Das Florida Department of Highway Safety and Motor Vehicles (FLHSMV) hat offiziell bestätigt, dass die DAVID-Fahrerdatenbank Opfer eines Datenlecks geworden ist. Die Erpressungsbande ShinyHunters hatte zuvor behauptet, das System kompromittiert zu haben. Der Vorfall wirft ein Schlaglicht auf die Verwundbarkeit kritischer Behördeninfrastruktur und die zunehmend aggressiven Methoden internationaler Cyberkrimineller.
Die offizielle Bestätigung der FLHSMV
Am 4. September 2026 erfuhr die FLHSMV von dem Einbruch durch eine internationale Cyberkriminellenorganisation. Die Behörde erklärte, der Vorfall sei schnell eingedämmt worden, es habe keinen weiteren und halte auch gegenwärtig kein Datenabfluss an. Die Ermittlungen ergaben, dass die Angreifer gestohlene Anmeldedaten eines einzelnen Mitarbeiters der Polizeibehörde von Plant City verwendeten. Diese Zugangsdaten waren unsachgemäß auf einem privaten elektronischen Gerät des Angestellten gespeichert.
Die FLHSMV hat den Vorfall der Generalstaatsanwaltschaft von Florida gemeldet und arbeitet bei der Aufklärung mit dem Florida Digital Service und dem Florida Department of Law Enforcement zusammen. Da es sich um eine laufende strafrechtliche Untersuchung handelt, sollen weitere Informationen zu einem späteren Zeitpunkt veröffentlicht werden. Die Behörde machte bislang keine Angaben dazu, wie viele Datensätze genau abgegriffen oder gestohlen wurden. Die Behauptung von ShinyHunters, mehr als 200.000 Fahrerakten entwendet zu haben, wurde bisher nicht bestätigt.
Die widersprüchliche Darstellung von ShinyHunters
Die Darstellung der FLHSMV weicht in einem entscheidenden Punkt von der Version der Erpresser ab. ShinyHunters hatte zuvor angegeben, über eine Schwachstelle im Passwort-Reset-Prozedere Zugang zu mehreren DAVID-Konten erlangt zu haben. Zu den betroffenen Konten sollen sowohl Mitarbeiter der Zulassungsbehörde als auch ein FBI-Agent gehört haben.
Die angebliche Methode der Angreifer
Nach eigenen Angaben begann die Gruppe am 3. September damit, systematisch DAVID-Datensatz-IDs zu durchlaufen und die zugehörigen HTML-Seiten und Bilder herunterzuladen. Als Beleg für den erfolgreichen Einbruch veröffentlichten die Täter einen Screenshot eines DAVID-Eintrags von Jeffrey Epstein, der sensible persönliche Daten sowie Fahrzeuginformationen enthielt. Später teilte ShinyHunters mit, man habe den Zugriff auf das System verloren und gehe davon aus, dass die Schwachstelle inzwischen geschlossen worden sei.
Die unterschiedlichen Schilderungen werfen Fragen auf: Während die FLHSMV von einer einzelnen kompromittierten Anmeldung eines Polizeimitarbeiters spricht, behaupten die Hacker, eine wesentlich breitere Sicherheitslücke im Passwort-Reset-Mechanismus ausgenutzt zu haben. Die Diskrepanz könnte auf unvollständige Ermittlungsergebnisse zurückgehen, aber auch darauf hindeuten, dass die Angreifer ihre tatsächliche Eindringmethode verschleiern.
Ungereimtheiten und offene Fragen
Aus Sicht der Cybersicherheit ist besonders bemerkenswert, dass die gestohlenen Zugangsdaten – laut FLHSMV – auf einem privaten Endgerät des Mitarbeiters gespeichert waren. Dies deutet auf eklatante Verstöße gegen grundlegende Sicherheitsrichtlinien hin. Warum waren dienstliche Anmeldeinformationen für eine hochsensible Datenbank wie DAVID überhaupt außerhalb der behördlichen IT-Infrastruktur verfügbar? Welche konkreten Schutzmechanismen – wie Multi-Faktor-Authentifizierung – versagten hier?
Die Nutzung privater Geräte für geschäftliche Zwecke ohne ausreichende Sicherheitsvorkehrungen ist ein bekanntes Risiko. Im Fall einer Behörde, die Zugriff auf personenbezogene Daten von Millionen Bürgern hat, wiegt dieser Verstoß besonders schwer. Die Tatsache, dass die Zugangsdaten auf dem privaten Gerät „unsachgemäß gespeichert“ waren, könnte bedeuten, dass sie unverschlüsselt oder in einer Klartextdatei abgelegt waren – ein Einfallstor, das Standard-Malware oder einfache Datendiebstahls-Tricks leicht ausnutzen können.
Zudem bleibt unklar, ob die Polizeibehörde von Plant City überhaupt über die nötigen Sicherheitsstandards verfügte, um den Zugriff auf das DAVID-System zu verwalten. Wenn eine einzelne kompromittierte Anmeldung ausreicht, um 200.000 oder mehr Datensätze abzugreifen, dann stellt sich die Frage nach den Zugriffskontrollen und der Berechtigungsstruktur innerhalb der Datenbank.
Sicherheitsimplikationen für Behörden
Der Vorfall zeigt exemplarisch, wie Behörden landesweit verwundbar sind, wenn Sicherheitsdisziplin auf Mitarbeiterebene vernachlässigt wird. Die Schadenspotenziale sind enorm: Die gestohlenen Daten umfassen nicht nur Adressen und Fahrzeuginformationen, sondern möglicherweise auch Führerscheinnummern, Geburtsdaten und Sozialversicherungsnummern. Solche Datensätze sind auf dem Schwarzmarkt für Identitätsdiebstahl und Betrug sehr wertvoll.
Für Behörden leitet sich daraus eine klare Handlungsaufforderung ab: Der Zugang zu sensiblen Datenbanken muss zwingend über administrative Konten mit strengen Berechtigungen, Multi-Faktor-Authentifizierung und geräteunabhängige Verwaltung erfolgen. Private Endgeräte dürfen grundsätzlich keinen Zugriff auf solche Systeme haben. Zudem sind regelmäßige Sicherheitsüberprüfungen und Penetrationstests unabdingbar, um Schwachstellen wie potenzielle Passwort-Reset-Fehler zu identifizieren, bevor Kriminelle sie ausnutzen.
Die widersprüchlichen Aussagen von Behörde und Hackern unterstreichen die Notwendigkeit einer transparenten, aber rechtlich abgesicherten Kommunikation im Krisenfall. Während die FLHSMV den Vorfall als „schnell eingedämmt“ darstellt, bleibt die tatsächliche Dimension des Schadens für die betroffenen Bürger vorerst unklar. Der Fall ShinyHunters gegen Florida DAVID wird daher nicht nur strafrechtliche, sondern auch sicherheitspolitische Konsequenzen haben – insbesondere mit Blick auf die Frage, wie Behörden ihre IT-Infrastruktur gegen gezielte Angriffe auf gestohlene Anmeldedaten wappnen müssen.
