Gegen das auf Identitätsprüfung spezialisierte Unternehmen IDScan wurden mehrere Klagen eingereicht, nachdem behauptet worden war, sein Dienst sei gehackt worden und Daten aus mehr als 153 Millionen Führerscheinen würden im Darknet zum Verkauf angeboten. Den verfügbaren Informationen zufolge hat das US-amerikanische Federal Bureau of Investigation (FBI) eine Untersuchung des Vorfalls eingeleitet, während das Unternehmen bislang keine offizielle Stellungnahme dazu abgegeben hat.
Was soll durchgesickert sein?
Ein krimineller Dienst im Darknet namens „Nexus“ hatte am 1. September 2026 angekündigt, über mehr als 153 Millionen Kopien US-amerikanischer und kanadischer Führerscheine zu verfügen oder den Zugriff darauf zu ermöglichen. Hinzu kamen 10 Millionen Ausweise, 3 Millionen Reisedokumente und 579.000 medizinische Karten.
Brian Krebs berichtete, dass Stichproben aus der Datenbank überprüft werden konnten, indem nach seinen eigenen Datensätzen sowie nach den Datensätzen von Personen gesucht wurde, die sich zu Überprüfungen bereit erklärt hatten. Seiner Nachverfolgung zufolge führten die Daten zu IDScan, einem Unternehmen, das Geräte und Software zum Scannen, Authentifizieren und Auslesen staatlicher Identitätsdokumente anbietet.
Die Systeme von IDScan werden in den USA von Unternehmen aus der Autovermietung, dem Einzelhandel, dem Waffenhandel, dem Finanzsektor, Cannabis-Apotheken und dem Gastgewerbe eingesetzt. Das bedeutet, dass potenziell betroffene Personen möglicherweise keine direkten Kunden des Unternehmens sind, sondern Personen, deren Dokumente bei Unternehmen gescannt wurden, die dessen Systeme verwenden.
Offizielle Untersuchung und Klagen in Louisiana
Das FBI bestätigte über seine Dienststelle in New Orleans, dass es den Vorfall prüft, lehnte jedoch wegen der laufenden Untersuchung die Angabe weiterer Einzelheiten ab. Reuters hatte den Beginn der Untersuchung laut dem Ausgangsartikel unabhängig bestätigt.
Die Klagen wurden außerdem im Bundesstaat Louisiana eingereicht, wo sich der Sitz von IDScan befindet. Sie werfen dem Unternehmen vor, die von seinen Kunden erhaltenen Informationen nicht ausreichend geschützt zu haben, darunter Daten des globalen Autovermieters Hertz. Die Kanzleien Markovits, Stock & DeMarco und Hall Attorneys haben Untersuchungen zur möglichen Einreichung einer Sammelklage eingeleitet. Markovits, Stock & DeMarco erklärte, IDScan habe ungefähr am 1. September begonnen, einige seiner Geschäftskunden zu informieren.
Was ändert sich praktisch?
Die Abschaltung des Dienstes Nexus bedeutet nicht, dass die Daten verschwunden sind. Dem Artikel zufolge verfügen Kriminelle weiterhin über die Datenbank. Sollte sich ihre angegebene Größe bestätigen, beschränkt sich das Risiko nicht auf die Offenlegung von Identifikationsnummern, sondern erstreckt sich auch auf die Verwendung von Dokumentkopien für Identitätsbetrug oder zum Umgehen von Prüfverfahren bei anderen Institutionen. Die Quelle belegt jedoch bislang weder die Zahl der betroffenen Personen noch, ob die Systeme von IDScan selbst gehackt wurden.
Der Artikel weist darauf hin, dass Daten, die dem US-Verteidigungsminister Pete Hegseth und einem stellvertretenden Direktor des FBI zugeschrieben wurden, innerhalb des Dienstes aufgetaucht seien; diese Informationen konnten jedoch nicht überprüft werden. Außerdem könnten weitere Klagen oder Sammelklagen folgen und später möglicherweise in mehreren Bezirken zusammengefasst werden. Aufsichtsbehörden und Generalstaatsanwälte der Bundesstaaten könnten separate Untersuchungen einleiten, doch bleibt dies derzeit eine Möglichkeit und ist keine bestätigte Maßnahme.
IDScan hat keine Erklärung zu den Vorwürfen veröffentlicht und nicht auf die Anfragen von BleepingComputer nach einer Stellungnahme reagiert. Daher bleibt der Vorfall bis zum Stand der Aktualisierung des Artikels am 4. September 2026 ein angebliches, untersuchtes Datenleck und kein endgültig bestätigter Hack.