IDScan.net hat seinen Sitz in Louisiana und bietet Dienste zur Verhinderung von Ausweisbetrug, Zugangsverwaltung und Altersprüfung an, dazu ein per Ausweis freischaltbares Türschloss sowie mobile Ausweisscanner. Nach eigenen Angaben arbeitet das Unternehmen mit großen Marken aus einem Dutzend Branchen zusammen – darunter Automobil, Banken und Fintech, Gaming, Bildung, Verkehr, Gastgewerbe, Strafverfolgung, Handel und Sicherheit – und führt monatlich mehr als 21 Millionen Verifizierungen an über 20.000 Standorten durch.
SecurityWeek hat IDScan um eine Stellungnahme zu dem möglichen Datenabfluss gebeten; eine Antwort lag zum Zeitpunkt der Veröffentlichung nicht vor.
Die Plattform Nexus wurde laut Krebs kurz nach der Veröffentlichung seines Artikels über die gestohlenen Ausweisdokumente abgeschaltet. Das FBI wurde offenbar auf den möglichen Vorfall bei IDScan aufmerksam und hat eine offizielle Untersuchung eingeleitet – unter den abgeflossenen Führerscheinen befinden sich anscheinend auch Dokumente von FBI-Agenten.
Tim Rawlins, Senior Adviser und Director bei der NCC Group, zieht aus dem Fall eine grundsätzliche Konsequenz für die Gestaltung von Identitätssystemen: „Die erste Lehre ist, dass Organisationen Identitätssysteme unter der Annahme entwerfen sollten, dass Identitätsnachweise irgendwann kompromittiert werden. Ein echt aussehendes Dokument kann nicht auf unbestimmte Zeit als ausreichender Identitätsnachweis gelten." Unternehmen sollten ihre Identitätsdaten inventarisieren und festhalten, wer sie erhebt, warum sie benötigt werden, wohin sie fließen und wann sie gelöscht werden.
Rawlins verweist zudem auf die Vertragsgestaltung mit Anbietern von Identitätsdiensten: Diese sollten Anforderungen an Protokollierung, Datentrennung, Aufbewahrungsfristen, Meldung von Sicherheitsvorfällen, Zugang zu Beweismaterial und unabhängige Prüfungen festschreiben. „Organisationen sollten außerdem auf ungewöhnliche Massenzugriffe und möglichen Datenabfluss achten, einschließlich auffälliger Aktivitäten von Dienstkonten, Programmierschnittstellen und administrativen Konten", ergänzte er.
Für Privatpersonen lautet der Rat, Kopien des eigenen Führerscheins nur dann weiterzugeben, wenn es unbedingt nötig ist – und bei einer Ausweisprüfung nachzufragen, ob die Kontrolle auch ohne Scannen, Fotografieren oder Speichern des Dokuments möglich ist.