In einer mutmaßlich vom FBI untersuchten großen Datenpanne wurde bekannt, dass mein Führerschein nur wenige Stunden nach der Anmietung eines Fahrzeugs beim Identitätsdiebstahldienst Nexus zum Verkauf angeboten wurde. Laut KrebsOnSecurity waren auf Nexus mehr als 153 Millionen Führerscheine verfügbar. Die aufgelisteten Dateien enthielten neben der Vorder- und Rückseite der Identitätsdokumente auch Infrarot- und Ultraviolettaufnahmen; es hieß, diese Datensätze könnten es erleichtern, dass gefälschte Identitätsdokumente Hologrammprüfungen bestehen.
Nexus behauptete außerdem, gewerbliche Führerscheine, als CAC bezeichnete staatliche Ausweiskarten und Karten von Marihuana-Ausgabestellen anzubieten. Dass neue Datensätze in der Regel einen Tag, manchmal sogar nur wenige Stunden nachdem Personen ihre Identität bei Autovermietungen vorgezeigt hatten, auftauchten, deutet darauf hin, dass die Daten nahezu in Echtzeit aus den von Unternehmen genutzten Drittanbieter-Scan-Diensten übertragen wurden. Innerhalb von 24 Stunden stieg die Zahl der aufgelisteten Führerscheine um etwa 400.000.
Nach öffentlich verfügbaren Informationen hat das in New Orleans ansässige Unternehmen IDScan.net eine exklusive Vereinbarung mit Planet13 und führt Hertz sowie 11 weitere Unternehmen als Kunden auf. Das Unternehmen erklärte, eine Untersuchung eingeleitet zu haben. Nexus war wenige Stunden nach dem Bericht von KrebsOnSecurity nicht mehr erreichbar; daher ist es nicht möglich zu überprüfen, ob die eigenen Identitätsdokumente in der Liste enthalten sind.
Warum das wichtig ist
Der Vorfall zeigt, dass von Drittanbietern bereitgestellte Scan-Dienste, die bei Identitätsprüfungen eingesetzt werden, nicht nur die Abwicklung erleichtern, sondern auch eine Infrastruktur schaffen, in der große Mengen sensibler Daten gesammelt werden. Dass neben der Vorder- und Rückseite auch Infrarot- und UV-Aufnahmen vorhanden sind, wirft für die betroffenen Personen nicht nur das Risiko der Offenlegung persönlicher Informationen auf, sondern auch die Gefahr, dass ihre Identitätsdokumente gefälscht werden. Dass die Daten kurz nach den Mietvorgängen aufgelistet wurden, erfordert, dass sich die Untersuchung darauf konzentriert, in welcher Phase des Datenflusses der Vorfall stattfand und wie die Zugriffskontrollen der Dienstleister ausgestaltet sind. Dass Nexus nicht mehr erreichbar ist, hindert die Betroffenen daran, ihre Datensätze zu überprüfen, und lässt die Frage offen, welche Personen und Organisationen tatsächlich betroffen sind.