Wenn Sie schon einmal Ihren Führerschein an einer Bar, in einem Cannabis-Shop oder an einem Mietwagenschalter vorgezeigt haben, ist die Chance gar nicht so schlecht, dass Ihr Gesicht und Ihre persönlichen Daten jetzt im Darknet herumschwirren. Das geht zumindest aus einem Bericht des Sicherheitsjournalisten Brian Krebs hervor, der aufgedeckt hat, was wie ein massiver Datenleck bei einem großen Identitätsprüfungsunternehmen aussieht.

Krebs fand heraus, dass eine neue Darknet-Website namens Nexus, die diese Woche gestartet ist, es Nutzern ermöglicht, in mehr als 150 Millionen Führerscheinen und Reisepässen aus den USA und Kanada zu suchen. Die Anzeige der Website in einem russischen Cyberkriminalitätsforum prahlt damit, dass täglich etwa eine halbe Million neuer Dokumente hinzukommen, die von einem "großen Identitätsprüfungsunternehmen" stammen – was darauf hindeutet, dass die Hacker einen direkten Zugang zu den Systemen des Unternehmens hatten. Denn warum sollte man Daten nur einmal stehlen, wenn man sie für immer weiter stehlen kann?

Krebs bestätigte, dass die Daten echt sind, indem er seinen eigenen Führerschein in der Datenbank fand. Sogar Verteidigungsminister Pete Hegseth tauchte auf, sein Foto war auf der Website gelistet. Das Verteidigungsministerium sagte, es sei "sich dieser Berichte bewusst und prüfe sie", was auf Behördendeutsch so viel bedeutet wie "wir schauen uns das an, bitte hören Sie auf zu fragen".

In Zusammenarbeit mit dem Sicherheitsforscher Zach Edwards – dessen Ausweis ebenfalls gestohlen wurde – identifizierte Krebs die wahrscheinliche Quelle als IDScan, ein Unternehmen mit Sitz in Louisiana, das monatlich zig Millionen Ausweise für große Technologie- und Konsummarken überprüft. Der CEO von IDScan reagierte nicht auf die Anfrage von TechCrunch um einen Kommentar, aber COO Jillain Kossman sagte Krebs, dass das Unternehmen Ermittlungen durchführe. Auch das FBI-Büro in New Orleans ist mit dem Fall befasst, reagierte jedoch ebenfalls nicht auf unsere Fragen. Nexus ging kurz nach Krebs' Bericht offline – nichts sagt "wir sind definitiv nicht schuldig" so sehr wie im digitalen Äther zu verschwinden.

Dieser Datenleck kommt zu einer Zeit, in der Regierungen Altersverifikationsgesetze vorantreiben, die Erwachsene dazu verpflichten, Ausweise hochzuladen, um zu beweisen, dass sie alt genug sind, um Websites zu betreten. Datenschutzaktivisten haben seit Jahren davor gewarnt, dass die Speicherung riesiger Mengen an Identitätsdokumenten eine Schatztruhe für Hacker ist. Und hier sind wir: der größte bekannte einzelne Datenleck von Identitätsdokumenten in jüngster Zeit. Es ist fast so, als wären die Warnungen berechtigt gewesen.