Dein Führerscheinfoto Lag Ein Jahr Auf Ihrem Server

Ein Jahr Stiller Zugriff, Dann Eine Bestätigung

IDScan, ein Identitätsprüfungsdienst mit Sitz in Louisiana, den Veranstaltungsorte und Cannabis-Dispensaries zur Prüfung von Kundendokumenten nutzen, bestätigte am 10. September, dass Hacker Identitätsdaten aus seinem Cloud-Speicher gestohlen hatten. Der Sicherheitsjournalist Brian Krebs hatte den zugrunde liegenden Vorfall bereits am 2. September gemeldet, nachdem eine Darknet-Plattform begonnen hatte, durchsuchbaren Zugriff auf eine Datenbank namens Nexus anzubieten, mehr als 11,5 Millionen Ergebnisseiten bei rund fünfzehn Einträgen pro Seite. Die Angreifer behaupteten, seit über einem Jahr fortlaufend neue Daten von IDScan abzusaugen, bevor das Angebot auftauchte, was bedeutet, dass es sich nicht um einen einzelnen Vorfall, sondern um eine lange, unentdeckte Sammeloperation handelte.

Das FBI-Feldbüro in New Orleans eröffnete am 1. September eine förmliche Ermittlung, und das Pentagon bestätigte, über den vermuteten Vorfall informiert zu sein, nachdem der Datensatz von US-Verteidigungsminister Pete Hegseth selbst unter den kompromittierten Dateien auftauchte, unabhängig bestätigt von einem Sicherheitsforscher. Die öffentliche Erklärung von IDScan enthielt kaum mehr als eine Bestätigung, einem Reporter gegenüber hiess es, man könne noch keine weiteren Details teilen, während die eigene Untersuchung andauere. Der vollständige Zugriff auf die geleakte Datenbank erforderte Berichten zufolge eine Zahlung, die Struktur eines Erpressungsverkaufs statt eines einfachen Datenlecks.

Was Tatsächlich Entwendet Wurde

Die gestohlenen Datensätze gliedern sich nach Dokumenttyp, und das Ausmass liegt deutlich über jedem vergleichbaren Ausweisdaten-Vorfall dieses Jahres. Führerscheine machen die überwiegende Mehrheit aus, doch die Sammlung reicht in mehrere weitere Dokumentkategorien hinein, auf die sich IDScans Kunden bei Alters- und Identitätsprüfungen verlassen.

Allein Ontario machte etwa 473.000 der kanadischen Führerscheine im Datensatz aus, eine Erinnerung daran, dass der Vorfall bei einem US-Anbieter nicht an der Grenze haltmacht, über die hinweg seine Kunden tätig sind. Jeder Datensatz enthält einen vollständigen Namen und eine amtliche Dokumentnummer, in den meisten Fällen auch die eingescannte Fotoseite selbst, genau die Kombination, die Identitätsdiebe brauchen, um andernorts Konten zu eröffnen oder automatisierte Prüfungen zu bestehen.

Die Lücke, Die Ihr Eigener Vertrag Schliessen Sollte

Ein Unternehmen in der EU oder im UK, das Alters- oder Identitätsprüfungen auslagert, zunehmend eine rechtliche Pflicht statt einer Annehmlichkeit unter Regeln wie den Altersverifizierungsvorgaben des Digital Services Act, übergibt einem Anbieter aus einem Drittland eine Kopie der amtlichen Dokumente seiner Kunden und hat danach kaum Einblick, wie lange dieser Anbieter einen Vorfall verschweigt, bevor er etwas sagt. Die DSGVO gibt einem Verantwortlichen 72 Stunden ab Kenntnisnahme eines Vorfalls, um seine Aufsichtsbehörde zu benachrichtigen, und NIS2 gibt einer wesentlichen oder wichtigen Einrichtung nur 24 Stunden für eine Frühwarnung. Keine dieser Fristen erreicht IDScan direkt, weil die Frist erst zu laufen beginnt, sobald der Verantwortliche auf EU-Seite selbst Kenntnis erlangt, und ein US-Dienstleister hat keine vergleichbare gesetzliche Pflicht, seine Kunden schnell zu informieren, oder überhaupt, über das hinaus, was der zugrunde liegende Auftragsverarbeitungsvertrag vorsieht.

Diese Lücke ist der handlungsrelevante Teil dieser Geschichte. Ein Unternehmen, das sich auf einen Identitätsprüfungsdienst verlässt, sollte bereits genau wissen, welche Meldefrist sein eigener Auftragsverarbeitungsvertrag für diesen Anbieter schriftlich festlegt, statt anzunehmen, dass ein US-Unternehmen die Nachricht von sich aus liefert, sobald etwas schiefgeht. Der eigene Zeitplan von IDScan, ein behaupteter stiller Zugriff über ein Jahr, gefolgt von neun Tagen zwischen dem öffentlichen Darknet-Angebot und einer Unternehmensbestätigung, ist der Grund, diese Klausel als tragend statt als Formsache zu behandeln, und jetzt zu fragen, nicht erst nach der nächsten Schlagzeile, wie schnell ein Anbieter vertraglich zur Meldung verpflichtet ist.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es dir heute etwas gebracht hat, sag uns, dass wir weitermachen sollen. Folge uns, hinterlasse ein Like oder schreibe einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, die uns antreiben.

Weiterlesen: Ein Leck, das Ihr DORA-Register nicht erklärt  |  CEVA-Datenleck trifft Valves Steam-Kunden