Die US-Bundespolizei FBI sowie regionale Behörden untersuchen im September 2026 eine Serie von schwerwiegenden Sicherheitsvorfällen, bei denen Hunderte Millionen Datensätze von Identitätsdokumenten kompromittiert wurden.
Im Zentrum der Ermittlungen steht der Dark-Web-Dienst Nexus sowie das Identitätsverifizierungs-Unternehmen IDScan.net. Zudem meldete die Verkehrsbehörde von Florida (FLHSMV) innerhalb einer Woche zwei separate Cyberangriffe auf ihre Datenbanken.
Massive Datenbestände im Dark Web aufgetaucht
Das FBI-Büro in New Orleans bestätigte Anfang September 2026 die Prüfung eines Dienstes namens Nexus, der im Dark Web behauptet, Zugriff auf mehr als 153 Millionen Führerschein-Datensätze aus den USA und Kanada zu haben. Laut Eigenangaben des Dienstes, die bisher nicht unabhängig bestätigt werden konnten, umfasst das Angebot zudem mehr als 10 Millionen Identitätskarten, über 3 Millionen Reisedokumente sowie mindestens 579.000 Krankenkassenkarten.
Der Dienst Nexus Market war Ende August 2026 erstmals in einem russischsprachigen Cybercrime-Forum in Erscheinung getreten. Die dort angebotenen Dateien sollen hochauflösende Bilder der Vorder- und Rückseiten von Dokumenten, Barcodes sowie Spezialaufnahmen wie UV- und Infrarotbilder enthalten. Nach Bekanntwerden der Untersuchungen durch die Bundesbehörden wurde die entsprechende Webseite offline genommen.
Sicherheitsvorfall bei IDScan.net bestätigt
Als mutmaßliche Quelle der bei Nexus angebotenen Daten gilt das Unternehmen IDScan.net, das Identitätsverifizierungen für namhafte Kunden wie Hertz, Target und FedEx an mehr als 20.000 Standorten durchführt. Das Unternehmen bestätigte einen unbefugten Zugriff auf seine Cloud-Systeme, der etwa am 1. September 2026 bemerkt und am 4. September 2026 offiziell gemeldet wurde.
Angesichts massiver Datenlecks bei Identitätsdiensten wird der Schutz eigener digitaler Identitäten immer kritischer. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihre mobilen Daten effektiv vor unbefugtem Zugriff und Missbrauch schützen können. 5 Schutzmaßnahmen jetzt entdecken
Die betroffenen Datensätze enthalten laut IDScan.net Namen, Lizenznummern und behördliche Identifikationsnummern. Die exakte Zahl der betroffenen Personen blieb zunächst unklar, während Hacker behaupteten, insgesamt 160 Millionen IDs von dem Dienstleister gestohlen zu haben.
Der Journalist Brian Krebs, der die Datenbank entdeckte, gab an, darin auch eine Kopie seines eigenen Führerscheins gefunden zu haben. Berichten zufolge sollen sich unter den Daten auch Dokumente prominenter Personen befinden, darunter der Verteidigungsminister Pete Hegseth.
Mehrfache Angriffe auf Behörden in Florida
Parallel zu den Vorfällen bei privaten Dienstleistern bestätigte die Verkehrsbehörde von Florida (FLHSMV) am 11. September 2026 einen zweiten Cyberangriff innerhalb derselben Woche.
Dieser Vorfall, der von einer internationalen Cyberkriminellen-Organisation ausgegangen sein soll, wurde am 4. September 2026 entdeckt und nach Behördenangaben mittlerweile eingedämmt. Zu der Anzahl der betroffenen Datensätze bei diesem zweiten Hack machte die Behörde keine Angaben.
Wer sich mit der zunehmenden Gefahr durch professionelle Cyberkriminalität befasst, sollte die eigenen Sicherheitsvorkehrungen regelmäßig überprüfen. Ein spezialisierter Leitfaden bietet hierzu fundierte Unterstützung und erklärt, wie Sie Ihr Gerät gegen Hacker und Datenraub absichern. Kostenlosen Sicherheits-Ratgeber herunterladen
Bereits zuvor hatte die FLHSMV bestätigt, dass am 4. September 2026 über kompromittierte Zugangsdaten eines Nutzers des Plant City Police Departments unbefugt auf die DAVID-Datenbank zugegriffen wurde. Diese Datenbank enthält rund 22 Millionen Fahrerdatensätze.
Die Hackergruppe ShinyHunters behauptete zudem, über eine Schwachstelle bei der Passwortwiederherstellung mehr als 200.000 weitere Datensätze entwendet zu haben, und setzte der Behörde eine Frist bis zum 11. September 2026. Als Beleg veröffentlichte die Gruppe unter anderem einen Screenshot eines Datensatzes von Jeffrey Epstein.
Die rechtlichen Folgen für die Behörden könnten erheblich sein. Nach dem Driver’s Privacy Protection Act (DPPA) beträgt der Mindestschadensersatz für Verstöße gegen den Datenschutz 2.500 US-Dollar pro Einzelfall. Bereits im Jahr 2020 war bekannt geworden, dass mehr als 900 Regierungsangestellte ihre Zugriffsberechtigungen für die DAVID-Datenbank missbräuchlich verwendet hatten.
