ANALYSEN
IDScan, 150 Millionen Führerscheine: der Dienstleister für Identitätsprüfung als Kumulpunkt
Am 10. September 2026 bestätigte IDScan, Dienstleister für die Prüfung von Ausweisdokumenten für Clubs, Casinos und Abgabestellen, einen Datendiebstahl aus seinen Cloud-Systemen, während eine Darknet-Seite mehr als 153 Millionen Führerscheine verkaufte. Die Analyse: der unsichtbare Dienstleister, Dokumente, die sich nicht ändern lassen, die Haftung gegenüber den Kunden und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats September 2026 · von cybercoverinsurance
Am 10. September 2026 bestätigte IDScan.net, ein Unternehmen aus Louisiana, das Ausweisdokumente für Veranstaltungsorte, Casinos und Cannabis-Abgabestellen prüft, den Diebstahl von Daten aus seinen Cloud-Systemen. Wenige Tage zuvor hatte eine Darknet-Seite namens Nexus mehr als 153 Millionen Führerscheine aus den USA und Kanada mit Bildern der Dokumente zum Verkauf angeboten, die der Verkäufer IDScan zuschrieb. Zwischen dem 2. und 4. September waren bereits neun Sammelklagen gegen das Unternehmen eingereicht worden.
Für Cyber-Risikoträger zeigt der Fall einen wenig sichtbaren Dienstleister, der für viele Kunden Daten von Millionen Menschen bündelt. Der Schaden bleibt nicht beim Dienstleister: Jeder Kunde, der ein Dokument gescannt hat, kann Meldepflichten und Klagen ausgesetzt sein.
Was bekannt ist
Das Unternehmen. IDScan bietet Geschäftskunden die Prüfung von Ausweisdokumenten an, von Unterhaltungsbetrieben bis zu Cannabis-Abgabestellen. Seine Website nennt mehr als 150 Millionen verarbeitete Führerscheindatensätze (TechCrunch).
Die Entdeckung. Um den 1. September erhielt IDScan Informationen über eine Angriffsbehauptung, am selben Tag, an dem der Journalist Brian Krebs die Nachricht veröffentlichte, nachdem er seinen eigenen Datensatz auf der Verkaufsseite gefunden hatte. Am 10. September bestätigte das Unternehmen in einem Hinweis, dass Daten aus seinen Cloud-Konten entwendet worden waren, darunter Namen, Führerscheinnummern und Nummern anderer Dokumente wie Reisepässe. Das FBI leitete Ermittlungen ein, und das Pentagon erklärte, von der Verletzung zu wissen (TechCrunch).
Die angebotenen Daten. Nach von Malwarebytes zitierten Berichten bot Nexus mehr als 153 Millionen Führerscheine, 10 Millionen Ausweise, 3 Millionen Reisedokumente und 579.000 Gesundheitskarten an, darunter Karten von Cannabis-Abgabestellen. Einige Datensätze enthielten Bilder der Vorder- und Rückseite sowie Infrarot- und UV-Scans der Dokumente (Malwarebytes). Der Verkäufer sagte, er habe über ein Jahr lang Daten abgezogen.
Was nicht bekannt ist. IDScan hat weder die Zahl der Betroffenen genannt noch, wie der Zugriff erfolgte und wie lange er dauerte. Es hat nicht bestätigt, dass alle Nexus-Daten aus seinen Systemen stammen. In seinem Hinweis schrieb es, „der vollständige Zugang zu den Informationen erforderte eine Zahlung“, ohne zu sagen, ob es sich um eine Lösegeldforderung handelte (TechCrunch).
Der unsichtbare Dienstleister
Ein Vermittler, viele Kunden. Wer einen Club betritt oder ein Auto mietet, wählt IDScan nicht und weiß oft nicht, dass sein Dokument dort durchläuft. Für ein Portfolio ist der Prüfdienstleister ein versteckter Kumulpunkt im Empfangsprozess der Kunden.
Der Kunde, der gegangen ist. Ein Sprecher von Caesars Entertainment sagte, das Unternehmen nutze IDScan seit Februar 2025 nicht mehr, während IDScan es noch als Kunden führte (Zyphe). Kundendaten können auch nach Vertragsende in den Systemen eines Dienstleisters verbleiben.
Die Aufbewahrung. Die Prüfung eines Dokuments dauert wenige Sekunden, doch die Daten wurden, nach den angebotenen Datensätzen zu urteilen, mit vollständigen Bildern aufbewahrt. Jeder länger als nötig gespeicherte Datensatz erhöht die Zahl der zu benachrichtigenden Personen.
Ausweisdokumente, dauerhafte Schäden
Daten, die sich nicht ändern lassen. Ein Passwort lässt sich ändern, ein Führerschein oder Reisepass nicht oder nur mit Kosten und Zeitaufwand. Bilder der Vorder- und Rückseite mit Sicherheitsscans eignen sich, um gefälschte Dokumente herzustellen und andere Identitätsprüfungen zu umgehen. Der Schaden für die Betroffenen hält jahrelang an.
Meldekosten im großen Maßstab. Bei mehr als 150 Millionen behaupteten Datensätzen ergeben selbst minimale Kosten pro Person sehr hohe Summen für Benachrichtigung, Kreditüberwachung und Hilfsdienste. Die Meldegesetze der US-Bundesstaaten behandeln Führerscheinnummern als personenbezogene Daten, die eine Meldepflicht auslösen.
Sammelklagen innerhalb weniger Tage. Neun Sammelklagen in drei Tagen vor dem Bundesgericht für den östlichen Bezirk von Louisiana (Zyphe). Die Haftung kommt, noch bevor die Verletzung bestätigt ist: Für die Police des Dienstleisters fallen sofort Abwehrkosten an.
Die Haftung gegenüber den Kunden
Die Kunden des Dienstleisters. Clubs, Casinos und Abgabestellen haben die Dokumente ihrer eigenen Kunden erhoben. Je nach anwendbarem Recht können die Meldepflichten bei ihnen als Verantwortlichen liegen, auch wenn die Verletzung bei IDScan geschah. Für den Versicherten wird die Deckung einer Datenschutzverletzung bei Dritten entscheidend.
Regress gegen den Dienstleister. Die Kunden von IDScan können versuchen, Meldekosten vom Dienstleister zurückzufordern. Treffen die Ansprüche vieler Kunden und Millionen Betroffener gleichzeitig ein, sind die Limits der Police des Dienstleisters schnell erschöpft, und der Regress für den Versicherer des Kunden wird unsicher.
Gesundheitsdaten. Die 579.000 Gesundheitskarten, darunter Karten für medizinisches Cannabis, sind Gesundheitsdaten (Malwarebytes). Wo Vorschriften für Gesundheitsdaten gelten, sind Pflichten und Sanktionen schwerer.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Ausweisdaten von mehr als 150 Millionen Menschen, laut Verkäufer, wurden IDScan entwendet, einem Dienstleister für Identitätsprüfung vieler Unternehmen, mit neun Sammelklagen innerhalb weniger Tage.
Auf Portfolioebene legt der Fall IDScan nahe, Versicherte zu identifizieren, die Dienstleister für Identitätsprüfung nutzen, vor allem in Unterhaltung, Casinos und Vermietung, und diese Dienstleister als Kumulpunkte zu behandeln: Ein Vorfall bei ihnen löst Meldungen und Klagen für viele Versicherte gleichzeitig aus.