FBI ermittelt zu einer Darknet-Behauptung über 153 Mio. geleakter Ausweisscans

Ein Darknet-Marktplatz verkauft, was er als 153 Millionen gescannte Führerscheine ausgibt. Er behauptet, sie stammten von IDScan.net, einem Identitätsprüfungsdienst, der direkt in die Apps und Websites anderer Unternehmen eingebettet ist. Das FBI-Büro in New Orleans leitete am 1. September 2026 eine offizielle Ermittlung ein. IDScan.net hat einen Einbruch nicht bestätigt.

Was IDScan.net eigentlich ist

Das ist keine Geschichte über ein Unternehmen, dessen interne Systeme gehackt wurden. Es ist eine Geschichte über ein Unternehmen, dessen Produkt Code ist, den andere Firmen betreiben.

ByteIota beschreibt IDScan.nets Angebot als "eine RESTful-API und ein SDK, das Unternehmen in ihre Onboarding-Abläufe einbetten", im Grunde Entwickler-Infrastruktur statt eines internen Werkzeugs. Der Dienst prüft laut demselben Bericht mehr als 10.700 Dokumenttypen in mehr als 250 Sprachen und liefert ein Ergebnis in unter 15 Sekunden. Laut BreachNews nutzen ihn Unternehmen aus Automobilbranche, Gastgewerbe, Einzelhandel, Finanzwesen, Glücksspiel und Logistik.

Hat Ihr Produkt jemals einen Nutzer gebeten, einen Ausweis zu scannen, um Alter oder Identität zu belegen? Dann besteht eine reale Chance, dass genau ein so aufgebauter Dienst im Hintergrund die Prüfung übernommen hat.

Was tatsächlich bestätigt ist, und was nur behauptet wird

Der Umfang dieses Einbruchs ist nicht geklärt. BreachNews berichtet, die Zahl von 153 Millionen stamme aus dem eigenen Angebot des Darknet-Marktplatzes, rund 11,5 Millionen Katalogseiten mit etwa 15 Einträgen je Seite. Das Portal nennt diese Rechnung "plausibel", nicht bestätigt. Weder IDScan.net noch Strafverfolgungsbehörden haben eine offizielle Zahl veröffentlicht.

Was unabhängig verifiziert ist, ist enger gefasst, aber real. BreachNews berichtet, der Sicherheitsforscher Brian Krebs habe Datensätze mehrerer tatsächlicher Personen geprüft. Er glich die Zeitstempel ihrer geleakten Ausweisscans mit realen Ereignissen in ihrem Leben ab, Autovermietungen und Hotelaufenthalten, die genau dann stattfanden, wie es die Datensätze angeben. Das ist ein Beleg dafür, dass die geleakten Daten echt und aktuell sind, auch ohne bestätigte Gesamtzahl.

IDScan.nets eigene Position, wie sie BreachNews wiedergibt, war, dass das Unternehmen ermittelte, zum Zeitpunkt der Berichterstattung aber unbefugten Zugriff nicht öffentlich bestätigt hatte.

Das Detail, das jeden beunruhigen sollte, der einen solchen Dienst einbindet

ByteIota berichtet, IDScan.net habe hochauflösende Scans, einschließlich Infrarot- und Ultraviolett-Aufnahmen der Dokumente, unbegrenzt aufbewahrt. Zahlungsdienstleister, die Kartendaten verarbeiten, unterliegen PCI DSS, einem Standard, der verlangt, sensible Rohdaten zu verwerfen, sobald sie nicht mehr gebraucht werden. Nichts zwingt einen Anbieter von Identitätsprüfungen dazu, dasselbe zu tun.

Ein unbegrenzt aufbewahrter, hochauflösender Scan eines amtlichen Ausweises ist erheblich schlimmer zu verlieren als eine gekürzte Kartennummer. Eine Kartennummer lässt sich neu ausstellen. Ein Gesicht, ein Geburtsdatum und eine Führerscheinnummer nicht.

Was das für Entwickler bedeutet

Wenn Ihr Produkt eine Identitätsprüfungs-API oder ein SDK einbindet, klären Sie noch heute, was dieser Anbieter aufbewahrt und wie lange. "Prüfung in unter 15 Sekunden" sagt nichts darüber aus, wie lange der zugrunde liegende Scan danach auf einem Server liegen bleibt. Fragen Sie direkt und schriftlich nach der Aufbewahrungsrichtlinie selbst, nicht nach einem allgemeinen Link zur Datenschutzerklärung.

Warten Sie nicht darauf, dass ein Anbieter einen Einbruch bestätigt, bevor Sie handeln. IDScan.net hat nichts bestätigt, und schon die FBI-Ermittlung ist Grund genug zu handeln. Überprüfen Sie jede Integration, die Ihr Team mit genau diesem Anbieter hat. Erneuern Sie alle API-Schlüssel, prüfen Sie, welche Daten Sie selbst von dort erhalten und gespeichert haben, und erwägen Sie, die Integration vorübergehend auszusetzen, während sich die Lage klärt.

Drängen Sie auf Aufbewahrungsgrenzen, so wie PCI DSS sie für Zahlungsdaten erzwingt. Wenn Sie zwischen Anbietern für Identitätsprüfung wählen, fragen Sie jeden direkt, ob er rohe Dokumentenscans nach Abschluss der Prüfung löscht. Behandeln Sie "wir können Ihren Verlauf abrufen" als Warnsignal, nicht als Funktion.

Trennen Sie, was bestätigt ist, von dem, was nur behauptet wird, bevor Sie eines von beidem intern weitergeben. Die Zahl von 153 Millionen ist die eigene Rechnung eines Marktplatz-Angebots, keine geprüfte Zahl. Der Einbruch selbst wirkt, gestützt auf unabhängige Zeitstempel-Verifikation, real. Das sind zwei unterschiedliche Vertrauensstufen, und sie zu vermischen, unter- oder überschätzt das tatsächliche Risiko für Ihre eigenen Nutzer.