153 Millionen Führerschein-Scans im Verkauf: Der Fall Nexus und das Problem mit KYC-Daten
Anfang September 2026 bot ein Darknet-Dienst namens Nexus den durchsuchbaren Zugriff auf Scans von mehr als 153 Millionen Führerscheinen aus den USA und Kanada an, dazu Millionen weiterer Ausweisdokumente. Wenige Tage später hatte das New Orleanser Büro des FBI eine offizielle Untersuchung zur Quelle der Bilder eröffnet, wie zuerst KrebsOnSecurity berichtete. Der FBI-Winkel sorgte für Schlagzeilen, doch die eigentliche Geschichte betrifft die Infrastruktur: Die Identitätsprüfungssysteme hinter KYC-Kontrollen sind zu einem der langlebigsten Ziele des Datenhandels im Darknet geworden.
Was Nexus verkaufte
Die beworbenen Zahlen waren selbst für Darknet-Verhältnisse ungewöhnlich: über 153 Millionen US-amerikanische und kanadische Führerscheine, mehr als 10 Millionen Ausweise, über 3 Millionen Reisedokumente oder internationale Ausweise und mindestens 579.000 medizinische Karten. Eine leere Suche lieferte rund 11,5 Millionen Ergebnisseiten, und die Zahl der Führerscheine wuchs allein während der Recherche um fast 400.000 innerhalb von 24 Stunden. Beworben wurde der Dienst im russischsprachigen Cyberkrimi-Forum Exploit – mit dem Führerschein des berichtenden Journalisten selbst als kostenloses Muster. Jeder Eintrag konnte sechs Bilddateien enthalten: die Vorder- und Rückseite des Führerscheins im Normallicht sowie Infrarot- und Ultraviolett-Versionen beider Seiten – genau die Formate, nach denen automatisierte Dokumentprüfungen suchen. Neben Führerscheinen lagen auch Dispensary-Karten im Bestand, einige mit Quellenvermerken wie CDL oder CAC. Die Zeitstempel erzählten ihre eigene Geschichte: Wer seinen eigenen Führerschein in Nexus fand, konnte sie konkreten Tagen zuordnen – einer Hertz-Mietwagenabholung oder einem Besuch einer Las-Vegas-Dispensary –, an denen er seinen Ausweis persönlich an einer Theke abgegeben hatte.Die idscan.net-Verbindung
Die Spur führte zu idscan.net, einem Identity-Verification-Unternehmen mit Sitz in Louisiana, dessen Website Marken wie Hertz, Target, FedEx, Motorola Solutions, Jack Henry und Caesars Entertainment als Kunden nennt. Das Unternehmen gibt an, mehr als 21 Millionen Verifizierungen pro Monat an über 20.000 Standorten abzuwickeln, darunter mehr als 1.000 Cannabis-Dispensaries in 19 US-Bundesstaaten. KrebsOnSecurity zog den Schluss, dass die Daten wahrscheinlich von der Plattform abgeschöpft wurden. Am 8. September veröffentlichte idscan.net einen Hinweis, ein unbefugter Dritter könne auf Kundeninformationen zugegriffen und diese kopiert haben, darunter vollständige Namen sowie Führerschein- oder andere behördliche Ausweisnummern; man benachrichtige betroffene Personen und biete Kredutschutz an. Caesars erklärte, seit Februar 2025 kein Kunde mehr gewesen zu sein; der Fall fand internationale Berichterstattung, unter anderem beim deutschen Tarnkappe. Das New Orleanser Büro des FBI ermittelte offiziell, und SecurityWeek berichtete, einige der Führerscheine gehörten offenbar zu FBI-Mitarbeitern. Der Retail and Hospitality ISAC bestätigte, dass der Dienst kurz nach den ersten Berichten verschwand; seine Login-Seite wurde durch eine knappe Mitteilung ersetzt: „Dieser Dienst ist nicht mehr verfügbar.“ Was die Berichterstattung nicht sagt, ist, was mit den bereits verkauften Kopien geschah. Ein Datenbestand dieser Größe hört nicht einfach auf zu existieren, nur weil ein Shop verschwindet.Warum Führerschein-Scans die langlebigste Ware des Handels sind
Gestohlene Passwörter werden rotiert, gestohlene Karten gesperrt und neu ausgestellt. Ein Führerschein ist anders. Er verknüpft einen weitgehend festen Satz von Daten – vollständiger Name, Geburtsdatum, Wohnadresse, Führerscheinnummer – mit einem Foto, und nichts davon lässt sich nach einem Leak massenweise ändern. Eine Führerscheinnummer begleitet einen Menschen jahrzehntelang. Genau deshalb sind Vorder- und Rückseiten-Scans im sichtbaren Licht, Infrarot und Ultraviolett so wertvoll: Sie bestehen sowohl die menschliche als auch die maschinelle Prüfung der Identität. Ein einziger hochwertiger Scan eröffnet mehrere Angriffslinien:- Identitätssynthese. Führerscheindaten lassen sich gut mit anderen geleakten Datensätzen kombinieren, um Bank- oder Kreditkonten zu eröffnen, wie der Cybera-Forscher Larry Baldwin anmerkte, nachdem er seinen eigenen Scan auf Nexus gefunden hatte.
- Umgehen der Dokumentprüfung. Infrarot- und Ultraviolett-Kopien sind genau das, was automatisierte KYC-Systeme prüfen; ein vollständiger Scan trägt daher Account-Takeovers und betrügerische Registrierungen, die ein zugeschnittenes Foto nicht schafft.
- Physische Gefährdung. Die Einträge enthalten Fotos und speisen somit Bilderkennungswerkzeuge. Baldwin warnte, der Datensatz könne Menschen gefährden, die nicht gefunden werden dürfen – von Gewaltschutzsuchenden bis zu verlegten Zeugen.
- Social Engineering. Ein echtes amtliches Ausweisdokument in der Hand eines Angreifers macht Impersonierungsversuche deutlich überzeugender.
Organisationen sollten Identitätssysteme so entwerfen, dass sie davon ausgehen, dass Identitätsnachweise irgendwann kompromittiert werden. Ein echt aussehendes Dokument kann nicht unbegrenzt als ausreichender Identitätsnachweis gelten.Der Sicherheitsforscher Zach Edwards, dessen eigener Führerschein auf Nexus auftauchte, zog ein weitergehendes Fazit: Jedes Schema, das verlangt, dass Menschen ihren Führerschein an einen Drittanbieter weitergeben, speist diese zentralisierten Datensammelstellen – und die Aufsicht über die Unternehmen, die diese Daten halten, hinkt dem hinterher, was sie inzwischen speichern.
Schadensbegrenzung, wenn der eigene Scan in einem Datenbestand liegt
IDScan.net erklärt, es benachrichtige betroffene Personen und biete Kredutschutz an. Aber jeder, der in Nordamerika einem Mietwagenschalter, einer Dispensary oder einer Hotelrezeption einen Führerschein in die Hand gedrückt hat, darf davon ausgehen, dass ein Scan irgendwo existiert. Nichts davon macht einen Leak rückgängig; alles davon verringert, was ein Käufer damit anfangen kann.- Lassen Sie Ihre Kreditwürdigkeit bei den großen Auskunfteien sperren. Ein gestohlener Führerschein ist weit weniger wert, wenn kein neues Kreditkonto auf Ihren Namen eröffnet werden kann.
- Rechnen Sie mit gezieltem Phishing. Betrüger, die Ihren echten Namen, Ihre Adresse und Ihre Führerscheinnummer zitieren, raten nicht; behandeln Sie solche Nachrichten als Hinweis auf eine Kompromittierung.
- Fragen Sie nach, bevor Sie etwas abgeben. Ob ein Ausweis geprüft werden kann, ohne gescannt, fotografiert oder einbehalten zu werden, ist eine berechtigte Frage – und eine, die SecurityWeek zu stellen empfiehlt.
- Liefern Sie nicht das fehlende Puzzleteil nach. Ein Angreifer mit Ihrem Führerschein wird nach den fehlenden Stücken drängen: Codes, Selfies, weitere Dokumente. Die können Sie verweigern.