Datenpanne beim schottischen Crown Office: Daten von rund 300 Beschäftigten offengelegt

Der Vorfall geht auf einen externen Dienstleister zurück

Das Crown Office and Procurator Fiscal Service (COPFS), der schottische Dienst für die öffentliche Strafverfolgung und die Untersuchung von Todesfällen, informierte am 13. August über eine mögliche Verletzung personenbezogener Daten.

Der Vorfall soll nicht unmittelbar die Systeme des COPFS betroffen haben. Der mutmaßliche Einstiegspunkt war vielmehr ein externer Dienstleister, der eine Online-Bewertung der Datenreife durchführte. Diese war Teil eines Schulungsprogramms für mehrere öffentliche Verwaltungen.

Die Organisation, die den Fragebogen bereitgestellt hatte, stellte am 5. August verdächtige Aktivitäten fest. Die Ereignisse schienen das interne Netzwerk des Dienstleisters zu beeinträchtigen und führten zum Verlust von Informationen über Regierungsbeschäftigte.

Das COPFS schätzt, dass rund 300 Personen betroffen sind. Der tatsächliche Umfang könnte jedoch größer sein: Die Bewertung war Teil des 2021 gestarteten Data Maturity Programme der schottischen Regierung, an dem jedes Jahr Gruppen öffentlicher Organisationen teilnehmen können.

Unklar ist, ob das COPFS die einzige betroffene schottische Behörde ist. Ebenfalls offen ist, ob derselbe Dienstleister Daten weiterer Kunden verloren hat.

Welche Informationen wurden offengelegt?

Bei den potenziell kompromittierten Informationen handelt es sich um identifizierende und organisatorische Angaben zu Beschäftigten:

• Name;
• berufliche Funktion;
• dienstliche E-Mail-Adresse.

IP-Adressen sollen nicht zu den entwendeten Daten gehören. Das COPFS stellte außerdem klar, dass weder Informationen zu Gerichtsverfahren noch zu Opfern oder Zeugen betroffen waren.

Nach aktuellem Kenntnisstand gibt es daher keine Hinweise auf einen Zugriff auf Gerichtsakten oder operative Daten des Dienstes. Das Risiko besteht vor allem darin, dass Beschäftigte identifiziert, ihre Funktion nachvollzogen und über offizielle Kommunikationskanäle kontaktiert werden können.

Auch eine begrenzte Datenmenge kann für Angreifer wertvoll sein. Eine berufliche Funktion in Verbindung mit einer Behördenadresse ermöglicht glaubwürdigere Nachrichten als eine allgemeine Phishing-Kampagne. Eine E-Mail an eine reale Person, die auf ihre Aufgaben zugeschnitten ist, erhöht die Wahrscheinlichkeit, dass ein Link geöffnet oder eine Anfrage als legitim eingestuft wird.

Der Dienstleister wurde nicht offiziell benannt

Das COPFS hat das für die Bewertung verantwortliche Unternehmen nicht öffentlich identifiziert. Als möglicher Programmadministrator wurde Data Orchard genannt, ein britisches Forschungsunternehmen.

Data Orchard beschreibt auf seiner Website die Teilnahme an einer fünften Gruppe öffentlicher Organisationen, die an einem Programm zur Bewertung der Datenreife teilnimmt. Dies stellt jedoch keine offizielle Bestätigung dar, dass das Unternehmen der an der Datenpanne beteiligte Dienstleister ist.

Das Unternehmen soll außerdem mit großen Organisationen wie dem World Wildlife Fund und der walisischen Regierung zusammengearbeitet haben. Ob Daten dieser Einrichtungen von dem Vorfall betroffen sind, ist nicht bekannt.

Offen bleibt auch, welche Systeme kompromittiert wurden, wie lange der Angreifer Zugriff auf das Netzwerk hatte und ob Daten anderer Organisationen als des COPFS kopiert wurden. Eine konkrete Angriffstechnik wurde nicht veröffentlicht; außerdem wurde kein formaler Schweregrad festgelegt.

Warum Namen und Funktionen zu einem operativen Risiko werden können

Die Kombination aus Name, Funktion und dienstlicher E-Mail-Adresse liefert wertvolle Informationen für Aufklärungsaktivitäten. Ein Angreifer kann sie nutzen, um sich als Kollege, interne Abteilung, Dienstleister oder institutioneller Partner auszugeben.

Das Risiko steigt, wenn eine Nachricht den Empfänger auf ein gefälschtes Anmeldeportal verweist, zur Überprüfung eines Dokuments auffordert oder eine dringende Handlung verlangt. In solchen Szenarien ist nicht unbedingt der Beschäftigte selbst das eigentliche Ziel: Sein Konto kann zum ersten Zugangspunkt zu weitergehenden Ressourcen werden.

Die Datenpanne belegt nicht, dass ein Konto des COPFS kompromittiert wurde. Die offengelegten Daten können jedoch Folgeangriffe gegen die betroffenen Beschäftigten erleichtern, insbesondere wenn sie mit öffentlich verfügbaren Informationen über Aufgaben und Verwaltungsstrukturen kombiniert werden.

Daher reicht die Zahl der betroffenen Personen nicht aus, um die Auswirkungen zu bewerten. Dreihundert gut profilierte berufliche Identitäten können eine geeignete Angriffsfläche für gezielte Kampagnen bieten – auch ohne Passwörter, Finanzdaten oder Gerichtsakten.

Das Problem der „peripheren“ Dienstleister

Der Fall verdeutlicht ein häufiges Risiko im Third-Party-Risk-Management. Organisationen konzentrieren ihre Kontrollen meist auf strategische Dienstleister und dauerhaft genutzte Services. Plattformen für Fragebögen, Schulungen oder Assessments erhalten dagegen möglicherweise weniger Aufmerksamkeit.

Laut Cory Kennedy, Threat-Intelligence-Forscher bei SecurityScorecard, verlassen sich viele Unternehmen weiterhin auf Erstprüfungen, Fragebögen sowie SOC-2- oder ISO-27001-Zertifizierungen. Nach dem Onboarding kann die Überwachung jedoch deutlich abnehmen oder ganz eingestellt werden.

Eine Zertifizierung oder positive Bewertung beschreibt eine Situation zu einem bestimmten Zeitpunkt. Sie garantiert weder, dass der Dienstleister Monate später weiterhin geschützt ist, noch dass alle seine Abhängigkeiten dasselbe Sicherheitsniveau aufweisen.

Kennedy empfiehlt stattdessen eine kontinuierliche externe Überwachung der tatsächlichen Angriffsfläche, einschließlich der Abhängigkeiten direkter Dienstleister. NIS2 und DORA tragen dazu bei, den europäischen Rahmen in Richtung eines dynamischeren Third-Party-Risk-Managements zu entwickeln. Ihre Anwendung beseitigt jedoch nicht automatisch Lücken in internen Prozessen.

Boris Cipot, Principal Security Engineer bei Black Duck, weist darauf hin, dass das Bestehen anfänglicher Compliance-Prüfungen einen späteren Angriff auf einen Dienstleister nicht verhindert. Eine Prüfung vor Vertragsabschluss kann daher nicht als dauerhafte Sicherheitsgarantie gelten.

Was das COPFS und die betroffenen Personen tun sollten

Bisher wurden keine Patches, Credential-Revozierungen, technischen Sperren oder sonstigen Eindämmungsmaßnahmen bekannt gegeben, die das COPFS oder der Dienstleister bereits umgesetzt haben. Der endgültige Umfang des Vorfalls ist weiterhin unklar.

Die betroffenen Organisationen sollten unterdessen:

• die betroffenen Beschäftigten über eine mögliche betrügerische Nutzung der Informationen informieren;
• die Überwachung von E-Mails an exponierte Beschäftigte verstärken;
• Authentifizierungskontrollen und Kontoschutz überprüfen;
• zusätzliche Kontrollen für ungewöhnliche Zugriffe und Versuche zur Abfrage von Zugangsdaten einrichten;
• auch gelegentlich genutzte Dienstleister neu bewerten, nicht nur strategische Anbieter;
• die Analyse auf technische Abhängigkeiten direkter Dienstleister ausweiten;
• regelmäßige Prüfungen durchführen und nicht nur beim Onboarding kontrollieren.

Beschäftigte sollten unerwarteten Anfragen zu Passwörtern, Dokumenten, Zahlungen oder dem Zugriff auf interne Portale misstrauen – selbst wenn der Absender scheinbar zu einer bekannten Abteilung gehört. Im Zweifel sollte die Anfrage über einen unabhängigen Kommunikationskanal verifiziert werden.

Priorität hat weiterhin die Klärung, ob weitere Einrichtungen des Data Maturity Programme betroffen sind und welche Daten tatsächlich kopiert wurden. Bis dahin ist die Zahl von rund 300 Beschäftigten lediglich eine Schätzung des bekannten Schadens und möglicherweise nicht die Obergrenze der Datenpanne.