DGT-Leak: Daten von 34,5 Millionen Fahrern zum Verkauf

DGT-Datenbank mit Personalausweisen und Adressen steht zum Verkauf

Stellen Sie sich eine Verkehrsstreitigkeit vor. Der andere Fahrer notiert Ihr Kennzeichen, und kurze Zeit später hat er Ihren vollständigen Namen, Ihre Personalausweisnummer (DNI), Ihre Adresse und die Versicherung Ihres Autos auf dem Bildschirm. Was bisher nur hypothetisch war, wurde Realität, als ein Händler gestohlener Daten fast das gesamte Fahrerregister der Dirección General de Tráfico (spanische Verkehrsbehörde) veröffentlichte: 34,5 Millionen Datensätze, die Fahrzeug und Person verknüpfen, inklusive Kennzeichen, Typ, Marke, Modell, Name des Halters, Wohnort, Adresse und gültige Versicherung. Die Anzeige erschien am 13. Mai auf einem Marktplatz für gestohlene Informationen. Die DGT hatte auf Anfragen der Medien noch nicht reagiert, als die Nachricht bekannt wurde.

Was wird angeboten und zu welchem Preis?

Der Verkäufer bietet zwei Optionen an. Die erste ist die gesamte Datenbank mit den genannten 34,5 Millionen Einträgen. Die zweite ist beunruhigender: Abfragen nach Maß, wie bei einer Suchmaschine, für alle, die nur Daten zu einer bestimmten Person oder einem spezifischen Kennzeichen benötigen. „Wir haben Zugriff auf jedes Kennzeichen oder Dokument der Fahrer“, heißt es in der Anzeige. Der Preis ist nicht angegeben, aber befragte Experten schätzen ihn auf mehrere Millionen Euro.

Der Wert liegt nicht im Volumen, sondern in der Verknüpfung. Mit Personalausweisnummer, Kennzeichen und Adresse lässt sich bereits eine plausible Identitätsfälschung erstellen; wenn Telefon und E-Mail-Adresse hinzukommen – die in anderen Leaks kursieren –, ist das Bild vollständig. Ein Cybersicherheitsenscybersicherheit fasst es nüchtern zusammen: Mit diesen drei Feldern lassen sich viele Betrugsmaschen entwickeln, insbesondere Identitätsbetrug.

Befürchtete Missbrauchsszenarien: Vom Polizeirevier bis zum Autohändler

Von hier aus schreiben sich die Szenarien quasi selbst. Kriminelle, die nahe Parkplätzen von Polizeistationen lauern, erfassen private Kennzeichen von Beamtenfahrzeugen, um deren Wohnorte zu ermitteln und sie über ihre Familien unter Druck zu setzen. Banden, die Luxusautos stehlen, müssen niemandem mehr folgen: Es reicht, das Kennzeichen des bestellten Fahrzeugs zu kennen und abzufragen, wo sein Besitzer schläft. Eine Streitigkeit auf der Straße endet damit, dass jemand an Ihrer Haustür klingelt.

Es gibt einen weniger gewalttätigen, aber alltäglicheren Zweck: herauszufinden, ob das Auto, mit dem jemand angibt, es gehöre ihm, tatsächlich einem Unternehmen oder einer Leasingfirma gehört. Das verändert die Bewertung eines gesamten Parkplatzes.

Warum die DGT? Eine Geschichte voller Sicherheitslücken

Niemand hat die genaue Herkunft dieses Leaks erklärt. Quellen, die den Vorfall untersuchen, weisen auf einen kürzlichen Cyberangriff gegen die DGT hin, wobei ein nationaler Akteur als Hauptverdächtiger gilt: das gleiche Muster wie bei den Angriffen auf die Banco Santander, Iberdrola und Telefónica. Eine Verbindung zu dem 23-jährigen Mann aus Murcia, der festgenommen wurde, nachdem er 40 Millionen Kennzeichen mit der Personalausweisnummer seiner Mutter gestohlen hatte, wird vorerst ausgeschlossen. Diese Operation wurde von der Comisaría General de Información koordiniert, zusammen mit der Informationsbrigade von Murcia und dem CCN-CERT, das dem CNI untersteht. Seine Absicht war der Verkauf der Datenbank; laut Ermittlungen hatte er dies noch nicht getan.

Die technische Diagnose ist vernichtend. „Sie hat Millionen offener Türen, das ist ein riesiges Problem“, sagen die befragten Experten. Und der Preisvergleich hilft, das Ausmaß zu verstehen: Die Abfrage der Fahrzeughistorie kostet laut einem Kommentar im Thread 9 Euro bei der DGT. Die vollständige Datenbank mit 34,5 Millionen Fahrern könnte für Millionen gehandelt werden. Dieselben Informationen, zwei unvergleichliche Tarife.

Anzeige verschwunden: Rücknahme, Zahlung oder Falle?

Die Anzeige ist nicht mehr online. Das Material wurde gelöscht, nachdem die Plattform, die den Handel hostete, beschlagnahmt wurde, und das Profil des Verkäufers hinterließ eine Nachricht, dass er einzelnen Abfragen anbieten kann, falls jemand Beweise braucht. Die Interpretationen gehen auseinander: Jemand hat genug bezahlt, damit die Datenbank vom Markt verschwindet, oder die Anzeige war ein Lockmittel, um Käufer zu fangen. Keine der beiden Hypothesen beantwortet die wichtige Frage: Zirkulieren die 34,5 Millionen Datensätze weiterhin in Kopie in anderen Händen?

Sechs Tage nach der Meldung, kein Rücktritt

Nach Veröffentlichung der Information läuft die Uhr weiter, und kein Verantwortlicher wird benannt. Manche fragen offen, wann ein Schreiben an die Bürger gerichtet wird, das Entschuldigung von den 34 Millionen Betroffenen verlangt, und wann die Verantwortlichen entlassen werden. Der Vergleich mit der Privatwirtschaft taucht im Thread auf: In einem Unternehmen kostet so ein Fehler Köpfe; in der Verwaltung zahlt der Steuerzahler die Rechnung, und die Akte landet im Archiv.

Die Diskussion darüber, wer für den Schutz der Systeme eingestellt wird – Subunternehmer, Nachunternehmer und indirekt platziertes Personal – bleibt offen. Auch die Grundfrage: Ist das Problem technischer, budgetärer Natur oder einfach eine Frage der Anreize? Die Idee, die die Debatte überschattet, ist, dass niemand wegen einer Sicherheitslücke zurücktritt, und dass dies Teil des Systems ist.

Inzwischen verwirrt ein Detail. Dieselbe Fahrzeughistorie, die die DGT für neun Euro ausstellt – immer laut diesem Kommentar im Thread – ist jetzt Teil eines Pakets, das für Millionen gehandelt werden könnte, und der Verkäufer prahlt weiterhin damit, jedes angeforderte Kennzeichen abfragen zu können, auch ohne die Datenbank sichtbar anzubieten.