Zusammenfassung

  • Sichere Kopien der digitalen Bestände waren vorhanden. Zerstörte Server und nicht ohne Weiteres wiederherstellbare Altsoftware verhinderten jedoch eine einfache Rückkehr zum Betrieb.
  • ICO beschloss im April 2025, die Untersuchung nicht weiterzuführen. Interne Prüfungen belegten Verbesserungen bei der Bereitstellung von Materialien, nicht die Widerstandsfähigkeit sämtlicher erneuerten Systeme.

Die Lesesäle waren offen. Die Dateien waren gesichert. Trotzdem konnten Forschende nach dem Cyberangriff auf die British Library viele Dienste nicht wie gewohnt nutzen. Wer ein Dokument braucht, hat wenig von der Gewissheit, dass irgendwo eine unversehrte Kopie liegt, wenn der Weg dorthin nicht funktioniert.

Der Angriff wurde am 28. Oktober 2023 entdeckt. Er verschlüsselte oder zerstörte Server, verschonte aber sichere Kopien der digitalen Sammlungen und ihrer beschreibenden Daten. Das bewahrte eine Grundlage der Bibliothek. Es brachte den Betrieb nicht zurück.

Denn einige alte Programme ließen sich nicht mehr so installieren wie zuvor. Ihre Hersteller unterstützten sie nicht länger, oder sie liefen nicht in der neuen sicheren Umgebung. Die Bibliothek hatte die Daten, musste aber erst wieder die Mittel schaffen, sie zu benutzen.

Vom Suchtreffer bis zum Lesesaal

Am 15. Januar 2024 wurde ein durchsuchbarer Katalog wieder verfügbar. Was wie eine Rückkehr zur Normalität aussehen konnte, war nur ein Schritt. Auf eine Suche folgen Bestellung, Bearbeitung und Bereitstellung. Fehlt eine Anwendung oder ein funktionierender Arbeitsablauf, endet der Weg vor dem Dokument.

Der eigene Vorfallsbericht der Bibliothek vom 8. März 2024, erarbeitet mit fachlichen Beratern, beschreibt diese Einschränkungen. Gebäude und Lesesäle blieben zugänglich, Ausstellungen und Veranstaltungen liefen weiter. Gerade das machte die Lage so widersprüchlich: Ein Besuch war möglich, viele Forschungsdienste blieben dennoch eingeschränkt.

Die Beschäftigten mussten nach dem Ausfall des Bibliotheksmanagementsystems zunächst mit manuellen Verfahren dafür sorgen, dass Materialien zu den Lesern kamen. Später halfen eine Anwendung und digitale Formulare. Dieser unscheinbare Wechsel wurde tatsächlich geprüft.

Ein kleinerer Befund, auf den sich aufbauen lässt

Die Seiten 75 und 76 des Jahresberichts 2024/25 halten den Unterschied fest. Die erste Prüfung des manuellen Verfahrens ergab eine teilweise Zusicherung mit Verbesserungsbedarf. Nach Einführung der Anwendung und Formulare im September 2024 prüfte die interne Revision deren Gestaltung und Betrieb erneut. Nun lautete das Ergebnis: weitgehende Zusicherung, mit kleineren Verbesserungsmöglichkeiten.

Die bürokratischen Begriffe beschreiben etwas Greifbares: Der Ablauf, der Materialien zu Lesern bringen sollte, war besser abgesichert. Es war weiterhin eine Übergangslösung bis zum neuen Bibliotheksmanagementsystem. Über die Sicherheit aller übrigen Systeme sagte diese Prüfung nichts aus.

Auch der Jahresbericht gab kein pauschales Entwarnungssignal. Das Gesamturteil über Governance, Risikomanagement und Kontrollen blieb bei teilweiser Zusicherung mit Verbesserungsbedarf. Vier grundlegende Einzelprüfungen fielen dagegen besser aus. Es gab also belegte Fortschritte, ohne dass damit jede offene Aufgabe erledigt war.

Die Aufsicht prüft eine andere Frage

Der Vorfallsbericht legt auch eine Lücke bei der Mehrfaktor-Authentifizierung offen. Sie war für Cloud-Anwendungen eingeführt worden, nicht aber für Zugriffe auf die Domäne und lokale Server; dort wartete man auf die Erneuerung der Infrastruktur. Der genaue erste Eintrittspunkt des Angriffs ließ sich nicht abschließend feststellen.

ICO erklärte später, die fehlende Mehrfaktor-Authentifizierung eines Administratorkontos habe den Angriff verschärft. In der Mitteilung vom 30. April 2025 begründete die Aufsicht den Verzicht auf weitere Ermittlungen mit ihren damaligen Prioritäten und dem wirksamen Einsatz ihrer Ressourcen. Sie würdigte die Offenheit der Bibliothek und erteilte Hinweise.

Das war nicht die formelle Rüge vom Juli 2024, die eine frühere Fassung dieses Artikels behauptet hatte. Ebenso wenig war es ein Belastbarkeitstest für die neuen Systeme. Eine Entscheidung über Ermittlungen beantwortet nicht die Frage, wie zuverlässig eine Dienstleistung nach einem erneuten Ausfall zurückkehren würde.

Was bei den Lesern ankommt

Der Jahresbericht nennt wieder verfügbaren Zugang zu physischen Beständen und Bestellungen aus der Ferne, aber auch Rückstände bei der Katalogisierung und Lücken in der digitalen Sammlungstätigkeit. Das betrifft den Berichtszeitraum 2024/25. Es ist keine aktuelle Prüfung sämtlicher Angebote im Oktober 2026. Auch der Branchenbericht vom September 2026 macht ältere Angaben durch erneutes Zitieren nicht zu Echtzeitdaten.

Am 22. September gab die Bibliothek Paul Bate als künftigen Chief Executive bekannt. Sein Amtsantritt ist für den 4. November 2026 vorgesehen und lag bei Veröffentlichung dieses Artikels noch in der Zukunft. Die Übergabe bietet einen Anlass, nach verfügbaren Diensten, verbleibenden Übergangslösungen und durchgeführten Tests zu fragen. Sie ersetzt keine dieser Auskünfte.

Für Nutzer der British Library Nur für den Strategischen Kreis zählt, ob sich ein Vorhaben wieder fortsetzen lässt: einen Text nachlesen, eine Quelle prüfen, Material vergleichen. Dafür müssen sie weder den Namen der neuen Software kennen noch ein Prüfungsurteil auslegen. Sie brauchen den ganzen Weg zum Dokument. Genau daran sollte sich die Erklärung des Wiederaufbaus orientieren.

Korrektur vom 20. Oktober 2026: Die Behauptung einer formellen ICO-Rüge im Juli 2024 sowie ein sachfremder parlamentarischer Verweis wurden zurückgezogen. Der Vorfallsbericht erschien im März, nicht im Juni 2024. Die unbestätigte Angabe von sieben Millionen Pfund wurde entfernt. Die Darstellung berücksichtigt nun die veröffentlichten Prüfungen einzelner Wiederherstellungsmaßnahmen.