Das PNLD-Leck sorgt in Großbritannien für ernsthafte Sicherheitsbedenken: Die Police National Legal Database (PNLD) hat bestätigt, dass Kontaktdaten von Polizei- und Regierungsstellen kompromittiert und im Dark Web veröffentlicht wurden. Betroffen waren unter anderem Namen und dienstliche E-Mail-Adressen von Polizeiangehörigen sowie weiteren Akteuren im Justizumfeld.
Inzwischen arbeitet PNLD an weiteren Abklärungen und hat bereits Behörden wie die zuständige Datenschutzaufsicht informiert. Gleichzeitig bleibt jedoch unklar, wie genau der Zugriff zustande kam und wie groß die betroffene Personenzahl am Ende tatsächlich ist.
Welche Daten wurden beim PNLD-Leck veröffentlicht?
PNLD berichtet, dass sowohl Polizei- als auch Regierungs- und Kundenkontaktdaten betroffen waren. Dazu gehörten insbesondere:
- Namen von Polizeiangehörigen, Polizeimitarbeitern und weiteren Fachkräften
- Organisationszugehörigkeit (z. B. Behörde oder Einrichtung)
- arbeitsbezogene E-Mail-Adressen
Die Daten sollen nicht nur Angehörige der Polizei enthalten haben, sondern auch Kriminaljustiz-Professionals sowie Regierungspartner und Kunden. Zusätzlich zeigt PNLD, dass auch Informationen zu Nutzern betroffen waren, die über „Ask the Police“ Fragen eingereicht hatten.
Warum das PNLD-Leck besonders für Phishing relevant ist
Für Betroffene ist nicht nur die bloße Veröffentlichung von Kontaktinformationen kritisch. Laut einer Einordnung der UK-Regierung kann die Offenlegung einzelner Namen und E-Mail-Adressen das Erstellen von Phishing-Nachrichten deutlich überzeugender machen.
Wenn Angreifer wissen, wie bestimmte Mitarbeitende heißen und wie sie erreichbar sind, können sie ihre Nachrichten stärker personalisieren. Das erhöht typischerweise die Wahrscheinlichkeit, dass Empfänger die Nachricht für legitim halten.
Keine Hinweise auf kompromittierte Passwörter
PNLD stellt zugleich klar: Es gibt keine Hinweise darauf, dass Passwörter oder andere Sicherheitsnachweise kompromittiert wurden. Das ist ein wichtiger Punkt, weil er die Art der möglichen Folgeangriffe beeinflusst.
PNLD beschreibt den betroffenen Dienst als System, das rechtliche Informationen, Produkte und Services für Polizeikräfte und Organisationen im Justizbereich bereitstellt. Dabei grenzt PNLD das Angebot deutlich ab.
Was PNLD ist – und was nicht
PNLD betont, dass die Datenbank nicht mit anderen bekannten Systemen verwechselt werden darf, etwa:
- dem Police National Computer
- dem Police National Database (im Sinne eines anderen Datenbestands)
Außerdem handelt es sich nicht um ein System zur Erfassung von Straftaten. Ebenso weist PNLD darauf hin, dass keine vertraulichen Informationen zu Opfern, Zeugen oder Beschuldigten in diesem Kontext vorliegen.
Welche Schritte unternimmt PNLD nach dem Vorfall?
PNLD erklärt, alle betroffenen Organisationen kontaktiert und ihnen weitere Informationen sowie konkrete Leitlinien bereitgestellt zu haben. Nutzer von „Ask the Police“ hätten ebenfalls eine E-Mail mit zusätzlichen Hinweisen erhalten.
Darüber hinaus habe PNLD die Information Commissioner’s Office (ICO) benachrichtigt. Zudem arbeitet PNLD mit der National Crime Agency (NCA) und spezialisierten Cybersecurity-Organisationen zusammen.
Wie viele Menschen betroffen waren bleibt vorerst unklar
Stand 3. August 2026 hat PNLD noch keine öffentlichen Zahlen zur Anzahl der betroffenen Personen veröffentlicht. Ebenso fehlt eine klare Darstellung zu:
- dem exakten Beginn des unautorisierten Zugriffs
- der Dauer, in der Zugriff möglich war
- dem Umfang der veröffentlichten bzw. entnommenen Informationen
Die bislang öffentlich genannte Zahl bezieht sich zudem nicht auf Opfer, sondern auf die Nutzerbasis bzw. Registrierungen. In PNLDs jährlicher Zusammenfassung wurde eine Größenordnung von 108.429 Polizei-Registrierungen genannt, verbunden mit der Unterstützung für alle 43 Home-Office-Polizeikräfte.
Einordnung zur vermuteten Technik: Microsoft Power Platform
In früheren Zusammenfassungen gab PNLD an, dass die Datenbank auf Microsoft Power Platform-Technologie aufsetzt. Eine weitere Bestätigung kam über den Bezug auf Hosting-Ressourcen, die im Zusammenhang mit der Leck-Meldeseite standen.
Die Berichterstattung legt nahe, dass die betroffene Seite auf Ressourcen in der Domäne content.powerapps.com verwies. Das stützt zwar den Zusammenhang mit der Plattform, liefert aber keinen direkten Beleg dafür, wie die Angreifer an die Daten gelangt sind.
Power Pages als mögliche Ursache – aber noch nicht belegt
Unabhängige Analyseaspekte wurden ebenfalls diskutiert. Laut den Auswertungen von VenariX zeigten Datensatzstrukturen in mehreren Fällen eine Konsistenz, die zu Dataverse passt. Im „Houston“-Fall wurde zudem beschrieben, dass ein öffentlich zugängliches Portal auf Datensätze ohne Authentifizierung zugreifen konnte. Diese Muster sollen auch mit den Daten übereinstimmen, die in Zusammenhang mit der Leak-Gruppe genannt wurden.
Auf Basis dieser Beobachtungen sieht VenariX eine wahrscheinliche Kampagnen-Logik auf Power Pages-Ebene: Dabei könnte ein öffentlich zugängliches Portal, das Anonymous Users zulässt, Informationen aus Dataverse-Tabellen bereitgestellt haben.
Was die Microsoft-Dokumentation dazu nahelegt
Microsofts Dokumentation wird in der Einordnung so interpretiert: Wenn für eine Tabelle die Rolle „Anonymous Users“ mit Leserechten ausgestattet ist, könnte die Datenanzeige für jeden Besucher einer öffentlichen Seite möglich sein. Auch die Web-API-Logik wird mit Blick auf Tabellenberechtigungen erwähnt, sodass die Schnittstelle Inhalte grundsätzlich im Rahmen der Webrollen-Regeln liefert.
Wichtig ist jedoch: VenariX hält ausdrücklich fest, dass die vorliegenden Belege zum Zeitpunkt der Veröffentlichung noch nicht bestätigen, dass jede Organisation über exakt dasselbe Muster betroffen war. Ebenso wurden bislang keine klaren PNLD-spezifischen Details wie ein eindeutiger Endpunkt, eine konkrete Berechtigungseinstellung oder eine spezifische API-Route identifiziert.
Damit bleibt der Power-Pages-Link zunächst eine Hypothese, die noch gezielt geprüft werden muss.
Was Betreiber jetzt prüfen sollten
Als konkrete Empfehlung für Betreiber von Power-Pages-Setups nennt VenariX unter anderem folgende Prüfungen:
- Anonymous-Users-Berechtigungen auf Tabellenebene
- Einstellungen zur Web API
- Kontrolle von legacy OData feed-Konfigurationen
- Validierung des Datenzugriffs aus einer ungestützten Browsersitzung ohne Anmeldung
Diese Maßnahmen sollen das Konfigurationsmuster adressieren, das in den beobachteten Fällen zu passen scheint. Gleichzeitig gilt: Da nicht jedes Detail als PNLD-Ursache endgültig belegt ist, sind weitere technische Untersuchungen erforderlich.
Keine Bestätigung, keine Beweise für Ransomware oder Malware
Die Leak-Site der Gruppe ExfilSquad soll PNLD bereits am 26. Juli aufgeführt haben. PNLD selbst ordnet den Vorfall jedoch keiner bestimmten Gruppe öffentlich zu.
Außerdem fanden die untersuchten Kampagnenmaterialien nach den vorliegenden Auswertungen keine Hinweise auf Ransomware, den Einsatz von Malware, seitliche Bewegungen im Netzwerk („lateral movement“) oder eine Ausnutzung einer Software-Sicherheitslücke im untersuchten Material.
Fazit: PNLD-Leck zeigt Risiko öffentlich erreichbarer Daten
Das PNLD-Leck verdeutlicht, wie schnell vertrauliche oder personenbezogene Kontaktdaten auch dann in die falschen Hände geraten können, wenn keine klassischen „Passwort-Leaks“ nachgewiesen werden. Besonders die Offenlegung von Namen und arbeitsbezogenen E-Mail-Adressen kann Angriffe wie zielgerichtetes Phishing erleichtern.
Während PNLD die Meldung und Benachrichtigungen fortsetzt und externe Stellen einbindet, bleibt die konkrete Zugriffsroute weiterhin ein offenes Thema. Die technische Einordnung rund um Microsoft Power Platform und mögliche öffentliche Portal-Mechanismen liefert zwar Anhaltspunkte, aber noch keine endgültige Bestätigung. Für Organisationen bedeutet das: Berechtigungen für anonyme Rollen, API- und OData-Einstellungen sowie öffentlich zugängliche Portale sollten konsequent überprüft und mit Authentifizierungsfreiheit getestet werden.
Quelle: https://thehackernews.com/2026/08/pnld-breach-exposes-uk-police-and.html
