Hacker stehlen 740.000 Datensätze von Bildungsministerium und Polizei

Hacker haben am 29. Juli 2026 mehr als 740.000 sensible Datensätze aus dem Bildungsministerium (Department for Education, DfE) und einer Polizeidatenbank gestohlen. Der Vorfall legte Kontaktdaten von Eltern, Mitarbeitern, Regierungsbeamten, Schulleitern, Universitätsangestellten, Polizeibeamten und Bürgern offen.

Das Bildungsministerium verlor über 600.000 Datensätze aus seinem Helpdesk-Portal, darunter vollständige Namen, E-Mail-Adressen, Telefonnummern und Berufsbezeichnungen. Ein kleinerer Datensatz ähnlicher Daten wurde aus dem Turing-Portal des Ministeriums entwendet, das ein Auslandsstudienprogramm verwaltet. Die nationale Polizei-Rechtsdatenbank (Police National Legal Database, PNLD), die britischen Polizeikräften rechtliche Unterstützung bietet, hatte 135.000 Datensätze gestohlen, was Polizeibeamte, Mitarbeiter der Strafjustiz und einige Bürger betraf, die den Dienst „Ask the Police“ genutzt hatten.

Der Vorfall ist bedeutsam, da die persönlichen Daten für Phishing oder Betrug genutzt werden könnten, obwohl die Polizeidatenbank keine vertraulichen Informationen über Opfer, Zeugen oder Straftäter enthielt. Das Bildungsministerium erklärte, die Daten seien auf Kontaktdaten des Kundendienstes beschränkt gewesen und es seien keine weiteren Informationen abgerufen worden.

Eine bisher unbekannte Hackergruppe namens ExfilSquad bekannte sich zu dem Angriff und veröffentlichte laut Screenshots, die dem Guardian vorliegen, Proben auf einer Leak-Seite. Die Gruppe forderte eine nicht genannte Zahlung von 14 mutmaßlichen Opfern, darunter das DfE und eine britische Universität, und drohte andernfalls mit der Veröffentlichung aller Daten. Das Cybersicherheitsunternehmen Sophos erklärte, die Datenproben wirkten echt, und wies darauf hin, dass ein offenbar mit der Gruppe verbundener X-Account gesperrt worden sei, aber ein Bild eines Forschers zeigte, der zuvor von der Hackergruppe Com ins Visier genommen worden war.

Der Einbruch in die Polizei-Rechtsdatenbank umfasste auch gestohlene Passwörter, was Bedenken hinsichtlich der Wiederverwendung von Passwörtern in sensibleren Systemen aufkommen ließ. Ein mit dem Leck vertrauter hochrangiger Quelle zufolge sei das Risiko gering, aber es sei fraglich, ob Nutzer dieselben Zugangsdaten auch anderswo verwendeten. Die Datenbank wird von der Polizei von West Yorkshire betrieben und ist für Polizeikräfte in ganz England und Wales zugänglich.

Die Regierung arbeitet beim DfE-Hack mit dem National Cyber Security Centre und der National Crime Agency zusammen. Sowohl das DfE als auch die PNLD haben den Vorfall dem Information Commissioner’s Office gemeldet. Das DfE erklärte, man habe schnell gehandelt, um den Vorfall einzudämmen, und es wird davon ausgegangen, dass die Helpdesk-Daten aus separaten Sätzen bestehen, die nicht leicht miteinander verknüpft werden können.