Der Nexus-Fall ist keine weitere Passwortpanne. Es geht um die Belege, die Menschen nach Passwortpannen vorzeigen sollen: Führerscheine, Ausweise, Reisedokumente, medizinische Karten, Gesichter, Barcodes, Unterschriften und Sicherheitsmerkmale. KrebsOnSecurity berichtete, ein neuer krimineller Dienst biete Scans von mehr als 153 Millionen Führerscheinen aus den USA und Kanada sowie Millionen weiterer Dokumente an. Laut Bericht eröffnete das FBI-Büro in New Orleans eine Untersuchung; Nexus verschwand kurz danach.

Anonymisierte Ausweiskarten hinter einem Schild mit Schloss- und Löschsymbolen

Die richtige Reaktion ist nicht Panik, sondern Einordnung. Ein Ausweisscan lässt sich nicht wie ein Passwort zurücksetzen. Er enthält Bild, Unterschrift, Geburtsdatum, Adresse und Vertrauenssignale, die lange nutzbar bleiben können.

Was bekannt ist

Krebs meldete mehr als 153 Millionen Führerscheine, über 10 Millionen ID-Karten, über 3 Millionen Reise- oder internationale Dokumente und mindestens 579.000 medizinische Karten. Auch eine leere Suche mit etwa 11,5 Millionen Ergebnisseiten wurde beschrieben. Das sind berichtete Beobachtungen und Claims, keine endgültige forensische Zahl.

Krebs fand seinen eigenen Führerschein und beschrieb Vorder- und Rückseitenscans, einschließlich Infrarot und Ultraviolett. Bei mehreren Bekannten passten Zeitstempel zu Reisen oder Mietvorgängen. Der Fall wirkt daher wie ein Risiko aus alltäglichen Identitätsprüfungen.

Was nicht bewiesen ist

Die genaue Quelle ist öffentlich nicht abschließend bewiesen. Zahl der betroffenen Personen, Duplikate, Alter der Daten und weiterer Abfluss sind offen. Krebs nennt IDScan.net als wahrscheinlichen Untersuchungsfokus, doch das Unternehmen bestätigte Umfang oder Art eines unbefugten Zugriffs in den verfügbaren Informationen nicht.

Auch Kundennamen auf Marketingseiten beweisen keine Betroffenheit. Krebs ergänzte etwa Caesars’ Aussage, nicht IDScan.net-Kunde zu sein und VeriScan seit Februar 2025 nicht mehr zu nutzen.

Warum Ausweisscans anders sind

Ein Scan bündelt Name, Geburtsdatum, Adresse, Nummer, Signatur, Foto, maschinenlesbare Daten und sichtbare Echtheitsmerkmale. Das kann Social Engineering, Konto-Wiederherstellung, Betrug, Doxxing, Belästigung oder schwache Identitätsprüfungen erleichtern.

Ein neuer Führerschein kann helfen, ist aber kein Reset. Das alte Bild enthält Gesicht, frühere Adresse und Unterschrift. Medizinische Karten oder Reisedokumente können noch sensibler sein. Für gefährdete Personen kann der Schaden physische Sicherheit betreffen, nicht nur Kreditbetrug.

Wie solche Kopien entstehen

Menschen denken an Mietwagen, Hotel, Zutritt, altersbeschränkte Produkte oder Online-Prüfung. Im Hintergrund kann das System Barcode lesen, beide Seiten fotografieren, Infrarot oder UV erfassen, Gesicht vergleichen, eine API fragen, nur ein Ergebnis speichern oder das ganze Bild behalten.

Aus Datenschutzsicht sind das verschiedene Dinge. Sicherer ist, nur das nötige Faktum zu beweisen: alt genug, Dokument plausibel, Besucher heute geprüft. Riskanter ist, komplette Bilder jahrelang zu speichern, obwohl ein Ja/Nein genügte.

Warum Anbieter zum Systemrisiko werden

Identitätsprüfung ist nützlich. Gefälschte Ausweise existieren, regulierte Branchen haben Pflichten. Aber ein Anbieter, der Mietwagen, Hotels, Zugangskontrolle, Finanzen und Handel berührt, sammelt sehr wertvolles Material. Der Nutzer wählt diesen Anbieter meist nicht und sieht Retention-Regeln kaum.

Ein Dienst kann lokal Betrug senken und global Risiko erhöhen, wenn er zum zentralen Dokumentenspeicher wird. Wichtig sind Minimierung, Verschlüsselung, Zugrifflogs, kurze Speicherung, überprüfbare Löschung und klare Verträge.

Was Einzelne tun können

Nicht auf kriminellen Märkten oder dubiosen Suchseiten nach sich selbst suchen. Auf offizielle Benachrichtigungen warten. Vorsicht bei dringenden Nachrichten zu Dokumentersatz, Hotels, Mietwagen, Erstattungen oder Altersprüfung.

In den USA kann ein Credit Freeze bei Experian, Equifax und TransUnion sinnvoll sein. Er verhindert nicht jeden Missbrauch, erschwert aber neue Kreditkonten. IdentityTheft.gov ist die FTC-Anlaufstelle bei tatsächlichem Missbrauch. Außerdem E-Mail, Mobilfunkkonto, Bankkonten, Alerts, PINs und starke MFA absichern. In Kanada helfen Hinweise des Canadian Anti-Fraud Centre.

Was Unternehmen tun sollten

Inventar erstellen: Wo werden IDs gescannt? Wer bekommt Bilder? Werden beide Seiten, Infrarot oder UV gespeichert? Wie lange? Wer greift zu? Werden Daten fürs Training genutzt? Welche Subprozessoren gibt es? Ist Löschung belegbar?

Verifikation von Speicherung trennen. Wenn nur Alter oder Zutritt nötig ist, sind jahrelange Vollbilder schwer zu rechtfertigen. Lieferanten sollten Datenfluss, Retention, Meldefristen, Audits, Speicherregionen, Schlüsseloptionen, Lösch-API, Zugrifflogs und Trainingsregeln liefern.

Was man lassen sollte

Keine ID auf “Check”-Sites hochladen. Keine Nummern aus Panik-Mails anrufen. Keine Dokumentbilder posten. Nicht annehmen, dass das Verschwinden von Nexus die Daten löscht. Aber auch kein Fatalismus: langweilige Schutzmaßnahmen senken Risiko.

Fazit

Die Lehre heißt nicht nur besser scannen, sondern weniger beweisen. Alter ohne volle Adresse, Zutritt ohne Vorder- und Rückseitenbild, Prüfung ohne Material für spätere Imitation. Dokumentkopien sind keine Betriebsabfälle. Sie sind sensible Sicherheitswerte und brauchen Governance wie Zugangsdaten oder Zahlungsdaten.