Nexus: 153 Millionen Führerscheine im Darknet – Verdacht auf nahezu echtzeitnahen Scan-Datenstrom

Ein Führerschein, der von einem Mitarbeiter eines Mietwagenunternehmens erfasst worden sein soll, tauchte angeblich wenige Stunden nach dem Scan im Darknet auf. Das Dokument wurde auf Nexus angeboten, einem neuen kriminellen Dienst, der mit mehr als 153 Millionen Führerscheinen warb – häufig einschließlich hochauflösender Bilder sowie Aufnahmen im Infrarot- und Ultraviolettspektrum.

Die von KrebsOnSecurity am Dienstag veröffentlichte Recherche, die am 2. September 2026 aufgegriffen wurde, beschreibt ein rasant wachsendes Archiv. Innerhalb von nur 24 Stunden soll die Zahl der verfügbaren Führerscheine um nahezu 400.000 gestiegen sein.

Die zeitliche Nähe lässt vermuten, dass weiterhin Daten von einer Plattform abgegriffen werden, die zur Dokumentenprüfung bei Mietwagenfirmen, Ausgabestellen für Cannabis und anderen Unternehmen eingesetzt wird. Das FBI ermittelt, während IDScan.net, ein Unternehmen, das öffentlich mit dem Datenstrom in Verbindung gebracht wird, interne Untersuchungen eingeleitet hat.

Ein Archiv für Fälschungen – nicht nur für Identitätsdiebstahl

Nexus bot keine einfachen Listen mit Namen, Adressen und Führerscheinnummern an. Für jedes Dokument schienen mehrere Dateien verfügbar zu sein, darunter hochauflösende Bilder von Vorder- und Rückseite.

Das beobachtete Material umfasste außerdem Scans im Infrarot- und Ultraviolettbereich. Dadurch verschärft sich die mögliche Tragweite des Vorfalls erheblich: Solche Aufnahmen können Sicherheitsmerkmale sichtbar machen, die auf einem gewöhnlichen Foto nicht zu erkennen sind. Dazu zählen unter anderem Elemente, die zur Prüfung von Hologrammen und der Echtheit des Dokuments dienen.

Kriminelle könnten die personenbezogenen Daten daher mit vollständigen Bildern und Informationen aus früheren Datenleaks kombinieren. Aktuelle und frühere Adressen, Sozialversicherungsnummern und demografische Profile können betrügerische Anträge, Kontoeröffnungen oder Identitätsmissbrauch glaubwürdiger erscheinen lassen.

Das Risiko beschränkt sich nicht auf Online-Betrug. Die Verfügbarkeit multispektraler Scans könnte die Herstellung gefälschter Dokumente erleichtern, die darauf ausgelegt sind, visuelle oder automatisierte Kontrollen zu umgehen.

Zu den im Archiv gefundenen Identitäten gehörten der Journalist Brian Krebs, seine Mutter, ein stellvertretender FBI-Direktor sowie mehrere Sicherheitsforscher. Wie vielen unterschiedlichen Personen die 153 Millionen Datensätze zuzuordnen waren, ist nicht bekannt, da ein einzelnes Dokument durch mehrere Dateien repräsentiert werden konnte.

Neue Scans landeten innerhalb weniger Stunden auf Nexus

Besonders alarmierend ist die Geschwindigkeit der Veröffentlichung. In mehreren Fällen wurden die Dokumente innerhalb eines Tages, nachdem sie bei einem Unternehmen vorgelegt worden waren, verfügbar; teilweise vergingen nur wenige Stunden.

Diese Dynamik lässt sich nur schwer mit der bloßen Weitergabe eines alten, gestohlenen Archivs erklären, das anschließend weiterverkauft wurde. Sie deutet vielmehr auf einen fortlaufenden oder zumindest erst kürzlich erfolgten Zugriff auf Daten hin, die von einem zentralen Scan-Dienst erfasst wurden.

Das im Hauptfall betroffene Mietwagenunternehmen wurde nicht identifiziert. Daher lässt sich nicht feststellen, welche Niederlassung den Führerschein erfasst hat, welches lokale System eingesetzt wurde oder ob das Dokument über eine Infrastruktur lief, die mit anderen Unternehmen geteilt wurde.

Auch der Angriffsvektor ist unbekannt. Betroffen sein könnten ein Benutzerkonto, eine Anwendungsschnittstelle, ein Cloud-Speicher, ein internes System oder eine Integration mit Drittanbietern. Derzeit liegen jedoch nicht genügend technische Informationen vor, um den Datenabfluss einer bestimmten Komponente zuzuordnen.

Ebenfalls fehlen öffentlich bekannte Indicators of Compromise wie IP-Adressen, Domains, Hashes oder Kontonamen, nach denen Unternehmen in ihren Protokollen suchen könnten. Es wurden keine anfälligen Softwareversionen genannt, und es ist keine CVE-Kennung mit dem Vorfall verknüpft.

Die Verbindung zu IDScan.net sowie die Beziehungen zu Hertz und Planet13

Die verfügbaren Informationen bringen den möglichen Scan-Datenstrom mit IDScan.net in Verbindung, einem in New Orleans ansässigen Unternehmen, das auf die Erfassung und Verifizierung von Dokumenten spezialisiert ist. Das Unternehmen gibt an, dass seine Technologie Bilder im Infrarot- und Ultraviolettspektrum erzeugen kann – genau die Arten von Aufnahmen, die auf Nexus beobachtet wurden.

IDScan.net hat außerdem eine exklusive Vereinbarung mit Planet13 angekündigt, einer in mehreren US-Bundesstaaten vertretenen Kette von Cannabis-Ausgabestellen. Zudem führte das Unternehmen Hertz und elf weitere Firmen als Kunden oder Nutzer seiner Technologie auf.

Einer der untersuchten Fälle betraf eine Person, die eine Planet13-Filiale in Las Vegas besucht hatte. Der Zeitraum zwischen der Vorlage des Dokuments und seiner Verfügbarkeit auf Nexus wurde als mit einer Verbindung zwischen dem Scan-System und dem kriminellen Marktplatz vereinbar angesehen.

Dabei handelt es sich jedoch um Indizien und nicht um eine abschließende technische Rekonstruktion. Es ist nicht bekannt, ob IDScan.net einen unbefugten Zugriff auf die eigenen Systeme bestätigt hat oder welche Infrastruktur die Bilder gespeichert oder übertragen haben soll.

Ein Sprecher des Unternehmens erklärte, dass interne Untersuchungen liefen. Vertreter des betroffenen Mietwagenunternehmens hatten zunächst nicht auf Anfragen reagiert.

Nicht nur Führerscheine: Auch CACs und Aufenthaltstitel im Angebot

Nexus warb mit einem größeren Katalog persönlicher Dokumente. Neben US-amerikanischen und internationalen Führerscheinen wurden Personalausweise, Reisedokumente, Gesundheitskarten, Aufenthaltstitel und Arbeitserlaubnisse aufgeführt.

Der Dienst behauptete außerdem, über Scans von Karten zu verfügen, die von Cannabis-Ausgabestellen ausgestellt werden. In den Daten fanden sich Bezeichnungen wie „CDL“, vermutlich für gewerbliche Fahrerlaubnisse, und „CAC“, vermutlich für Common Access Cards.

CACs sind staatliche Identitätskarten, die unter anderem zur physischen Zugangskontrolle zu öffentlichen Gebäuden und geschützten Bereichen eingesetzt werden. Ihr mögliches Vorkommen in dem Archiv würde die potenziellen Auswirkungen daher über Finanzbetrug hinaus auf Sicherheits- und Zutrittskontrollverfahren ausweiten.

Unklar ist, ob die CAC-Bilder von ausreichend Daten für eine operative Nutzung begleitet wurden oder ob Versuche des Identitätsmissbrauchs registriert wurden. Allein die mögliche Offenlegung erfordert jedoch Überprüfungen durch die für diese Karten zuständigen Organisationen.

Nexus ist offline – doch das Schicksal der Daten bleibt unklar

Nexus war wenige Stunden nach der Veröffentlichung der Recherche nicht mehr erreichbar. Es wurde nicht geklärt, ob der Dienst beschlagnahmt, von seinen Betreibern freiwillig abgeschaltet, verlagert oder aus einem anderen Grund unzugänglich gemacht wurde.

Das Verschwinden des Portals bedeutet nicht, dass das Archiv gelöscht wurde. Die Betreiber könnten Kopien behalten, die Dateien an andere Kriminelle verteilt oder eine Wiederaufnahme des Betriebs unter einem anderen Namen vorbereitet haben.

Das Verschwinden des Dienstes stellt auch die Betroffenen vor ein Problem: Derzeit gibt es kein öffentliches Verfahren, mit dem sich prüfen lässt, ob ein bestimmter Führerschein enthalten war. Es wurden weder allgemeine Benachrichtigungen noch Maßnahmen zum Widerruf oder ein koordiniertes Programm zum Ersatz der offengelegten Dokumente angekündigt.

Das FBI führt eine Untersuchung durch. Die bestätigte Zahl der Betroffenen, das geografische Ausmaß der Datensammlung und der Beginn des Datenabgriffs sind nicht bekannt.

Was betroffene Kunden und Unternehmen tun können

Wer einen Führerschein bei einem Mietwagenunternehmen, einer Cannabis-Ausgabestelle oder einem anderen Unternehmen mit Dokumentenscanner vorgelegt hat, kann nicht automatisch davon ausgehen, betroffen zu sein. Die beobachtete Geschwindigkeit rechtfertigt jedoch einige Vorsichtsmaßnahmen.

Potenziell betroffene Personen können:

• Quittungen und Nachrichten aufbewahren, anhand derer sich nachvollziehen lässt, wo und wann das Dokument gescannt wurde;
• Kreditauskünfte, neue Konten, Finanzierungsanträge und ungewöhnliche Änderungen persönlicher Daten kontrollieren;
• eine vorsorgliche Kreditsperre oder verfügbare Maßnahmen gegen Identitätsbetrug in der eigenen Rechtsordnung prüfen;
• die für die Ausstellung des Führerscheins zuständige Behörde kontaktieren, um sich über das Vorgehen bei einer vermuteten Offenlegung zu informieren;
• Versuche des Identitätsmissbrauchs oder unbefugte Nutzungen umgehend melden;
• die zuständige Sicherheitsstelle informieren, wenn es sich bei dem betroffenen Dokument um eine CAC oder eine andere staatliche Zugangskarte handelt.

Für Unternehmen hat die Überprüfung der Protokolle von Integrationen mit Scan-Diensten, administrativer Zugriffe, Massenexporte und ungewöhnlicher API-Aufrufe Priorität. Außerdem sollte geprüft werden, welche Bilder gespeichert werden, wie lange dies geschieht und mit welchen Berechtigungen darauf zugegriffen werden kann.

Der Ersatz eines Führerscheins kann bestimmte Risiken verringern, beseitigt jedoch weder bereits gestohlene Kopien noch die damit verknüpften personenbezogenen Daten. Solange Herkunft, Dauer und Umfang des Zugriffs nicht geklärt sind, bleibt der Fall Nexus ein möglicher, weiterhin andauernder Sicherheitsvorfall – und nicht lediglich ein inzwischen geschlossenen kriminelles Archiv.