Zusammenfassung

  • Laut der Aktualisierung vom 14. Oktober sind etwa 250.000 Datensätze der Legal Aid Agency im exfiltrierten Material vor 2007 entstanden; der älteste bisher verifizierte Datensatz stammt aus dem Jahr 1978.
  • Zum veröffentlichten Umfang gehören auch begrenzte Bewährungsdaten aus demselben Vorfall. Zeitraum und Zuständigkeitsbereich benennen jedoch nicht die Personen, deren Daten entwendet wurden.

1978 markiert die zeitliche Reichweite eines inzwischen verifizierten Belegs, keine Zahl betroffener Menschen. Das Ministry of Justice erklärt, die laufende Analyse habe rund 250.000 Datensätze der Legal Aid Agency aus der Zeit vor 2007 und einen Datensatz von 1978 ergeben. Der Angriff wurde am 23. April 2025 entdeckt; am 16. Mai stellte die Regierung fest, dass sein Umfang größer war als zunächst angenommen. Die Aktualisierung vom 14. Oktober 2026 ändert die öffentliche Beschreibung nach weiteren technischen und datenbezogenen Untersuchungen. Sie sagt weder, dass sämtliche Unterlagen dieser Jahre entwendet wurden, noch, dass alle damaligen Nutzer von Prozesskostenhilfe betroffen sind. Die schriftliche Erklärung an das Parlament und die öffentliche Aktualisierung ziehen diese Grenze ausdrücklich.

Ein Datensatz ist kein Mensch. Er kann eine Zahlung, ein Schreiben, einen Antrag oder ein Fragment aus einem Fallverwaltungssystem darstellen. Die Regierung sagt, dass die Informationen von Person zu Person variieren und keine vollständige Akte zu einem Fall der Prozesskostenhilfe betroffen war. In den veröffentlichten Tabellen stehen mögliche Angaben wie Name, Anschrift, Geburtsdatum, nationale Kennung, Finanzdaten oder Informationen zu einem Fall. Daraus folgt nicht, dass jede betroffene Person alle diese Felder hatte. Die archivierten FAQ zum Vorfall der Legal Aid Agency beschrieben zuvor den damals bekannten Zeitraum von 2007 bis zum 16. Mai 2025. Das war der damalige Erkenntnisstand, keine Zusage, dass niemals ältere Unterlagen auftauchen würden.

Die Aktualisierung verschiebt auch die Grenze zwischen Diensten in der öffentlichen Darstellung. Sie besagt, dass begrenzte Informationen des HM Prison and Probation Service, konkret Bewährungsdaten, im selben exfiltrierten Material enthalten waren. Die Erklärung nennt eine relativ kleine Gruppe von Personen, die zwischen 2010 und 2017 von den Probation Services betreut wurden; mehr als 99 Prozent dieses Teilbestands beziehen sich auf 2016 und 2017. Das belegt, dass solche Daten im aus Systemen der Legal Aid Agency entwendeten Material vorkamen. Es belegt keinen Einbruch in HMPPS-Systeme. Eine Personenzahl für diese Gruppe nennt die Regierung nicht. Die LAA-Aktualisierung hält fest, dass die beschriebenen HMPPS-Angaben keine Opfer von Straftaten betreffen.

Damit geht es um mehr als eine längere Zeitspanne. Das Ministry of Justice sagt, ein großer Teil der exfiltrierten Daten sei fragmentiert, unstrukturiert und unvollständig. Nach Darstellung der Regierung kann das die Identifizierung durch die Diebe erschweren. Zugleich folgt aus der Zugehörigkeit zu einer Gruppe oder einem Zeitraum nicht, dass eine bestimmte Person betroffen war. Die Regierung hat nach eigener Aussage keinen Hinweis, dass die entwendeten Daten veröffentlicht oder geteilt wurden. „Kein Hinweis“ beschreibt den aktuellen Kenntnisstand; es beweist nicht, dass die Daten nie weitergegeben werden.

Die Vorgeschichte der Kontrollen liefert eine zweite Zeitleiste. Im Juni erklärte die Regierung, digitale und Cyberrisiken der Legal Aid Agency und des Ministry of Justice stünden seit 2021 auf den Risikoregistern. Eine Bewertung für 2022/23 habe die LAA-Infrastruktur als komplexeste und fragilste des Ministeriums eingestuft. Dieselbe Antwort besagt, dass Investitionen von 10,5 Millionen Pfund im Haushaltsjahr 2024/25 Überwachung und Warnmeldungen ermöglichten, die nach Regierungsangaben zur rechtzeitigen Entdeckung des Angriffs beitrugen. Das Restrisiko durch Altsysteme sei dennoch hoch geblieben. Dies sind veröffentlichte Regierungsbewertungen, keine unabhängige Feststellung zur Ursache des Vorfalls. Die parlamentarische Antwort zu Erkennung und Systemrisiken beschreibt den Ablauf.

Zwei Finanzberichte zeigen, warum die Reichweite des Datenabflusses und die Wiederherstellung der Systeme getrennte Nachweise benötigen. Der Rechenschaftsbericht der Legal Aid Agency für 2024/25 hält fest, dass die frühere Einschätzung den Vorfall auf LAA-Systeme begrenzte und die Dienste auf Notfallverfahren angewiesen waren. Der später gefundene Bewährungsdatensatz betrifft Informationen im exfiltrierten Material; daraus folgt für sich genommen kein Einbruch in HMPPS-Systeme. Getrennt davon prüfte der Comptroller and Auditor General die Vorfallkontrollen, die Datenintegrität und Zahlungen in den Rechnungsabschlüssen des Ministry of Justice und fand keine wesentlichen Falschdarstellungen. Dieses Prüfungsergebnis betrifft die Finanzberichte. Es bestätigt nicht, dass jede Person identifiziert wurde, deren Daten entwendet wurden.

Der nächste aussagekräftige Wert

Die öffentliche Akte reicht nun über mehrere Jahrzehnte, doch die Regierung hat weder die Zahl betroffener Personen noch die Zahl identifizierter Personen oder einen Termin für den Abschluss der Einzelfallprüfungen veröffentlicht. Sie will Personen identifizieren, soweit die Datenlage es erlaubt. Dieser Vorbehalt ist entscheidend: Ein umfangreiches Datenverzeichnis wird nicht automatisch zu einer verlässlichen Benachrichtigungsliste. Der nächste Nachweis sollte erläutern, wie Datensätze Personen zugeordnet werden, wo die Zuordnung unsicher bleibt, welche Gruppen bereits kontaktiert wurden und wie offene Fälle erneut geprüft werden.