Nach einem mutmaßlichen Datendiebstahl beim Identitätsprüfungsdienst IDScan haben mehrere Anwaltskanzleien Klagen eingereicht. Hacker sollen über 153 Millionen Führerscheindaten aus den USA und Kanada gestohlen und zum Verkauf angeboten haben. Der Vorfall hat nicht nur eine Klagewelle ausgelöst, sondern auch das FBI auf den Plan gerufen.
Hintergrund: Wie es zum Datenleck bei IDScan kam
IDScan ist ein Technologieunternehmen für Identitätsverifikation mit Sitz in Louisiana. Es bietet Unternehmen Hardware und Software an, um behördliche Ausweise zu scannen, zu authentifizieren und Informationen zu extrahieren. Die Systeme kommen unter anderem in Autovermietungen, Einzelhandelsgeschäften, Waffenhändlern, Finanzinstituten, Cannabisapotheken und Hotels zum Einsatz.
Der Sicherheitsjournalist Brian Krebs berichtete Anfang September, dass ein illegaler Dienst namens Nexus im Darknet den Zugriff auf mehr als 153 Millionen gescannte Führerscheine aus den USA und Kanada anbot. Hinzu kamen zehn Millionen Personalausweise, drei Millionen Reisedokumente und 579.000 Krankenversicherungskarten. Krebs verifizierte die Echtheit der Daten, indem er eigenen Einträge sowie die von Personen, die zugestimmt hatten, in der Datenbank suchte. Die Spur führte zu IDScan.
Das Unternehmen hat sich zu den Vorwürfen bislang nicht öffentlich geäußert und auch keine Stellungnahme abgegeben. Bislang ist unklar, ob die Systeme von IDScan tatsächlich kompromittiert wurden und wie viele Personen genau betroffen sind. Der illegale Dienst Nexus ist inzwischen offline, doch die Datensätze befinden sich weiterhin in den Händen von Cyberkriminellen.
Klagewelle und behördliche Ermittlungen
Mehrere Anwaltskanzleien haben Untersuchungen zu möglichen Sammelklagen gegen IDScan eingeleitet. Die Kanzleien Markovits, Stock & DeMarco sowie Hall Attorneys haben bereits Klagen in Louisiana eingereicht. Der Vorwurf: IDScan habe die Daten seiner Kunden – darunter der weltweit tätige Autovermieter Hertz – nicht ausreichend geschützt.
Laut Markovits, Stock & DeMarco hat IDScan um den 1. September herum erste Geschäftskunden benachrichtigt. Die Kanzlei sucht nun nach möglichen Klägern für eine Sammelklage. Angesichts des potenziellen Ausmaßes könnten weitere Klagen folgen, die möglicherweise zu einem Multidistrict-Litigation-Verfahren zusammengeführt werden.
Das FBI hat die Ermittlungen aufgenommen. Ein Sprecher der Behörde bestätigte, dass man den Vorfall untersuche, und verwies ansonsten auf die laufenden Ermittlungen. Auch die Staatsanwaltschaften der betroffenen Bundesstaaten und Bundesregulierungsbehörden könnten separate Verfahren einleiten oder Durchsetzungsmaßnahmen ergreifen. Ähnliche Vorfälle in der Vergangenheit, etwa bei 23andMe, Marriott und Equifax, zeigen, dass solche Datenschutzverstöße regelmäßig zu behördlichen Konsequenzen führen.
Welche Dokumente und Personen sind betroffen?
Nach Informationen des Rechercheteams sollen sich unter den gestohlenen Dokumenten auch solche des US-Verteidigungsministers Pete Hegseth und eines stellvertretenden FBI-Direktors befunden haben. Diese Angaben ließen sich jedoch nicht unabhängig verifizieren. Die gestohlenen Daten umfassen neben Führerscheinen auch Personalausweise, Reisedokumente und medizinische Karten – insgesamt ein Volumen, das die bisher größten bekannten Datenlecks im Bereich der Identitätsdokumente in den Schatten stellt.
Auswirkungen und Lehren für Unternehmen
Der Vorfall verdeutlicht die Verwundbarkeit von Identitätsprüfungssystemen. Unternehmen, die solche Dienste einsetzen, müssen sicherstellen, dass die von ihnen genutzten Anbieter höchste Sicherheitsstandards erfüllen. IDScan als zentrale Schnittstelle zwischen Ausweisdaten und Unternehmen wird nun mit den Folgen eines möglicherweise jahrelangen Datenmissbrauchs konfrontiert.
Betroffene Personen, deren Führerschein oder andere Ausweise bei einem der Kunden von IDScan gescannt wurden, müssen mit Identitätsdiebstahl und Betrug rechnen. Der illegale Dienst Nexus existiert nicht mehr, aber die Daten sind in den Händen von Kriminellen verblieben. Sicherheitsexperten raten, die eigenen Konten zu überwachen, Kreditauskünfte zu prüfen und im Verdachtsfall eine Betrugswarnung einzurichten.
Ob IDScan selbst gehackt wurde oder die Daten über einen anderen Weg abgeflossen sind, wird derzeit noch untersucht. Das Unternehmen sieht sich nun einer juristischen und regulatorischen Welle gegenüber, die weit über die ersten Klagen hinausgehen könnte. Die kommenden Wochen werden zeigen, ob sich weitere Geschädigte zusammenschließen und ob die Behörden mit eigenen Sanktionen nachziehen. Der Fall IDScan könnte damit zum Präzedenzfall für die Haftung von Identitätsdienstleistern im digitalen Zeitalter werden.
