Datenpanne bei der UK Legal Aid Agency: Was der Angriff über unsere eigene Datensicherheit verrät

Einleitung: Ein Archiv aus 47 Jahren – in den Händen von Angreifern

Ein Cyberangriff, der Akten aus dem Jahr 1978 kompromittiert – das klingt zunächst nach einem britischen Problem. Doch der Fall der Legal Aid Agency (LAA), einer Behörde des britischen Justizministeriums, ist ein Warnsignal, das IT-Verantwortliche und Geschäftsführer in Deutschland sehr ernst nehmen sollten.

Im April 2025 drangen unbekannte Angreifer in die IT-Systeme der LAA ein. Was zunächst wie ein überschaubarer Vorfall wirkte, entpuppte sich als eine der gravierendsten Datenpannen im britischen öffentlichen Sektor: Gestohlene Datensätze reichen bis ins Jahr 1978 zurück – fast fünf Jahrzehnte sensibler personenbezogener Daten von Personen, die staatliche Rechtshilfe in Anspruch genommen haben. Darunter: Angaben zu strafrechtlichen Verfahren, Finanzdaten, persönliche Identifikationsinformationen.

Warum sollte das deutsche Unternehmen und Behörden interessieren? Weil dieser Angriff exemplarisch zeigt, was passiert, wenn Legacy-Systeme, unzureichendes Datenhaltungsmanagement und mangelnde Netzwerksegmentierung zusammentreffen. Und weil die NIS2-Richtlinie, die in Deutschland durch die Novellierung des BSI-Gesetzes (BSIG) umgesetzt wird, genau diese Schwachstellen adressiert.

Technischer Hintergrund: Wie solche Angriffe funktionieren

Auch wenn zum Zeitpunkt der Veröffentlichung noch nicht alle technischen Details des LAA-Angriffs öffentlich bekannt sind, lässt sich auf Basis bekannter Angriffsmuster ein klares Bild zeichnen.

Das Einfallstor: Oft älter als gedacht

Behörden und große Organisationen betreiben häufig sogenannte Legacy-Systeme – IT-Infrastrukturen, die über Jahrzehnte gewachsen sind, selten vollständig dokumentiert wurden und für die oft keine aktuellen Sicherheits-Patches mehr verfügbar sind. Die LAA verwaltete Datensätze aus fast 50 Jahren. Das legt nahe, dass unterschiedliche Datenbankgenerationen im Einsatz waren, möglicherweise schlecht voneinander isoliert.

Typische Angriffsvektoren in solchen Szenarien:

• Credential Stuffing / Phishing: Angreifer stehlen zunächst Zugangsdaten, oft über gefälschte E-Mails oder durch den Kauf im Darknet
• Ausnutzung ungepatchter Schwachstellen: Ältere Systeme erhalten häufig keine Sicherheitsupdates mehr – ein leichtes Ziel
• Laterale Bewegung im Netzwerk: Hat ein Angreifer erst einmal Zugang zu einem System, bewegt er sich quer durch das Netzwerk, weil Segmentierung fehlt
• Exfiltration über längere Zeiträume: Datenabflüsse bleiben oft wochenlang unentdeckt, weil keine Anomalieerkennung implementiert ist

Die Kombination aus veralteter Infrastruktur, fehlender Mikrosegmentierung und mangelndem Monitoring ermöglichte es den Angreifern offenbar, auf einen enormen historischen Datenbestand zuzugreifen.

NIS2-Relevanz: Was das für Deutschland bedeutet

Der regulatorische Rahmen

Die NIS2-Richtlinie (EU 2022/2555) ist seit Oktober 2024 in deutsches Recht zu überführen. Das BSI-Gesetz (BSIG) in seiner novellierten Fassung legt für wesentliche und wichtige Einrichtungen umfangreiche Pflichten fest. Darunter fallen nicht nur Kritische Infrastrukturen (KRITIS), sondern auch mittelgroße Unternehmen in einer Vielzahl von Sektoren – von Gesundheit über Finanzen bis hin zu digitaler Infrastruktur und öffentlicher Verwaltung.

Was hätte ein solcher Vorfall in Deutschland ausgelöst?

Datenschutz und DSGVO

Parallel zur NIS2-Pflicht greift die DSGVO: Ein Datenverlust personenbezogener Daten muss der zuständigen Aufsichtsbehörde (in Deutschland: die jeweiligen Landesdatenschutzbeauftragten) innerhalb von 72 Stunden gemeldet werden. Bei Daten aus fast fünf Jahrzehnten wäre der Schaden für Betroffene immens – und die Bußgelder empfindlich.

Das Prinzip der Datensparsamkeit (Art. 5 DSGVO)

Der Fall LAA wirft eine unbequeme Frage auf: Warum wurden Daten aus dem Jahr 1978 überhaupt noch gespeichert? Das Prinzip der Datensparsamkeit und Speicherbegrenzung ist ein Kernelement der DSGVO. Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck notwendig ist. Wer dieses Prinzip konsequent umsetzt, minimiert automatisch den potenziellen Schaden eines Datenlecks.

Praktische Schutzmaßnahmen: Was Sie jetzt tun können

Hier sind sechs konkrete Maßnahmen, die IT-Verantwortliche und Geschäftsführer unmittelbar in Angriff nehmen sollten:

1. Datenhaltungskonzept entwickeln und durchsetzen

Führen Sie ein Verzeichnis aller Verarbeitungstätigkeiten (gemäß Art. 30 DSGVO) und definieren Sie für jeden Datensatz klare Löschfristen. Daten, die nicht mehr benötigt werden, sind kein Schatz – sie sind ein Risiko. Automatisierte Löschroutinen reduzieren den Angriffshorizont erheblich.

2. Legacy-Systeme inventarisieren und priorisieren

Erstellen Sie ein vollständiges IT-Inventar aller Systeme, insbesondere solcher, die nicht mehr aktiv weiterentwickelt werden. Definieren Sie einen Zeitplan für Migration oder Ablösung. Was nicht gepatcht werden kann, muss isoliert oder abgeschaltet werden.

3. Netzwerksegmentierung konsequent umsetzen

Historische Datenbestände dürfen nicht im selben Netzwerksegment erreichbar sein wie produktive Systeme oder Internet-exponierte Dienste. Eine konsequente Mikrosegmentierung verhindert, dass Angreifer nach einem ersten Zugang das gesamte Netzwerk traversieren können. Das BSI empfiehlt diesen Ansatz explizit im IT-Grundschutz-Kompendium.

4. Multi-Faktor-Authentifizierung (MFA) flächendeckend einführen

Der häufigste Einstiegspunkt für Angreifer sind kompromittierte Zugangsdaten. MFA macht gestohlene Passwörter allein wertlos. Implementieren Sie MFA nicht nur für externe Zugänge (VPN, Remote Desktop), sondern auch für interne Verwaltungssysteme und Datenbanken.

5. Security Monitoring und Anomalieerkennung aktivieren

Investieren Sie in ein SIEM-System (Security Information and Event Management) oder beauftragen Sie einen Managed Security Service Provider (MSSP). Dateiabflüsse, ungewöhnliche Zugriffszeiten oder massenhafte Datenbankabfragen müssen in Echtzeit erkannt werden – nicht erst Wochen später bei der forensischen Analyse.

6. Incident-Response-Plan testen und aktualisieren

Ein Notfallplan, der nie geprobt wurde, ist wertlos. Führen Sie mindestens einmal jährlich ein Tabletop-Exercise durch: Spielen Sie durch, wer im Ernstfall wen informiert, wann das BSI gemeldet wird und wie die interne Kommunikation läuft. Die NIS2-Meldepflichten setzen enge Zeitfenster voraus – wer dann erst überlegt, verliert kostbare Stunden.

Fazit: Der Fall LAA ist kein britisches Problem

Der Angriff auf die Legal Aid Agency zeigt mit erschreckender Deutlichkeit, was passiert, wenn gewachsene IT-Strukturen, fehlende Datenhygiene und unzureichende Sicherheitsarchitektur aufeinandertreffen. Für deutsche Unternehmen und Behörden ist dieser Fall keine abstrakte Bedrohung – es ist ein realistisches Szenario, das jederzeit eintreten kann.

Die gute Nachricht: NIS2 und DSGVO geben uns den Rahmen, um genau diese Risiken systematisch zu adressieren. Wer jetzt handelt, reduziert nicht nur sein rechtliches Risiko, sondern stärkt seine gesamte Organisation gegen eine wachsende Bedrohungslandschaft.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Umsetzung der NIS2-Anforderungen ist komplex – besonders wenn Datenhaltungskonzepte, Meldeprozesse und Risikomanagement gleichzeitig aufgebaut werden müssen. Spezialisierte NIS2-Compliance-Plattformen helfen dabei, Aufgaben zu strukturieren, Fristen zu verwalten, Meldewege zu dokumentieren und den Nachweis gegenüber Aufsichtsbehörden zu erbringen. Wenn Sie noch keinen systematischen Überblick über Ihren NIS2-Umsetzungsstand haben, ist jetzt der richtige Zeitpunkt, mit einer solchen Lösung zu starten – bevor der nächste Vorfall die Frage aufwirft, warum Sie es nicht längst getan haben.