Experten warnen: Datenpanne bei Nexus ID offenbart ein Betrugsmodell

Der Dark-Web-Marktplatz tauchte Ende August auf und behauptete, Zugang zu rund 170 Millionen Datensätzen zu haben, darunter mehr als 153 Millionen US-amerikanische und kanadische Führerscheine, 10 Millionen weitere Ausweise, 3 Millionen Reisedokumente und mindestens 579.000 Krankenversicherungskarten. Die Betreiber behaupteten, die Informationen seien über einen Zeitraum von mehr als einem Jahr von einem großen Unternehmen für Identitätsprüfung abgezogen worden.

Der Nexus-Leak geht weit über einen einfachen Passwort-Dump hinaus

Ein Passwortleck ist zwar unangenehm, aber es gibt in der Regel einen Ausweg: das Passwort ändern. Bei amtlichen Ausweisdokumenten sieht die Sache ganz anders aus. Dr. Marilyne Ordekian wies darauf hin, dass Führerscheine Informationen enthalten, die Menschen über Jahre hinweg, wenn nicht sogar für immer, begleiten, darunter ihr Foto, ihre Wohnadresse und ihr Geburtsdatum.

„Bei Datenlecks, bei denen Passwörter offengelegt werden, kann man seine Zugangsdaten zurücksetzen und weitermachen“, sagte Ordekian. Bei gestohlenen amtlichen Ausweisdokumenten, erklärte sie, seien die Informationen praktisch fest in die Identität einer Person eingebettet und könnten nicht einfach zurückgesetzt werden, sobald Kriminelle sie in die Hände bekommen haben. Was Nexus besonders alarmierend macht, ist das gemeldete Vorhandensein von Infrarot- und Ultraviolett-Scans. Ordekian erklärte, dass diese Scans „eine Sicherheitsmaßnahme zur Überprüfung der Echtheit“ seien, was bedeutet, dass sie dazu dienen, „ein physisches Dokument als echt zu authentifizieren“. Sie warnte, dass Kriminelle möglicherweise „nicht nur Ihren Ausweis besitzen, sondern auch über die Blaupause und die technische Ebene verfügen, mit denen die Echtheit Ihres Ausweises nachgewiesen wird“.

Das birgt ein großes Risiko. „Jedes System, das auf Ausweisdaten basiert – sei es die Eröffnung eines Bankkontos, eines Kontos bei einer Kryptowährungsbörse, die Anmietung eines Autos, die Überprüfung einer Überweisung usw. (alles, was zur Identitätsprüfung auf diese Art von Ausweis angewiesen ist) – ist nun eine potenzielle Angriffsfläche, die ausgenutzt werden kann“, sagte Ordekian.

Gestohlene Sicherheitsmerkmale erhöhen das Betrugsrisiko

Sobald diese Daten auf kriminellen Märkten auftauchen, ist Identitätsdiebstahl nur noch der Anfang. Gestohlene Zugangsdaten könnten potenziell für Identitätsbetrug, betrügerische Bankkonten, Geldwäsche und andere Machenschaften wiederverwendet werden. Ordekian warnte, dass das infrarote und ultraviolette Material es den Überprüfungssystemen erschweren könnte, betrügerische Nutzung zu erkennen, da die zugrunde liegenden Dokumente selbst echt sind.

Hinzu kommt noch der Aspekt der physischen Sicherheit. „Wir beobachten beispielsweise im Bereich der Kryptowährungen, wie einige Nutzer und Opfer von Datenlecks als Investoren identifiziert und physisch ins Visier genommen werden, um sie zur Herausgabe ihrer Vermögenswerte zu zwingen“, betonte Ordekian. „In dieser Situation können auch Opfer häuslicher Gewalt und Personen in Zeugenschutzprogrammen gefährdet werden.“

Die Spur von Nexus führt zu dem in New Orleans ansässigen Identitätsprüfungsanbieter IDScan.net, der angibt, monatlich mehr als 21 Millionen Identitätsprüfungen an über 20.000 Standorten durchzuführen. IDScan hat den Datenleck-Vorfall noch nicht offiziell bestätigt, teilte den Kunden jedoch mit, dass es Hinweise auf eine mögliche Datenoffenlegung untersuche und das Unternehmen „möglicherweise darin verwickelt sei“.

Nexus nimmt den KYC-Daten-Honeypot unter die Lupe

Der Vorfall wirft zudem eine unangenehme Frage für „Know-Your-Customer“-Systeme (KYC) auf: Schafft das Sammeln riesiger Bestände an Identitätsdokumenten einen „Honeypot“, der für Kriminelle unwiderstehlich wird? Artem Popov, Leiter des Bereichs Betrugspräventionsprodukte bei Sumsub, sagte, die Gefahr gehe über KYC-Anbieter allein hinaus. „Die Speicherung personenbezogener Daten birgt überall Risiken, und das gilt für jedes Unternehmen, das damit umgeht, nicht nur für KYC-Anbieter“, erklärte Popov gegenüber Bitcoin.com News. Er sagte, man müsse davon ausgehen, dass ein Dokumentenfoto, sobald es online geteilt wird, offengelegt ist, da es zahlreiche Dienste durchlaufen kann, die außerhalb der eigenen Kontrolle liegen.

Popov warnte zudem, dass gestohlene Dokumente nur ein Teil des Betrugsmechanismus seien. „Viele dieser Datenlecks sind auch auf Social Engineering zurückzuführen, bei dem jemand einfach dazu überredet wird, seine Daten preiszugeben – genau deshalb sollte ein Dokumentenfoto allein niemals ausreichen, um jemanden als Kunden zu gewinnen“, so Popov.

Experten fordern Identitätsprüfungen, die über das Dokument hinausgehen

Der nächste Schritt, so Popov, sei das Hinzufügen einer weiteren Sicherheitsstufe. „Genauso wie ein Passwort nicht mehr ausreicht, um sich bei sensiblen Diensten anzumelden, benötigt ein Dokument einen zweiten Faktor, wie beispielsweise eine Lebendigkeitsprüfung, um zu bestätigen, dass es tatsächlich der Person gehört, die es vorlegt.“ Bei einer Lebendigkeitsprüfung wird ein Nutzer in der Regel aufgefordert, nachzuweisen, dass eine reale Person physisch anwesend ist und nicht etwa jemand, der lediglich ein gestohlenes Foto oder Dokument einreicht.

Auch das bloße Ersetzen von Ausweisdokumenten durch biometrische Daten ist kein Allheilmittel. Popov warnte, dass biometrische Daten ein eigenes dauerhaftes Risiko mit sich bringen, da ein Gesicht oder ein anderer biologischer Identifikator nicht neu ausgestellt werden kann, sobald er kompromittiert wurde. Ordekian erklärte unterdessen, der Vorfall sollte eine eingehendere Überprüfung der Sicherheitsvorschriften zur Identitätsprüfung und der Art und Weise, wie diese Schutzmaßnahmen durchgesetzt werden, erzwingen.

Die FBI-Ermittlungen sind laut „Krebs on Security“ noch nicht abgeschlossen, vorgeschlagene Sammelklagen wurden bereits eingereicht, und IDScan hat noch keinen vollständigen forensischen Bericht veröffentlicht, sodass die Branche noch nicht aus dem Gröbsten heraus ist, während die Ermittler daran arbeiten, genau festzustellen, was passiert ist und wie weit die Datenpanne reicht.