaben zu 153 Millionen gestohlenen Führerscheinscans

Der Anbieter für Identitätsverifizierung IDScan hat einen möglichen unbefugten Zugriff auf Kundeninformationen bestätigt, die auf IDScan.net, seiner Cloud-Plattform, gespeichert waren. Die Mitteilung erfolgte, nachdem eine umfangreiche Datenbank mit Identitätsdokumenten auf dem Dark-Web-Marktplatz Nexus aufgetaucht war.

Die angebotene Sammlung soll mehr als 153 Millionen Scans von Führerscheinen aus den USA und Kanada sowie Millionen weiterer Identitätsdokumente enthalten haben. IDScan konnte jedoch nicht feststellen, ob alle über Nexus angebotenen Datensätze aus den eigenen Systemen stammen.

Das Unternehmen hat außerdem nicht mitgeteilt, wie viele Kunden oder Personen betroffen waren. Die Untersuchung dauert an.

IDScan entdeckte am 1. September einen möglichen Cloud-Zugriff

IDScan erfuhr am 1. September 2026, dass ein unbefugter Dritter möglicherweise auf Informationen in Kundenkonten auf IDScan.net zugegriffen oder diese kopiert hatte. Am selben Tag berichtete der Cybersecurity-Journalist Brian Krebs, dass Nexus Zugriff auf mehr als 153 Millionen Führerscheinscans verkaufte.

IDScan veröffentlichte am 4. September 2026 eine Sicherheitsmitteilung. Als möglicherweise offengelegte Informationen nannte das Unternehmen:

• Vollständige Namen.
• Führerscheinnummern.
• Weitere von Behörden ausgestellte Identifikationsnummern.

Die Mitteilung enthielt keine vollständige Aufstellung der kompromittierten Daten. Insbesondere bestätigte sie nicht ausdrücklich, dass der Angreifer Dokumentenbilder erlangt hatte, obwohl Berichte über den Nexus-Marktplatz den Vorfall mit Führerscheinscans in Verbindung bringen.

Die Mitteilung war außerdem mit der Direktive noindex versehen, die Suchmaschinen anweist, die Seite nicht in den Suchergebnissen anzuzeigen. Dadurch wurde der direkte Zugriff auf die Mitteilung nicht verhindert, möglicherweise aber ihre Auffindbarkeit über gewöhnliche Suchanfragen erschwert.

Bis zum 10. September 2026 waren IDScans Bestätigung der Datenpanne und die laufende Untersuchung öffentlich ausführlicher bekannt geworden. Berichten zufolge waren bereits mehrere Klagen gegen das Unternehmen eingereicht worden, eine genaue Zahl wurde jedoch nicht veröffentlicht.

Der Nexus-Datensatz könnte weit über Führerscheine hinausgehen

Die über Nexus beworbene Datenbank war Berichten zufolge deutlich umfangreicher, als die prominente Angabe vermuten ließ. Sie soll Folgendes enthalten haben:

• Mehr als 153 Millionen Scans von US-amerikanischen und kanadischen Führerscheinen.
• Rund 10 Millionen Scans von Ausweisdokumenten.
• Mehr als 3 Millionen Reisedokumente oder internationale Ausweisdokumente.
• Mindestens 579.000 Gesundheitskarten.

Krebs soll die Sammlung auf eigene Daten sowie auf Datensätze anderer Personen überprüft haben, die diesen Suchvorgängen zugestimmt hatten. Die Ergebnisse halfen dabei, die Daten mit IDScan in Verbindung zu bringen.

Frühere Berichte beschrieben Hinweise darauf, dass Nexus über eine große und möglicherweise schnell wachsende Sammlung von Identitätsdokumenten verfügte. Dennoch sind mehrere zentrale Angaben weiterhin nicht verifiziert.

IDScan hat nicht mitgeteilt, wie viele der von Nexus beworbenen Datensätze von seiner Plattform stammen. Das Unternehmen hat weder bestätigt, dass die vom Marktplatz genannten Gesamtzahlen korrekt sind, noch dass alle angebotenen Dokumente echt sind. Eine Sammlung von 153 Millionen Scans muss zudem nicht 153 Millionen verschiedene Personen repräsentieren, da Einzelpersonen mehrere Bilder, erneuerte Führerscheine oder doppelte Datensätze haben können.

Nexus soll den Zugriff auf die Datenbank verkauft haben, anstatt sie frei zum Download anzubieten. Der Marktplatz wurde später offline genommen, nachdem er öffentliche Aufmerksamkeit erregt hatte. Dadurch werden Kopien jedoch nicht ungültig, die zahlende Nutzer oder Betreiber des Marktplatzes bereits erhalten haben.

Anschließend behaupteten weitere Akteure, im Besitz der vollständigen Datenbank zu sein und diese zu verkaufen. Diese Angebote wurden nicht authentifiziert.

Die Methode des Eindringens ist weiterhin unbekannt

Bei dem betroffenen Produkt handelt es sich um IDScan.net, den cloudbasierten Dienst von IDScan zur Identitätsverifizierung. Unternehmen nutzen die Plattform, um behördliche Dokumente zu scannen, ihre Echtheit zu prüfen und Identitätsinformationen für Geschäfts- oder Compliance-Prozesse auszulesen.

Es wurden keine betroffenen Softwareversionen genannt. Da es sich bei IDScan.net um einen Cloud-Dienst handelt, wurde der Vorfall keiner Version zur Installation beim Kunden zugeordnet, die Unternehmen unabhängig patchen könnten.

Es gibt außerdem keine bekannte CVE und keine öffentlich dokumentierte Produkt-Schwachstelle. Die verfügbaren Informationen lassen nicht erkennen, ob der Angreifer:

• Die zentrale Infrastruktur von IDScan kompromittierte.
• Ein oder mehrere Kundenkonten übernahm.
• Gestohlene Administrator- oder API-Zugangsdaten verwendete.
• Einen Fehler in der Cloud-Konfiguration ausnutzte.
• Eine legitime Integration missbrauchte.
• Eine bislang nicht offengelegte Software-Schwachstelle ausnutzte.

Daher handelt es sich nicht um einen Eintrag im CISA Known Exploited Vulnerabilities-Katalog mit veröffentlichter Frist zur Behebung. Es ist eine Untersuchung einer Cloud-Datenpanne ohne offengelegte technische Ursache.

Auch die Identität des unbefugten Akteurs ist unbekannt. The Record bezeichnete Nexus als mit Russland verbunden, doch daraus lässt sich weder ableiten, wer ursprünglich auf IDScan.net zugriff, noch wer die Marktplatz-Datenbank bereitstellte.

Das FBI untersucht den Vorfall. Es wurden öffentlich weder ein mutmaßlicher Akteur noch eine Angriffstechnik, eine Malware-Familie, eine Lösegeldforderung oder destruktive Aktivitäten identifiziert.

Die Offenlegung könnte Unternehmen und Kunden betreffen, die auf Identitätsprüfungen angewiesen sind

Die Technologie von IDScan wird von Unternehmen genutzt, die Identität, Alter, Berechtigung oder den regulatorischen Status prüfen müssen. Zu den gemeldeten Kundensektoren gehören Autovermietungen, Einzelhändler, Finanzinstitute, Cannabisunternehmen, Waffengeschäfte und Anbieter aus dem Gastgewerbe.

Unmittelbar betroffen sind möglicherweise die Personen, deren Dokumente verarbeitet und gespeichert wurden. Vollständige Namen in Verbindung mit echten Identifikationsnummern können Identitätsdiebstahl, betrügerisches Onboarding, gezielte Phishing-Angriffe und Versuche ermöglichen, Know-your-customer-Kontrollen zu umgehen.

Sollte die Offenlegung von Dokumentenbildern bestätigt werden, entstünde ein zusätzliches Risiko. Ein Scan kann strukturierte Identitätsdaten und visuelle Merkmale enthalten, die sich für Social-Engineering-Kampagnen oder betrügerische Verifizierungsversuche nutzen lassen. Welche Felder tatsächlich enthalten sind, hängt vom jeweiligen Dokument ab. IDScan hat kein vollständiges Datenschema der kompromittierten Datensätze veröffentlicht.

Für Unternehmen, die die Plattform nutzen, ergibt sich ein eigenes operatives Problem. Sie müssen möglicherweise klären, ob an IDScan übermittelte Daten auch in internen Datenbanken, Supportsystemen, Compliance-Archiven oder Integrationen von Drittanbietern kopiert wurden. Solche nachgelagerten Kopien könnten den Umfang des Vorfalls vergrößern, selbst wenn der ursprüngliche Cloud-Zugriff bereits eingedämmt wurde.

Die genannten Branchen sind bei Transaktionen mit weitreichenden Folgen außerdem in hohem Maß auf Identitätsprüfungen angewiesen. Unter Verwendung echter persönlicher Daten könnten betrügerische Kontoeröffnungen, Fahrzeuganmietungen, Finanzaktivitäten, regulierte Käufe und Hotelbuchungen versucht werden.

Das Ausmaß bleibt unklar. Die Zahlen von Nexus deuten auf eine potenziell systemische Offenlegung hin, sollten jedoch nicht als bestätigte Zahl der von IDScan betroffenen Datensätze betrachtet werden.

IDScan informiert Betroffene, während die Untersuchung weiterläuft

IDScan erklärte, nach der Entdeckung der Aktivitäten Maßnahmen zur Absicherung seiner Systeme ergriffen und externe Spezialisten mit der Untersuchung von Art und Umfang des Vorfalls beauftragt zu haben. Das Unternehmen überprüft außerdem seine Sicherheitsrichtlinien und arbeitet mit den Bundesbehörden zusammen.

Möglicherweise betroffene Personen werden benachrichtigt und erhalten kostenlose Dienste zur Kreditüberwachung und zum Schutz vor Identitätsdiebstahl. IDScan hat weder eine endgültige Zahl der betroffenen Kunden noch eine vollständige Liste der kompromittierten Datentypen veröffentlicht.

Kunden sollten nicht davon ausgehen, dass ihre Umgebungen nicht betroffen sind, nur weil sie während der laufenden Untersuchung keine Benachrichtigung erhalten haben. Unternehmen, die IDScan.net nutzen, sollten ermitteln, welche Geschäftsbereiche, Anwendungen und API-Integrationen Identitätsdokumente an den Dienst übermittelt haben.

Zu den Schutzmaßnahmen sollten gehören:

1. Aktivitäten in IDScan.net überprüfen. Achten Sie auf unerwartete Anmeldungen, Änderungen an Administratoreinstellungen, Massenabfragen, Exporte oder Aktivitäten zur Dokumentenverifizierung.
2. Administrativen Zugriff überprüfen. Entfernen Sie inaktive Konten und stellen Sie sicher, dass die aktuellen Berechtigungen den betrieblichen Anforderungen entsprechen.
3. Relevante Geheimnisse rotieren. Ersetzen Sie möglicherweise offengelegte Passwörter, API-Schlüssel, Zugriffstoken und Zugangsdaten für Integrationen.
4. Starke Multifaktor-Authentifizierung durchsetzen. Priorisieren Sie Administrator- und Konten zur Verwaltung von Diensten.
5. Verbundene Systeme untersuchen. Ermitteln Sie, ob Dokumentenbilder oder ausgelesene Felder in Kundendatenbanken, Protokolle, Backups oder Analyseplattformen repliziert wurden.
6. Gespeicherte Identitätsdaten reduzieren. Prüfen Sie, ob Scans von Ausweisdokumenten länger gespeichert werden, als es gesetzliche oder betriebliche Anforderungen verlangen.
7. Betrugsbekämpfung und Helpdesk vorbereiten. Angreifer könnten korrekte persönliche Daten verwenden, um Phishing-, Identitätsmissbrauchs- und Kontowiederherstellungsversuche glaubwürdig erscheinen zu lassen.

Betroffene Personen sollten bei Nachrichten besonders vorsichtig sein, die sich auf echte Führerscheindaten beziehen oder angeblich den Ersatz von Dokumenten, eine Kontoverifizierung, rechtliche Schritte oder den Schutz vor Identitätsdiebstahl betreffen. Der Besitz korrekter Identitätsdaten macht eine Nachricht nicht legitim.

Die zentralen Fragen bleiben unbeantwortet: Wie erlangte der Angreifer Zugriff, wie lange bestand dieser Zugriff und welcher Anteil der Nexus-Sammlung stammte von IDScan? Bis diese Erkenntnisse veröffentlicht werden, müssen sowohl Kunden als auch Einzelpersonen mit einer möglicherweise größeren Offenlegung planen, als das Unternehmen bislang bestätigt hat.