Hacker wollen 160 Millionen Führerscheine verkaufen

Das FBI in den USA prüft den Fall. Vielleicht hat eine Technik-Firma einen Hacker-Angriff. Vielleicht sind Scans von Führerscheinen und Ausweisen von Millionen Menschen bei Hackern.

Das FBI sagt: "Wir prüfen den Fall. Die Prüfung läuft noch. Wir sagen nicht mehr dazu."

Der Fall beginnt mit einem neuen Service mit dem Namen Nexus. Nexus macht Werbung auf Exploit. Exploit ist ein geheimes Forum für Cyber-Kriminelle auf Russisch. Der Beitrag sagt: Wir verkaufen Zugang zu mehr als 160 Millionen Scans von Führerscheinen und Ausweisen aus Nordamerika. Darunter sind 153 Millionen Führerscheine aus den USA und Kanada. Dazu kommen mehr als 10 Millionen andere Dokumente, zum Beispiel Aufenthaltskarten, mehr als 3 Millionen internationale Dokumente und viele hunderttausend Krankenversicherungs-Karten.

Die Hacker schreiben: "Wir sind in eine Firma für Identitäts-Prüfung eingedrungen. Die Firma hat viele Kunden aus den Fortune 500, also aus den größten Firmen. Seit mehr als einem Jahr holen wir immer neue Daten in unseren eigenen Speicher."

Zwei Firmen für Cyber-Sicherheit, Infoblox und Flashpoint, geben Fotos von dem Forum-Beitrag an NBC News. Aber NBC News kann Nexus nicht direkt sehen. Die Seite ist schon offline.

Der Journalist Brian Krebs findet den Fall zuerst. Er prüft die Daten mit 9 Opfern. Die Daten sind richtig. In den Daten ist auch eine Kopie vom Führerschein von Verteidigungsminister Pete Hegseth aus Minnesota. Das Verteidigungsministerium sagt: "Wir kennen den Bericht. Wir prüfen ihn jetzt."

Krebs findet auch seinen eigenen Führerschein in den Daten. Die Zeit-Angaben bei den Scans passen zu seinen Reisen. Die Orte und Zeiten führen ihn zu IDScan.net. Diese Firma macht Lösungen für Scan und Prüfung von Ausweisen, echt oder falsch.

Leicht die Identität fälschen mit biometrischen Daten

IDScan und Chef Terry Slattery antworten nicht auf Fragen zu dem Fall.

Aber einige Kunden der Firma sagen: Wir haben eine Nachricht bekommen. Unsere Daten sind nicht betroffen. Die Casino-Kette Caesars Entertainment, die Finanz-Firma Jack Henry und die Immobilien-Software-Firma MRI Software sagen: IDScan sagt, die Kunden-Daten sind sicher.

Diese Firmen zeigen nicht den ganzen Text von IDScan. Deshalb ist nicht klar: Sagt die Firma, dass ihr System angegriffen wurde oder nicht?

Wenn die Aussagen der Hacker stimmen, ist das einer der größten Fälle mit Ausweis-Dokumenten in den USA. Das sagt Zach Edwards, Experte für Bedrohungen bei Infoblox. Seine eigenen Papiere sind auch in den verkauften Daten.

Der Angriff läuft vielleicht "jetzt noch in Echtzeit", sagt er. Das heißt: Wenn Nutzer weiter neue Infos an ein angegriffenes System schicken, können Hacker die Daten sofort holen.

Der Fall zeigt ein Problem der digitalen Wirtschaft: Nutzer müssen immer mehr Firmen eine Kopie vom Ausweis geben. Banken, Finanz-Firmen, Casinos und Online-Plattformen wollen das Alter prüfen. Viele Services wollen ein Foto oder einen Scan vom Führerschein oder Ausweis und manchmal auch vom Gesicht.

Harry Oppenheimer ist Professor für Identitäts-Prüfung am Georgia Institute of Technology. Er sagt: Die USA haben ein Problem. Die Regeln sagen: Firmen müssen die Identität oder das Alter prüfen. Deshalb wächst die Industrie für Ausweis-Scans stark. Aber der Schutz der Privatsphäre wächst nicht mit.

Er sagt: "Nutzer müssen immer mehr Infos prüfen lassen. Persönliche Daten gehen zwischen vielen Firmen im Netz hin und her. Aber es gibt nicht die starken Schutz-Mauern, die Nutzer erwarten."

Experten sagen: Gestohlene Scans von Ausweisen sind viel gefährlicher als nur Name, E-Mail oder Telefonnummer.

Edgar Whitley ist Professor für Informations-Systeme an der London School of Economics (LSE). Er sagt: Ein klares Bild von einem staatlichen Dokument, zum Beispiel vom Führerschein, hilft Betrügern. Sie können die Identität vom Opfer leicht fälschen.

Die Kopien kann man für viele Verbrechen nutzen: Man kann die Identitäts-Prüfung umgehen, Kreditkarten öffnen, Kredite machen oder mit Infos aus anderen Daten-Leaks gezielte Betrugs-Mails schreiben und Konten stehlen. Die Fotos auf Ausweisen kann man für falsche Bilder oder Deepfake-Videos nutzen.

Besonders biometrische Daten wie das Gesicht kann man nicht ändern, wenn sie einmal weg sind. Herr Whitley sagt: "Wenn das Passwort weg ist, ändert man es schnell. Aber wenn das Gesicht weg ist, kann man kein neues Gesicht bekommen."