Das Unternehmen, dem Sie für die Identitätsverifizierung vertraut haben, wurde zum größten Erleichterer von Identitätsbetrug auf dem Planeten. Das ist die brutale Ironie des IDScan.net-Bruchs, und wenn Ihr Unternehmen von einem Identitätsverifizierungsanbieter von Drittanbietern abhängt, müssen Sie jetzt aufmerksam sein.
Am 10. September 2026 bestätigte IDScan.net — ein in Louisiana ansässiges Identitätsverifizierungsunternehmen, dessen Kunden zu Fortune-500-Unternehmen, Vermietungsagenturen, Finanzinstitutionen und lizenzierten Einzelhändlern gehören —, dass Hacker in seine Cloud-Umgebung eindrangen und Führerscheindaten von mehr als 153 Millionen Menschen in den USA und Kanada stahlen. Das FBI ermittelt. Das Pentagon ist informiert. Und der Führerschein des US-Verteidigungsministers selbst wurde in der Datenbank gefunden.
Dies ist nicht nur ein weiterer Bruch. Dies ist der Moment, in dem das schmutzige Geheimnis der Identitätsverifizierungsindustrie an die Öffentlichkeit gelangte.
Was Passiert Ist
IDScan.net entdeckte unbefugten Zugang zu seinen Cloud-Systemen "am oder um den 1. September 2026", gemäß der offiziellen Erklärung des Unternehmens. Doch bis dahin war der Schaden bereits angerichtet — und seit über einem Jahr im Gange.
Der Sicherheitsforscher Brian Krebs von KrebsOnSecurity war der Erste, der IDScan mit einem Marktplatz im Dark Web am 31. August 2026 verknüpfte. Zwei Wochen später bestätigte das Unternehmen schließlich, was Krebs berichtet hatte: Hacker hatten eine enorme Menge an Identitätsdaten aus seiner Cloud-Umgebung exfiltriert, darunter vollständige Namen, Führerscheinnummern und Identitätsnummern aus anderen Regierungsdokumenten wie Reisepässen.
Das Ausmaß ist atemberaubend:
- Über 153 Millionen US-amerikanische und kanadische Führerscheine
- 10 Millionen Ausweise
- 3 Millionen Reisedokumente
- 579.000 Krankenkarten
Besonders alarmierend ist das Volumen neuer Daten, die noch immer fließen. Sicherheitsforscher, die den Bruch überwachten, beobachteten etwa 400.000 neue Datensätze, die alle 24 Stunden zum Datensatz hinzugefügt wurden. Der Bruch war kein einzelnes Ereignis — es war eine fortlaufende Exfiltration, die mehr als ein Jahr vor der Entdeckung andauerte.
IDScan hat ein forensisches Unternehmen Dritter für die Untersuchung beauftragt, aber die Offenlegung des Unternehmens war bemerkenswert langsam. Neun Tage vergingen zwischen Krebs' ursprünglicher Berichterstattung und IDScan's Bestätigung. In diesem Zeitfenster zirkulierten die gestohlenen Daten weiterhin im Dark Web.
Innerhalb von Nexus
Der Marktplatz, auf dem die Daten von IDScan auftauchten, heißt Nexus und operiert im russischen Cybercrime-Forum Exploit. Nexus verkaufte keine Passwörter oder Kreditkartennummern — es handelte mit etwas viel Wertvolleren: forensisch genauen Scans physischer Identitätsdokumente.
Der Datensatz umfasst Vorder- und Rückseiten-Scans von Führerscheinen, Infrarotbilder, Ultraviolet-Versionen und in einigen Fällen Kundenfotos. Sicherheitsforscher bemerkten etwas besonders Beunruhigendes: die in die Bilder eingebetteten Zeitstempel entsprechen tatsächlichen Reisedaten. Wenn jemand seine Ausweis am Hotel-Check-in, an der Mietwagen-Theke oder am Flughafentor scannen ließ, landete dieser Scan in der Nexus-Datenbank.
Das Gesamtangebot auf Nexus umfasst mehr als 170 Millionen Identitätsdokumente. Anfang September 2026 verschwand der Marktplatz unerklärlicherweise — seine ehemalige Anmeldeseite wurde durch die Meldung "Dieser Dienst ist nicht mehr verfügbar" ersetzt. Ob dies eine Durchsuchung durch Strafverfolgungsbehörden war oder einfach die Betreiber in den Untergrund gingen, bleibt unklar.
Das Detail, das diese Geschichte von einem routinemäßigen Anbieter-Bruch zu nationalen Sicherheitsnachrichten erhob: Unter den Aufzeichnungen befand sich der Führerschein des US-Verteidigungsministers Pete Hegseth. Das FBI-Büro in New Orleans hat eine formelle Untersuchung eröffnet, und das Pentagon hat bestätigt, dass es über den Bruch informiert ist.
Das Identitätsverifizierungs-Paradox
Hier wird es für jeden im Bereich Identitätsverifizierung oder KYC wirklich unangenehm.
Das gesamte Geschäftsmodell von IDScan basiert auf einem Versprechen: Wir verifizieren Identitäten, damit Sie sich keine Sorgen um Betrug machen müssen. Unternehmen übergeben ihre Prozesse zur Verifizierung von Kundenidentitäten an Anbieter wie IDScan genau deshalb, weil sie darauf vertrauen, dass diese Anbieter eine bessere Sicherheit, bessere Compliance und eine bessere Infrastruktur haben, als sie selbst aufbauen könnten.
Und nun ist dieser vertrauenswürdige Anbieter zur größten Quelle gestohlener Identitätsdokumente in jüngerer Erinnerung geworden.
Sicherheitsforscher sind am besorgten über das, was sie das "Zirkularitätsproblem" nennen. Wenn ein Bruch bei einem Identitätsverifizierungsanbieter auftritt, untergräbt er potenziell die Wirksamkeit der Identitätsverifizierung überall. Jedes Unternehmen, das sich auf IDScan verließ, um Kundenidentitäten zu überprüfen, muss sich jetzt fragen: Hat der Verifizierungsprozess selbst die Schwachstelle geschaffen?
Sieben von IDScan's direkten Wettbewerbern im Bereich Identitätsverifizierung und KYC haben seit der Bestätigung des Bruchs vollständig geschwiegen. Nicht ein einziger hat eine öffentliche Erklärung zu seinen eigenen Sicherheitspraktiken abgegeben oder Unternehmenskunden Beruhigung geboten. Dieses Schweigen ist taubend.
Dies ist eine Lieferkettengeschichte, nicht nur eine Bruchgeschichte. Die Unternehmen, die Regierungs-ID-Daten im Auftrag von Banken, Fluggesellschaften, Mietwagenketten und Dutzenden anderer Branchen verarbeiten, speichern und weitergeben, befinden sich stromaufwärts des eigenen Sicherheitsumfelds ihrer Kunden. Wenn eines von ihnen kompromittiert wird, erstreckt sich die Explosionsradius weit über ein einzelnes Unternehmen hinaus.
Was Das Für Ihr Geschäft Bedeutet
Die unternehmerischen Auswirkungen breiten sich bereits aus. Die Kundenliste von IDScan umfasst Namen wie Hertz, FedEx und Target. Cannabisdispensaren, Unterhaltungsorte und Finanzinstitutionen, die gesetzlich verpflichtet sind, Kundenalter oder -identitäten zu überprüfen, verließen sich ebenfalls auf die Systeme von IDScan.
Mehrere Sammelklagen wurden gegen IDScan eingereicht, und die rechtliche Exposition erstreckt sich auf jedes Unternehmen, das Kundendaten durch IDScan's Kanäle gesendet hat. Cyber-Versicherungsunternehmen berechnen die Risikoprofile von Identitätsverifizierungsanbietern neu, und Einkaufsteams großer Unternehmen überprüfen ihre KYC-Anbieterbeziehungen.
Für den Einzelhandel-, Cannabis-, Unterhaltungs- und Reisebranche — Branchen, in denen die Alters- und Identitätsverifizierung eine gesetzliche Anforderung ist — stellt der Bruch eine unmögliche Frage: Wie erfüllen Sie Identitätsverifizierungsvorschriften, wenn der Anbieter, den Sie zur Erfüllung nutzen, auf kontinentaler Ebene kompromittiert wurde?
Die Aratech-Perspektive
Wenn Ihr Unternehmen einen Identitätsverifizierungs- oder KYC-Anbieter von Drittanbietern nutzt, hier ist was Sie jetzt tun sollten:
Überprüfen Sie Ihre Anbieterbeziehungen. Wissen Sie genau, welche Daten Ihre KYC-Anbieter speichern, wie lange sie sie aufbewahren und wie ihre Sicherheitsposture aussieht. Der Bruch von IDScan beweist, dass zentralisierte Identitätsdokumenten-Repositorien hochwertige Ziele sind.
Fordern Sie Transparenz. Stellen Sie Ihren Anbietern direkte Fragen zu ihrer Cloud-Sicherheit, Zugriffskontrollen und Incident-Response-Fähigkeiten. Wenn sie nicht klar antworten können, das ist Ihre Antwort.
Erzwingen Sie Datenminimierung. Wenn ein Anbieter Identitätsdokumentbilder nicht langfristig speichern muss, stellen Sie sicher, dass er es nicht tut. Je länger Daten in den Systemen eines Anbieters verbleiben, desto größer der Explosionsradius, wenn — nicht wenn — ein Bruch auftritt.
Adoptieren Sie Zero-Trust für Identitäten. Das Zeitalter, einem einzelnen Anbieter zu vertrauen, Ihre gesamte Identitätsverifizierungspipeline zu handhaben, ist vorbei. Implementieren Sie mehrschichtige Verifizierung, verwenden Sie Dokumentenverifizierung als einen Faktor unter vielen und verlassen Sie sich nicht ausschließlich auf die Bewertung eines einzelnen Anbieters.
Verhandeln Sie Verträge neu. Nutzen Sie diesen Bruch als Hebel, um stärkere Sicherheitsanforderungen, Benachrichtigungs-SLA für Brüche und Audit-Rechte in Ihren Anbietervereinbarungen zu fordern.
Der IDScan-Bruch ist nicht nur eine Warngeschichte — es ist ein Paradigmenwechsel. Die Identitätsverifizierungsindustrie hat gerade dieselbe Lektion gelernt, die jeder andere Bereich der Cybersicherheit auf die harte Weise gelernt hat: Die Anbieter, denen Sie mit Ihren empfindlichsten Daten vertrauen, sind oft am wenigsten darauf vorbereitet, sie zu schützen.
Die Frage ist nicht, ob Ihre KYC-Anbieter gehackt werden. Es ist, ob Sie darauf vorbereitet sind, wenn es passiert.