Ein schwerer Sicherheitsvorfall erschüttert die Behörden des US-Bundesstaates Florida. Die international agierende Cybercrime-Gruppe ShinyHunters erbeutet sensible Daten aus der Führerschein- und Fahrzeugdatenbank des Florida Department of Highway Safety and Motor Vehicles (FLHSMV). Nach gescheiterten Lösegeldverhandlungen stellen die Angreifer Hunderttausende Dokumente in das Darknet.

Als Einfallstor dienen kompromittierte Zugangsdaten eines Mitarbeiters der örtlichen Plant City Police Department, die unsachgemäß auf einem privaten Endgerät gespeichert lagen.

Neben dem Reputationsschaden drohen dem Bundesstaat nun erhebliche finanzielle Belastungen. Das US-Bundesgesetz Driver’s Privacy Protection Act (DPPA) sieht bei Datenschutzverletzungen einen gesetzlichen Mindestschadensersatz von 2.500 US-Dollar pro Einzelfall vor. Angesichts von Millionen potenziell Betroffenen summiert sich dieses Haftungsrisiko auf eine Summe, die den Staatshaushalt schwer belasten kann.

Veraltete Infrastruktur trifft auf automatisierte KI-Angriffe

Der Zugriff erfolgt am 3. September 2026 über das polizeiliche Auskunftssystem DAVID (Driver and Vehicle Information Database). Die Datenbank umfasst den Gesamtbestand von rund 22 Millionen Fahrer- und Fahrzeugdatensätzen des Bundesstaates.

Nach dem Eindringen über die gestohlenen Anmeldedaten manipulieren die Täter gezielt interne Prozesse zur Passwort-Rücksetzung, um ihre Zugriffsprivilegien im System schrittweise auszubauen.

Sicherheitsanalysten von Anthropic und Google Cloud Incident Response dokumentieren in diesem Kontext eine veränderte Methodik der Angreifer. Affiliates von ShinyHunters setzen demnach zunehmend moderne generative KI-Werkzeuge ein. Diese Programme kartieren kompromittierte Netzwerke nach dem Diebstahl initialer Zugangsdaten vollautomatisch und beschleunigen die Ausweitung administrativer Rechte massiv.

Das FLHSMV bemerkt den unbefugten Zugriff nach offiziellen Angaben am 4. September 2026 und leitet Gegenmaßnahmen ein. Zu diesem Zeitpunkt haben die Erpresser jedoch bereits substanzielle Datenbestände unbemerkt abgezogen.

Geplatzte Lösegeldverhandlungen und Veröffentlichung im Darknet

In den Folgetagen konfrontiert ShinyHunters die Behörden mit einer Lösegeldforderung. Um den Druck auf die Verhandler zu erhöhen, veröffentlichen die Erpresser zunächst einen prominenten Testdatensatz aus dem DAVID-System: Führerschein- und Fahrzeugdaten des verstorbenen Finanziers Jeffrey Epstein, inklusive Sozialversicherungsnummer, hinterlegter Adressen und Fahrzeugkennzeichen.

Ian Gray, Vice President of Intelligence beim Cybersicherheitsunternehmen Flashpoint, deutet das zwischenzeitliche Entfernen bestimmter Einträge in Foren als Indiz dafür, dass Vertreter der Behörden zunächst Geheimverhandlungen mit den Kriminellen führen.

Eine Einigung kommt jedoch nicht zustande. Am 14. September 2026 erklärt ShinyHunters die Gespräche für gescheitert und lädt ein Datenpaket mit 594.701 Dateien im Darknet hoch.

Die Bereitstellung umfasst 475.207 hochauflösende Bilddateien, darunter Scans von Reisepässen, Führerscheinen, Visa und Fahrzeugpapieren, sowie 119.494 HTML-Dokumente mit detaillierten Einzelfahrerprofilen. Die Akten reichen historisch bis in die 1990er-Jahre zurück und enthalten sensible Vermerke zu Vorstrafen wegen Trunkenheit am Steuer. Neben US-Bürgern betreffen die Daten zahlreiche internationale Fahrer mit Dokumenten aus Brasilien, China, Kanada und Indien.

Während das FLHSMV öffentlich erklärt, es lägen keine Beweise für einen Missbrauch der Daten vor, kursieren die Unterlagen bereits frei zugänglich in einschlägigen Cybercrime-Netzwerken.

Fehlende Modernisierungsbudgets rächen sich

Der Fall offenbart gravierende Versäumnisse bei der IT-Modernisierung öffentlicher Einrichtungen. Gouverneur Ron DeSantis forderte für das Haushaltsjahr 2025 bis 2026 ein Budget von 16 Millionen US-Dollar für das IT-Projekt „Motorist Modernization“, das veraltete Altsysteme der Verkehrsbehörde ablösen sollte. Das Parlament Floridas strich diesen Posten jedoch aus dem Budget.

Die Konsequenzen dieser Sparpolitik drohen nun ein Vielfaches der verweigerten Modernisierungssumme zu kosten. Sollten US-Gerichte Sammelklagen auf Basis des DPPA zulassen, drohen Florida Schadenersatzansprüche in Milliardenhöhe.

Zur operativen Schadensbegrenzung bietet die Verkehrsbehörde allen Betroffenen eine einjährige Identitäts- und Bonitätsüberwachung über den Dienstleister Sontiq an, ein Tochterunternehmen von TransUnion. Das Paket beinhaltet eine Versicherung gegen Identitätsdiebstahl mit einer Deckungssumme von einer Million US-Dollar. Branchenexperten werten solche Maßnahmen jedoch als reines Krisenmanagement, das den langfristigen Kontrollverlust über biometrische und behördliche Dokumente kaum kompensieren kann.

Überdies fällt der Vorfall zeitlich mit einer weiteren Datenpanne in den USA zusammen. Der Identitätsprüfer IDScan.net meldet den Abfluss von 153 bis 160 Millionen Führerscheindatensätzen. Zwar agieren die Angreifer technisch unabhängig voneinander, doch Marktbeobachter werten die Koinzidenz als deutliches Signal für systemische Schwachstellen bei US-Verifizierungsdienstleistern und staatlichen Registern.

Ermittlungsbehörden unter Handlungsdruck

In einer erweiterten Erklärung räumt das FLHSMV ein, dass auch frühere Einwohner sowie Halter historischer Zulassungen betroffen sind, für die den Behörden oft keine aktuellen Kontaktadressen vorliegen. Dies erschwert den rechtskonformen Versand von Warnhinweisen erheblich.

Parallel ermitteln das FBI, das Florida Department of Law Enforcement und der Florida Digital Service gegen das Erpressernetzwerk. ShinyHunters trat in der Vergangenheit bereits durch massive Angriffe auf multinationale Konzerne wie Ticketmaster und AT&T hervor.

Unklarheiten bestehen derweil über das genaue Ausmaß der Kompromittierung. Abweichende behördliche Stellungnahmen nähren den Verdacht, dass neben dem DAVID-System auch interne Netzwerke des FLHSMV infiltriert wurden. Der Fall liegt mittlerweile offiziell beim Attorney General von Florida, James Uthmeier.

Für Unternehmen und institutionelle Anleger verdeutlicht die Krise, dass staatliche Infrastrukturen zunehmend zum operativen Risikofaktor für digitale Identitäts- und Verifikationsprozesse werden.