Der IDScan-Albtraum: 150 Millionen geknackte Identitäten

Anfang September 2026 deckte IT-Sicherheitsexperte Brian Krebs auf, dass ein Darknet-Marktplatz namens „Nexus“ eine beispiellose Datenbank zum Verkauf anbot. Die Spur führte zu IDScan.net, einem Anbieter, dessen Software in den USA und Kanada bei Autovermietungen, Casinos, Lieferdiensten und im Einzelhandel zum Standard gehört.

Das Erschreckende an diesem Leak ist die Qualität der erbeuteten Daten. Es geht nicht um geleakte Passwörter oder E-Mail-Adressen. Die Hacker entwendeten hochauflösende Scans von Vorder- und Rückseiten der Dokumente, inklusive biometrischer Fotos, Unterschriften und sogar Infrarot-Aufnahmen, die bei der Überprüfung vor Ort erstellt wurden. Wer im Besitz dieser Daten ist, hält den digitalen Generalschlüssel zu einer fremden Identität in den Händen.

IDScan.net operiert zwar primär in Nordamerika, doch die Kundenliste umfasst global agierende Konzerne wie Hertz oder FedEx. Wer in den vergangenen Jahren in den USA oder Kanada einen Mietwagen gebucht, bestimmte Bars besucht oder in einem Casino eingecheckt hat, musste fast immer seinen Reisepass oder deutschen Führerschein vorlegen.

Wurde das Dokument dabei durch einen Scanner gezogen, ist die Wahrscheinlichkeit hoch, dass die Daten auf den Servern von IDScan landeten. Damit droht auch deutschen Reisenden ein handfestes Risiko für Identitätsdiebstahl, bei dem Kriminelle im fremden Namen Konten eröffnen oder Transaktionen im Netz durchführen.

Besserer Schutz oder nur eine Frage der Zeit?

In Deutschland ist IDScan.net nicht präsent. Der Markt der gesetzlich vorgeschriebenen Identitätsprüfungen (etwa nach dem Geldwäschegesetz bei Kontoeröffnungen) wird von anderen Akteuren dominiert:

• Video- und Foto-Ident (z. B. IDnow, WebID): Hier wird der Ausweis in die Kamera gehalten und von Mitarbeitern oder KI geprüft.
• Postident: Der traditionelle Weg über die Postfiliale oder per App.
• eID-Verfahren (z. B. AusweisIDent): Das digitale Auslesen des NFC-Chips im modernen Personalausweis.

Die gute Nachricht: Europäische Anbieter agieren unter dem strengen Schirm der DSGVO und der BaFin. Das eID-Verfahren gilt als konzeptionell am sichersten, da keine Bilddateien des Ausweises übertragen oder gespeichert werden, sondern lediglich kryptografisch signierte Datensätze.

Die schlechte Nachricht: Auch Video- und Foto-Ident-Verfahren speichern temporär hochauflösende Bilder und Videosequenzen der Nutzer. Wo zentrale Datentöpfe entstehen, locken sie Hacker an. Auch wenn die Löschfristen hierzulande schärfer sind, bleibt jedes cloudbasierte Speichersystem ein potenzielles Angriffsziel. Ein hundertprozentiger Schutz existiert nicht!

Die schwierige Suche nach Gewissheit

Es gibt derzeit keine sichere, öffentliche Suchmaschine, in der man seinen Namen eingeben kann, um speziell den IDScan-Datensatz zu durchforsten. Die „Nexus“-Plattform im Darknet ging nach der Entdeckung offline, doch die Daten zirkulieren weiter. Eine öffentliche Datenbank mit den geleakten Ausweisen aufzubauen, wäre rechtlich und sicherheitstechnisch unverantwortlich.

Betroffene müssen stattdessen präventiv handeln:

• Historie prüfen: Waren Sie in den letzten Jahren in den USA oder Kanada und wurde Ihr Ausweis digital gescannt? Behandeln Sie Ihre Daten gedanklich als kompromittiert.
• Kredit- und Konto-Monitoring: Prüfen Sie regelmäßig Ihre Bankauszüge auf unautorisierte Abbuchungen. Nutzen Sie das Recht auf eine kostenlose Datenkopie bei der Schufa (Artikel 15 DSGVO), um zu kontrollieren, ob Fremde in Ihrem Namen Verträge abgeschlossen haben.
• Leak-Datenbanken: Dienste wie Have I Been Pwned zeigen zwar keine Ausweis-Scans an, warnen aber zuverlässig, wenn Ihre dazugehörige E-Mail-Adresse in kriminellen Foren auftaucht.

Der Fall IDScan ist eigentlich keine Überraschung. Er beweist, dass das massenhafte Horten von Ausweiskopien auf zentralen Firmenservern ein nicht mehr kalkulierbares Risiko darstellt. In einer Welt, in der Identität zunehmend digital nachgewiesen werden muss, reicht es nicht mehr, Systeme nur ein bisschen sicherer zu machen.

Die Industrie muss zwingend auf Zero-Knowledge-Proofs und dezentrale Verifizierungen (wie den NFC-Chip im Ausweis) umsteigen, bei denen das Dokument selbst die Hände des Nutzers nicht verlässt und keine Bilder auf fremden Servern landen. Cyber-Security ist kein IT-Feature mehr – sie ist die Grundvoraussetzung dafür, dass unsere digitale Gesellschaft nicht von Identitätsdieben lahmgelegt wird.

Quellen & Weiterführende Informationen

• KrebsOnSecurity: Berichterstattung von Brian Krebs zur Aufdeckung des „Nexus“-Marktplatzes und der Verbindung zu IDScan.net. krebsonsecurity.com
• TIME Magazine: FBI Probes Report of Breach Exposing 153 Million Driver’s License time.com
• Computerbild / Heise Online: Meldungen zum Umfang des Datenleaks und den betroffenen Dokumentenarten.
• Bundesamt für Sicherheit in der Informationstechnik (BSI): Hintergrundinformationen zur Sicherheit der eID-Funktion des deutschen Personalausweises. bsi.bund.de
• Bildmaterial: www.dall-e-free.com