19 Millionen französische Identitäten zum Verkauf: Wenn die Behörde, die Ihre Dokumente ausstellt, Ihre Daten verliert

Am 15. April 2026 erzeugten die Erkennungssysteme von France Titres — der französischen Regierungsbehörde, vormals bekannt als ANTS — einen Alarm bezüglich anomaler interner Aktivität im Portal ants.gouv.fr, der Web-Infrastruktur, über die französische Bürger Pässe, elektronische Personalausweise, Führerscheine und Fahrzeugscheine beantragen und verwalten. Die interne Reaktion war lehrbuchartig: Eindämmung, Isolation des betroffenen Systems, Aktivierung der obligatorischen DSGVO-Meldekette.

Am 16. April erschien in einem bekannten englischsprachigen Kriminalforum ein Verkaufsangebot, signiert "breach3d" — ein Alias, der auch als "ExtaseHunters" und in einigen Rekonstruktionen als Teil eines Kollektivs einschließlich "EvilDump" verwendet wird. Das Angebot enthielt eine Datenstichprobe und einen siebenstelligen Anfangspreis für den vollständigen Datensatz: zwischen 18 und 19 Millionen Datensätze französischer Bürger mit ants.gouv.fr-Konten. Zur Einordnung: Frankreich hat etwa 68 Millionen Einwohner, davon etwa 53 Millionen Erwachsene. Der Datensatz betrifft nach Schätzung der Akteure mehr als ein Drittel.

Die französische Regierung bestätigte den Vorfall am 21. April, sechs Tage nach Erkennung. Der initiale technische Vektor wurde nicht öffentlich offengelegt, aber die operativen Fingerabdrücke sind konsistent mit MITRE ATT&CK Kategorie T1190 — Exploit Public-Facing Application.

Was wurde exfiltriert (und was nicht)

Die exfiltrierten Daten umfassen: Login-Kennung, vollständigen Vor- und Nachnamen, E-Mail-Adresse, Geburtsdatum, eindeutige Konto-ID, und für einen Teil der Datensätze auch Postanschrift, Geburtsort, Telefonnummer, Geschlecht und Familienstand. Es handelt sich um den typischen Datensatz eines Benutzerkontos auf einem öffentlichen Dienste-Portal, nicht um den vollständigen Korpus eines Ausweisdokuments.

Was nicht exfiltriert wurde: Identifikationsnummern ausgestellter Dokumente, biometrische Bilder, digitalisierte Unterschriften, Scans von Begleitdokumenten. Diese Unterscheidung ist wichtig: Ohne Dokumentnummer und Biometrie ist das Szenario der "Dokumentenklonung" entfernt. Das realistische und schwerwiegend wahrscheinliche Szenario ist ein anderes.

Der wahrscheinliche Vektor: T1190 und die Geometrie staatlicher Apps

Spezifische Hypothesen umfassen SQL-Injection — die historisch am häufigsten mit Massen-Konto-Exfiltrationen assoziierte Schwachstellenklasse — IDOR (Insecure Direct Object Reference) auf APIs, die Datensätze nach ID aufzählen, oder Missbrauch einer legitimen administrativen Exportfunktion über eine kompromittierte Sitzung.

Europäische Regierungsanwendungen teilen eine typische Architektur, die das Risiko verstärkt: oft als monolithisches PHP oder Java EE auf zentralisierten relationalen Datenbanken gebaut, durch Schichtung evolviert, unter Kompatibilitätszwängen mit internen Altsystemen, und unter Budgetzwängen, die systematisches Sicherheits-Refactoring zur Ausnahme machen.

Warum es einen Italiener interessieren sollte: Drei direkte Expositionslinien

Erste Linie: italienische Bürger mit Wohnsitz oder Interessen in Frankreich. Zehntausende Italiener arbeiten in Frankreich, haben Zweitwohnungen, unterhalten französische Bankkonten. Viele haben Konten auf ants.gouv.fr eröffnet. Wenn Ihr Name in diesem Datensatz steht, werden die Phishing-E-Mails der nächsten Wochen mit echten Daten konstruiert, die wenige außerhalb Ihrer Familie kennen.

Zweite Linie: italienisches Phishing nach französischem Muster. Erwarten Sie italienische Phishing-Kampagnen, die den France-Titres-Stil nachahmen, aber an SPID, INPS, Agenzia delle Entrate angepasst sind.

Dritte Linie: die Geopolitik von Breaches als Waffe. Der Fall fügt sich in eine europäische Welle ein — Salt Typhoon (8. April), Equalize, APT28 PRISMEX (10. April) — die eine progressive Normalisierung der Exfiltration staatlicher Datensätze als Standardpraxis gegnerischer Akteure zeigt.

Das Recht zu wissen: DSGVO, Benachrichtigungen, was zu fordern ist

Die DSGVO verpflichtet die verantwortliche Stelle, die Aufsichtsbehörde innerhalb von 72 Stunden zu benachrichtigen und die betroffenen Personen ohne unangemessene Verzögerung, wenn die Verletzung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.

Für italienische Bürger mit ants.gouv.fr-Konten: Überwachen Sie Ihre registrierte E-Mail-Adresse und warten Sie auf die CNIL-Benachrichtigung. Falls sie nicht eintrifft, kontaktieren Sie proaktiv den Support der Behörde bis Ende Mai 2026.

Ist Italien sicher? Der italienische Spiegel des Risikos

SPID, IO-App, ANPR, Sistema TS bei Agenzia delle Entrate, INPS — jedes dieser Systeme ist nach Architektur und Datenumfang ein homologes oder funktionales Superset von ants.gouv.fr. Keines ist "sicher verwundbar" und keines "sicher sicher".

Was in beiden Ländern fehlt, ist eine systemische Haltung: gesetzlich vorgeschriebene Rate-Limits auf Staats-APIs, strukturelle Trennung zwischen Einzeldatensatz- und Bulk-Zugriff, einheitliches SOC-Alerting auf nationaler Ebene.

Fünf praktische Maßnahmen für italienische Fachleute

1. 1.Persönliche Position überprüfen: Wenn Sie ein ants.gouv.fr-Konto haben oder hatten, registrierte E-Mail überwachen und CNIL-Benachrichtigung abwarten.
2. 2.Berufliche E-Mail-Überprüfung: Annahme, dass jede E-Mail scheinbar von einer Staatsbehörde in den nächsten sechs bis acht Wochen potenzielles Phishing ist.
3. 3.Authentifizierungs-Hardening: SMS-2FA durch Passkey oder TOTP-App auf allen Konten ersetzen, die sensible Daten verwalten.
4. 4.Für Journalisten und Anwälte: Kanaltrennung. "Administrative" Identität auf einem Gerät, "berufliche" Identität auf einem anderen Gerät.
5. 5.Für Unternehmen mit Mitarbeitern, die ants.gouv.fr-Konten verwalten: spezifisches operatives Briefing in den nächsten zwei Wochen.

Die zugrunde liegende Lehre: Identität ist ein Staatswert — und ein Ziel

Die Sicherheit der digitalen Identität ist zu lange als bürokratisches Problem behandelt worden statt als Problem der nationalen Sicherheit. Die Infrastruktur, die zertifiziert, wer wir sind, ist mindestens so kritisch wie das Stromnetz und die Zahlungssysteme und muss mit gleicher Ernsthaftigkeit behandelt werden.

Für italienische Fachleute, die wertvolle Dossiers verwalten, lautet die operative Lehre, dass die Verteidigung nicht mehr vollständig an staatliche Behörden delegiert werden kann. Kanaltrennung, Kontrolle der eigenen digitalen Haltung, Investition in Geräte und Workflows zur Reduzierung der Angriffsfläche werden zu individuellen Verantwortlichkeiten.