Eine vertrauenswürdige Rechtsressource wird zum Ziel

Die Police National Legal Database (PNLD), eine Ressource, die von Strafverfolgungsfachleuten in ganz Großbritannien zur Recherche von Gesetzen und Rechtsprechung genutzt wird, hat einen Datenschutzverstoß bestätigt, der mehr als 100.000 Beamte und Mitarbeiter betrifft. Eine Bedrohungsgruppe namens ExfilSquad bekannte sich zu dem Angriff, veröffentlichte etwa 1,9 GB gestohlener Datensätze im Dark Web und forderte ein Lösegeld für deren Entfernung.

Dieser Datenleck bei der britischen Polizei ist eine Mahnung, dass selbst interne Regierungssysteme, die nicht direkt mit Strafakten oder operativen Erkenntnissen verknüpft sind, genügend persönliche Daten enthalten können, um sie zu attraktiven Zielen für Erpressung zu machen. Die PNLD hat die National Crime Agency (NCA) und das Information Commissioner's Office (ICO) benachrichtigt und externe Spezialisten hinzugezogen, um den Umfang des Vorfalls zu untersuchen. Für einen genaueren Blick darauf, wie die Offenlegung zuerst gemeldet wurde und wen sie betrifft, siehe die frühere Berichterstattung zum Datenleck bei der britischen Polizei, das Daten von 100.000 Beamten offenlegt.

Was offengelegt wurde – und was nicht

Laut der Offenlegung der PNLD wurden bei dem Verstoß keine Passwörter kompromittiert. Das ist eine bedeutsame Unterscheidung: Sie legt nahe, dass die Angreifer keinen Zugriff auf Anmeldedaten erlangten, mit dem sie sich mithilfe wiederverwendeter Passwörter in andere Systeme einloggen könnten. Allerdings wurden Kontaktdaten von Polizeibeamten, Rechtsberatern und anderen Strafverfolgungsmitarbeitern offengelegt. Je nachdem, welche Felder die gestohlene Datenbank umfasste, könnten dies Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Organisationszugehörigkeiten sein, die mit bestimmten Rollen in der Strafverfolgung verknüpft sind.

Auch ohne kompromittierte Passwörter birgt eine solche Offenlegung ein reales Risiko. Kontaktinformationen, die mit der beruflichen Rolle einer Person in der Strafverfolgung verknüpft sind, können für gezieltes Phishing, Identitätstäuschung oder Belästigung genutzt werden. Für Polizeimitarbeiter, deren Sicherheit von einer geringen öffentlichen Sichtbarkeit ihrer persönlichen Daten abhängen kann, ist ein solches Leck mehr als eine Unannehmlichkeit. Es ist ein potenzielles Sicherheitsrisiko, das über typische Datenschutzverstöße in Unternehmen hinausgeht.

Erpressung im Dark Web: Wie diese Angriffe funktionieren

Das Vorgehen von ExfilSquad – gestohlene Daten öffentlich zu veröffentlichen und eine Zahlung zu verlangen, um die weitere Verbreitung zu verhindern – folgt einem bekannten Muster, das bei Ransomware- und Datenerpressungskampagnen zu beobachten ist. Anstatt Systeme zu verschlüsseln und für die Wiederherstellung des Zugriffs zu zahlen, stehlen Gruppen zunehmend zuerst die Daten und drohen mit der öffentlichen Bloßstellung als Druckmittel. Die Veröffentlichung eines Auszugs oder des gesamten Datensatzes in Dark-Web-Foren dient zwei Zwecken: Sie setzt die Opferorganisation unter Druck zu zahlen und signalisiert potenziellen zukünftigen Zielen oder Käufern die Fähigkeiten der Gruppe.

Diese Taktik erfordert nicht, dass die Angreifer einen langfristigen Zugang zu den Systemen des Opfers aufrechterhalten. Sobald die Daten öffentlich sind, ist der Schaden weitgehend angerichtet, unabhängig davon, ob ein Lösegeld gezahlt wird. Das ist ein Grund, warum Organisationen wie die PNLD schnell handeln, um Aufsichtsbehörden zu benachrichtigen und Spezialisten für die Incident Response einzuschalten, anstatt zu verhandeln. Es unterstreicht auch, warum Personen, die von solchen Datenschutzverstößen betroffen sind, davon ausgehen sollten, dass ihre offengelegten Informationen wieder öffentlich auftauchen könnten, selbst wenn die unmittelbare Lösegeldforderung abgelehnt wird.

Was das für Sie bedeutet

Wenn Sie Polizeibeamter, Rechtsberater oder Mitarbeiter im Bereich der Strafverfolgung sind und die PNLD genutzt haben, sollten Sie dies als Anlass nehmen, Ihre eigene digitale Hygiene zu überprüfen, auch wenn Passwörter nicht Teil des Lecks waren. Die Offenlegung von Kontaktdaten allein kann Phishing-Versuche befeuern, die darauf abzielen, Sie später zur Preisgabe von Anmeldedaten oder sensiblen Informationen zu verleiten.

Praktische Schritte, die sich jetzt lohnen:

  • Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für alle Konten, die mit Ihrer geschäftlichen E-Mail oder beruflichen Identität verknüpft sind, insbesondere falls noch nicht geschehen.
  • Seien Sie vorsichtig bei unerwarteten E-Mails, Anrufen oder Nachrichten, die auf Ihre Rolle oder Ihren Arbeitsplatz Bezug nehmen, insbesondere bei solchen, die Sie auffordern, auf Links zu klicken oder Kontodaten zu bestätigen.
  • Achten Sie auf Anzeichen von Identitätstäuschung, etwa unbekannte Konten, die Ihren Namen oder Ihre Berufsbezeichnung verwenden.
  • Erwägen Sie die Verwendung eines Passwort-Managers, um sicherzustellen, dass Sie Passwörter nicht für geschäftliche und private Konten wiederverwenden, und so die Auswirkungen zu begrenzen, sollte ein weiterer Verstoß künftig Anmeldedaten offenlegen.
  • Wenn Sie mit sensibler beruflicher Kommunikation zu tun haben, kann die Verwendung eines seriösen VPN beim Fernzugriff auf Arbeitssysteme einen zusätzlichen Schutz gegen das Mitlesen auf Netzwerkebene bieten, insbesondere bei öffentlichen oder ungesicherten Verbindungen.

Wer generell von Datenschutzverstößen im staatlichen Umfeld betroffen ist, sollte zudem die offiziellen Hinweise des ICO und der NCA im Auge behalten, während die Untersuchung dieses Vorfalls voranschreitet. Wie im früheren Bericht über den Datenleck, der Daten britischer Beamter offenlegte, dargelegt, werden solche Vorfälle im öffentlichen Sektor immer häufiger, nicht nur bei privaten Unternehmen.

Das Fazit

Dieser Datenleck bei der britischen Polizei verdeutlicht eine grundlegende Wahrheit: Keine Organisation, ob öffentlich oder privat, ist vor erpressungsgetriebenen Cyberangriffen gefeit, und die Fachkräfte, deren Daten offengelegt werden, tragen oft die am längsten anhaltenden Konsequenzen. Während die Reaktion der PNLD – die Benachrichtigung der Aufsichtsbehörden und die Bestätigung, dass keine Passwörter entwendet wurden – ein vernünftiger erster Schritt ist, machen die offengelegten Kontaktdaten die betroffenen Personen dennoch anfällig für Phishing und Identitätstäuschung.

Wenn Sie in der Strafverfolgung oder in einem Bereich arbeiten, in dem Ihre berufliche Identität öffentlich dokumentiert ist, warten Sie nicht auf die nächste Schlagzeile. Aktivieren Sie, wo möglich, 2FA, bleiben Sie wachsam gegenüber unaufgeforderten Kontaktaufnahmen, die sich auf Ihren Beruf beziehen, und betrachten Sie diesen Vorfall als Anstoß, Ihre digitalen Abwehrmaßnahmen noch heute zu verstärken.