Ein möglicher Ransomware-Datenklau beschäftigt derzeit das Vereinigte Königreich: Nach Angaben von Sicherheitskreisen versuchen Cyberkriminelle, das Department for Education (DfE) mit Erpressung unter Druck zu setzen. Im Mittelpunkt stehen kompromittierte Portale und die Behauptung, dass große Mengen an Datensätzen entwendet wurden.
Was genau passiert ist, welche Daten betroffen sein sollen und wie die britischen Behörden das Risiko bewerten, ordnet der folgende Überblick ein.
Welche Daten sollen gestohlen worden sein?
Die Angreifer geben an, mehr als 600.000 Dateneinträge erbeutet zu haben. Dabei nennt die Erpressungsseite offenbar eine hohe Zahl an „Stücken“ bzw. „Daten“, wie es in der Meldung heißt. Eine offizielle Sprecherin bzw. ein Sprecher des DfE stellt jedoch klar, dass es sich um Zeilen von Informationen handelt – nicht um die Anzahl der betroffenen Personen.
Zu den Angaben, die im Zusammenhang mit dem Vorfall kursieren, zählen unter anderem Namen, E-Mail-Adressen und Telefonnummern. Gleichzeitig betont das Ministerium, dass es sich um Daten mit Bezug zu Kontaktdiensten handelt.
Wichtig ist außerdem: Es gibt in der Darstellung keine Aussage der Täter, dass die Systeme verschlüsselt wurden. Damit steht weniger ein klassischer Verschlüsselungsangriff im Vordergrund, sondern die Drohung, Informationen offenzulegen.
Welche Portale wurden kompromittiert?
Nach Angaben des Department for Education sind zwei Portale betroffen gewesen:
- DfE Help Desk Self-Service Portal
- Turing Scheme Portal
Beide Angebote werden im Rahmen der Verwaltungs- und Unterstützungsprozesse genutzt. Laut Ministerium haben die Angreifer dort Zugriff erlangt, der jedoch – zumindest aus Sicht der Behörden – begrenzt sein soll.
Das DfE verweist darauf, dass die Behörden zügig reagiert und den Vorfall eingedämmt haben. Außerdem heißt es, dass die betroffenen Informationen auf Kontaktinformationen im Kundenservice für einzelne Personen sowie Organisationen beschränkt seien.
Erpressungsforderung und Täterbehauptung
Die Forderung kommt in Form einer typischen Erpressungslogik: Die Angreifer verlangen einen Ransom (Lösegeld), damit die angeblich gestohlenen Daten nicht veröffentlicht werden. In der Berichterstattung wird zudem eine Gruppe genannt, die sich ExfilSquad nennt.
Ob und in welchem Umfang tatsächlich Daten exfiltriert wurden, lässt sich aus der Zusammenfassung nicht vollständig verifizieren. Dennoch ist die Richtung klar: Die Täter setzen weniger auf eine technische Eskalation durch Verschlüsselung, sondern auf den Druck, der durch eine mögliche Veröffentlichung entsteht.
Bewertung des Risikos für Betroffene
Ein wesentliches Element der offiziellen Einordnung: Das DfE stuft das Risiko für Einzelpersonen derzeit als nicht hoch ein. Diese Aussage hängt eng damit zusammen, was nach Darstellung der Behörde tatsächlich betroffen ist.
In dem Statement wird betont, dass es sich um Kontakt- bzw. Servicedaten handelt und dass keine weiteren Datentypen in dem Umfang abgerufen worden seien, wie es von den Erpressern behauptet wird.
Für Betroffene ist vor allem relevant, dass in solchen Fällen häufig das Risiko für Phishing oder gezielte Kontaktversuche steigt, wenn E-Mail-Adressen oder Telefonnummern in fremde Hände geraten. Trotzdem wird hier von offizieller Stelle ausdrücklich eine geringe Gefährdungslage nahegelegt.
Zusätzlicher Vorfall: Police National Legal Database
Parallel zum Vorfall rund um das Bildungsressort gibt es eine weitere potenzielle Beeinträchtigung: die Police National Legal Database (PNLD). In der Berichterstattung ist von 135.000 Dateneinträgen die Rede, die möglicherweise Informationen enthalten, die zur Identifizierung von Namen, zuständigen Polizeikräften und dienstlichen E-Mail-Adressen beitragen.
Außerdem wird erwähnt, dass nicht nur Polizisten betroffen sein könnten, sondern auch weitere Personen im Umfeld des Strafjustizsystems. Gleichzeitig stellt der Text klar, dass die Daten keine geschützten Informationen enthalten, die im Kontext von Untersuchungen oder Zeugen besonders sensibel wären.
Das Home Office hat zu diesem Aspekt keine Stellungnahme abgegeben. Allerdings wird ein Vertreter des National Cyber Security Centre zitiert, der sagt, man unterstütze die Strafverfolgung im Umgang mit dem Ereignis rund um die PNLD.
Warum Großbritannien keine Lösegeldzahlungen vorsieht
Im Hintergrund steht eine politische und sicherheitstechnische Grundsatzentscheidung: Laut Bericht gilt als Regierungsrichtlinie, dass das Vereinigte Königreich keine Lösegeldzahlungen leistet. Ziel ist es, die Erpressungsökonomie nicht weiter zu befeuern.
Zusätzlich wird beschrieben, dass die Regierung – zumindest in Planungen – darauf hinwirken will, die Ransomware-Industrie auszutrocknen. Dazu sollte es für öffentliche Stellen und für Organisationen, die in kritischer nationaler Infrastruktur arbeiten, künftig rechtswidrig werden, Zahlungen als Reaktion auf Ransomware-Angriffe vorzunehmen. Der Hinweis lautet: Dies war im letzten Jahr ein Schritt vorwärts in Richtung „illegal“ – auch wenn es zum Zeitpunkt der Quelle noch nicht vollständig Gesetz war.
Trend bei Ransomware-Angriffen auf zentrale Behörden
Die Situation wird außerdem als zeitlicher Trend eingeordnet: Dem Bericht zufolge sind Ransomware-Angriffe auf die zentrale Regierung in den vergangenen Jahren weniger geworden. Eine Quelle ist die Datenlage eines Datenschutzregulators in Großbritannien.
Für 2023 werden 11 Vorfälle genannt. In den zwei folgenden Jahren seien es demnach nur vier gemeldete Fälle gewesen. Der Text ergänzt, dass neuere Daten noch nicht verfügbar sind.
Für die Praxis bedeutet das: Auch wenn die Zahl sinkt, sind Erpressungsversuche weiterhin ein realer Bestandteil der Bedrohungslage – insbesondere, wenn Erpressergruppen versuchen, über Veröffentlichung von Daten Druck aufzubauen.
Was das Department for Education konkret kommuniziert
Aus Sicht des Department for Education wird das Szenario in einem bestimmten Rahmen beschrieben: Laut Sprecherin bzw. Sprecher verfügt das Ministerium über robuste Prozesse zur Absicherung von Informationen und habe umgehend Maßnahmen zur Eindämmung ergriffen.
Außerdem stellt die Behörde heraus, dass die betroffenen Informationen auf Kontaktdaten im Servicekontext für einzelne Personen und Organisationen begrenzt seien. In der Meldung heißt es zudem, es sei kein anderer Zugriff auf zusätzliche Daten erfolgt.
Unabhängig von der offiziellen Bewertung bleibt jedoch relevant, dass selbst begrenzte Datensätze ausreichen können, um gezielte Betrugsversuche zu fördern – etwa über personalisierte Nachrichten, die auf erbeuteten Kontaktdaten basieren.
Fazit: Ransomware-Datenklau bleibt ein Risiko
Der geschilderte Ransomware-Datenklau zeigt, wie Cyberkriminelle auch ohne sichtbare Verschlüsselungserpressung Druck erzeugen können: Der Hebel liegt in der Drohung, Informationen zu veröffentlichen, kombiniert mit Lösegeldforderungen. Im Fall des Department for Education werden zwar Einschränkungen bei Art und Umfang der Daten betont und das Risiko als nicht hoch eingestuft, dennoch ist der Vorfall Teil einer breiteren Bedrohungslandschaft.
Zusätzlich unterstreicht die mögliche Betroffenheit der Police National Legal Database, dass Erpressungen Behörden auf unterschiedlichen Ebenen treffen können. Für Betroffene und Organisationen bleibt deshalb vor allem wichtig, wachsam zu bleiben – insbesondere gegenüber Kontaktanfragen, die auf erbeuteten Kontaktdaten beruhen könnten.
Quelle: https://therecord.media/united-kingdom-ransomware-education
