Eine Überprüfung des Cyberangriffs auf die UK Legal Aid Agency hat den bekannten Umfang der gestohlenen Daten erweitert. Dabei wurden rund 250.000 Datensätze aus der Zeit vor 2007 identifiziert, und es wurde bestätigt, dass der früheste verifizierte Datensatz aus dem Jahr 1978 stammt.
Der Angriff ereignete sich im April 2025 und wurde im Mai 2025 öffentlich gemacht. Damals erklärte die Behörde, Angreifer hätten auf persönliche Daten von Personen zugegriffen und diese abgezogen, die seit 2010 über den Online-Dienst Prozesskostenhilfe (Legal Aid) beantragt hatten. Die neuere Bewertung verlängert den Haupt-Datenzeitraum bis zurück in den Januar 2007 und benennt ältere Datensätze außerhalb dieses Zeitraums.
Die Ergebnisse lassen nicht erkennen, wie viele Personen betroffen sind. Ein Datensatz entspricht nicht zwingend einer eindeutigen Person. Die LAA hat außerdem darauf hingewiesen, dass das Vorhandensein von Material aus der Zeit vor 2007 nicht bedeutet, dass alle, die vor diesem Jahr mit Prozesskostenhilfe oder dem Justizsystem zu tun hatten, betroffen waren.
Überprüfung zeigt einen deutlich längeren Datenzeitraum
Laut SecurityWeeks Bericht zum LAA-Update enthielt die kompromittierte Umgebung große Mengen fragmentierter, unvollständiger oder unstrukturierter Informationen, die auf mehrere Systeme verteilt waren. Dadurch fiel es den Ermittlern schwerer, genau festzustellen, was abgerufen und kopiert worden war.
Der Hauptdatensatz umfasst Anträge, Abrechnungen und Zahlungen, die von Januar 2007 bis zum 16. Mai 2025 eingereicht wurden, sowie Fälle, die in diesem Zeitraum noch offen waren, wie The Record berichtete.
Die Ermittler identifizierten außerdem rund 250.000 ältere Datensätze. Die LAA erklärte, dass die meisten aus den 1990er- und 2000er-Jahren stammen, während nur eine „verschwindend geringe Zahl“ vor 1990 entstanden sei. Der früheste bei der Überprüfung verifizierte Datensatz stammt aus dem Jahr 1978.
Ein separater Teil des kompromittierten Materials betrifft eine vergleichsweise kleine Zahl von Straftätern, die zwischen 2010 und 2017 aktiv von Probation Services betreut wurden. Gemeldete Felder umfassen Namen, Geburtsdaten, Staatsangehörigkeiten und Aktenzeichen.
Finanz-, Identitäts- und Falldaten waren betroffen
Die Daten, die Antragstellern und Empfängern von Prozesskostenhilfe zugeordnet werden, umfassen:
- Namen und Geburtsdaten;
- National-Insurance-Nummern (britische Sozialversicherungsnummern);
- Aktenzeichen;
- Beginn und Ende der Fälle;
- Art der Prozesskostenhilfe und Codes für die Gleichstellungsstatistik;
- Postleitzahlen, Adressen und Telefonnummern;
- geltend gemachte oder gezahlte Kosten und Mehrwertsteuer;
- Angaben, die im Client and Cost Management System eingetragen wurden;
- Finanzprüfungen zu Beschuldigten und deren Partnern;
- Bankkonto- und Immobilieninformationen;
- in einigen Fällen teilweise geschwärzte Zahlungskartendaten.
Die betroffenen Systeme enthielten außerdem Informationen über Praktiker der Prozesskostenhilfe, darunter Verträge, Zeitpläne, Bürostandorte, Zahlungsdaten und Zugangsdaten für Benutzerkonten.
Weitere Datensätze können Richter, Solicitors, Advocates, Staatsanwälte und Verteidiger, Gerichtsberichterstatter, Parteien in einigen Zivilverfahren sowie Verantwortliche von Zahlstellen identifizieren. Da diese Kategorien vorkommen, beschränken sich die Folgen nicht auf Personen, die Prozesskostenhilfe direkt beantragt haben.
Wohltätigkeitsorganisationen haben besonders darauf hingewiesen, dass das gestohlene Material sensible Informationen über Frauen und Mädchen enthalten könnte, die häusliche Gewalt überlebt haben. Dabei handelt es sich um ein von den Organisationen benanntes Risiko und nicht um eine bestätigte Erkenntnis über bestimmte Personen. Auch Informationen über Vorstrafen gehörten laut der Meldung vom Mai 2025 zu den Kategorien, die potenziell betroffen sein könnten.
Angreifer nutzten Schwachstellen in LAA-Systemen aus
Justizministerin Sarah Sackman erklärte dem Parlament, Kriminelle hätten Schwachstellen in der IT-Infrastruktur der LAA ausgenutzt, Systeme mit personenbezogenen Daten erreicht und anschließend einen Teil dieser Informationen kopiert und entfernt.
Die Beschreibung deutet darauf hin, dass der Angriff mehrere Systeme betraf und nicht nur eine einzelne Datenbank. Umfang und uneinheitliche Struktur der Informationen machen es erforderlich, dass spezialisierte technische und datenbezogene Teams rekonstruieren, was die Angreifer erlangt haben.
Die Angreifer behaupteten, Informationen über mehr als 2 Millionen Menschen zu besitzen, und drohten, sie zu veröffentlichen, sofern keine Zahlung erfolge. Diese Zahl bleibt eine Behauptung der Angreifer und keine verifizierte Zahl betroffener Personen. Die britische Regierung verfolgt die Linie, keine Erpressungszahlungen zu leisten.
Die LAA gibt an, keine Hinweise darauf gefunden zu haben, dass die gestohlenen Informationen öffentlich veröffentlicht oder verkauft wurden. Sackman erklärte dem Parlament ebenso, es gebe keine Anzeichen dafür, dass sie veröffentlicht oder weitergegeben wurden. Das weicht von der Einschätzung ab, die ein Sprecher des Ministeriums im Mai 2025 äußerte: Eine Veröffentlichung sei eine Frage von „wann, nicht ob“.
Authentifizierung und Kontrollen für Altsysteme verschärft
Das Justizministerium (Ministry of Justice) hat Authentifizierung und Zugriffskontrollen verstärkt, die Sicherheitsüberwachung ausgeweitet und begonnen, Altsysteme mit höherem Risiko außer Betrieb zu nehmen oder zu isolieren. Außerdem arbeitet es mit der National Crime Agency (NCA), dem National Cyber Security Centre (NCSC) und dem Information Commissioner’s Office (ICO) zusammen.
Für Personen, deren Identitäts-, Finanz- oder Falldaten betroffen sein könnten, kann die Kombination aus National-Insurance-Nummern, Kontaktdaten und Aktenzeichen täuschende Nachrichten glaubwürdig erscheinen lassen. Unaufgeforderte Mitteilungen, die echte Falldetails nennen, sollten daher über etablierte Kontaktwege überprüft werden und nicht über Links oder Telefonnummern, die in der Nachricht selbst stehen.
Praktiker, deren Zugangsdaten möglicherweise in den betroffenen Systemen gespeichert waren, sollten dieselben Passwörter nicht bei anderen Diensten verwenden und wiederverwendete Zugangsdaten ändern. Personen, deren Bankdaten oder teilweise geschwärzte Kartendaten betroffen waren, sollten außerdem auf unerwartete Transaktionen und verdächtige Anfragen achten, die sich auf Zahlungen oder Fälle der Prozesskostenhilfe beziehen.
