Datenleck bei juristischer Polizeidatenbank in Grossbritannien trifft 135.000 Datensätze
Ein juristischer Auskunftsdienst, den jede Polizeibehörde in England und Wales nutzt, hat bestätigt, dass seine Datensätze gestohlen und auf einer Leak-Seite im Darknet veröffentlicht wurden. Die Police National Legal Database enthält weder Fallakten noch Vorstrafen, dennoch sind rund 135.000 Datensätze betroffen. Und darunter sind ganz normale Bürger, deren einziges Versäumnis darin bestand, der Polizei eine Frage zu stellen.
Was tatsächlich abgeflossen ist
Die Police National Legal Database, kurz PNLD, wird von der Polizei West Yorkshire betrieben und dient als juristische Wissensbasis für Polizeikräfte und Justizmitarbeiter im gesamten Vereinigten Königreich. Der Einbruch wurde am 26. Juli 2026 entdeckt, anschließend stellte eine Gruppe namens ExfilSquad Auszüge auf ihrer Leak-Seite ein. Öffentlich bestätigt hat PNLD den Diebstahl am 3. August.
- 114.000 Datensätze: Abonnentenkonten von Polizeibeamten und weiteren Fachkräften der Strafjustiz.
- 21.000 Datensätze: Namen und E-Mail-Adressen von Menschen, die Ask the Police genutzt haben, den öffentlichen Dienst, über den jeder der Polizei eine Frage stellen kann.
- 1,9 GB: das Volumen, das ExfilSquad für sich reklamiert und als etwa 135.000 Kontakte beschreibt.
- Die Felder: vollständige Namen, dienstliche E-Mail-Adressen und die Organisation, bei der die Person arbeitet.
Wer in der Datei steht
Weil PNLD die gesamte Strafjustiz bedient und nicht eine einzelne Behörde, ist der Kreis der Betroffenen ungewöhnlich breit. Berichten zufolge sind alle 43 dem Innenministerium unterstellten Polizeibehörden in England und Wales betroffen, dazu die British Transport Police. Einzelne Datensätze reichen bis in das Verteidigungsministerium, das Innenministerium, die Crown Prosecution Service und die National Crime Agency.
Die Ermittlungen führt die North East Regional Organised Crime Unit mit Unterstützung spezialisierter Cybersicherheitsfirmen und eben jener National Crime Agency, was eine unangenehme Konstellation ergibt: Mitarbeiter der Agentur finden sich selbst unter den veröffentlichten Daten. Die Datenschutzbehörde ICO wurde informiert.
Was nicht abgeflossen ist, und warum das zählt
Genauigkeit schneidet bei Leaks in beide Richtungen, und einiges blieb unberührt. PNLD erklärt, es gebe keine Hinweise darauf, dass Passwörter oder andere Sicherheitsanmeldedaten kompromittiert wurden. Vertrauliche Informationen zu Opfern, Zeugen oder Straftätern waren nicht betroffen, weil die Datenbank solches Material gar nicht führt. Eine Lösegeldforderung ging nicht ein, was für sich genommen bemerkenswert ist und eher auf eine Gruppe hindeutet, der an Reputation oder Weiterverkauf gelegen ist als an Erpressung.
Warum ein Verzeichnis dienstlicher Polizeiadressen etwas wert ist
Gestohlene Verbraucherdatenbanken werden üblicherweise in der Masse zu Geld gemacht. Ein Verzeichnis von Justizmitarbeitern funktioniert anders: Es ist klein, geprüft und konkret. Es zeigt, wer wo arbeitet, es überlebt jede Passwortänderung, und es bleibt jahrelang brauchbar, weil sich dienstliche Adressen und Arbeitgeber nur langsam ändern. Wer Social Engineering gegen eine Behörde vorbereitet oder schlicht Beamte identifizieren will, für den ist diese Struktur mehr wert als ein weit größerer Datensatz mit Shop-Konten.
Es gibt hier eine zweite Gruppe, über die deutlich weniger gesprochen wird. Ask the Police existiert genau dafür, dass jemand nach seinen Rechten, einem Streitfall oder einem Vorfall fragen kann, ohne eine Wache zu betreten. Wer den Dienst genutzt hat, durfte vernünftigerweise annehmen, dass die Frage zwischen ihm und dem Dienst bleibt. Nun liegen die Adressen dieser Menschen in derselben Datei wie die der Beamten.
Was Einzelne dagegen tun können und was nicht
Das Unangenehme ist, wie wenig hier in der Hand der Betroffenen lag. Niemand hat sich entschieden, in PNLD zu landen: Beamte wurden von ihrem Dienstherrn eingetragen, und die Öffentlichkeit nutzte einen Dienst, den die Polizei selbst anbietet. Es gab keine Privatsphäre-Einstellung zum Nachschärfen, kein Konto, das man vorsorglich hätte löschen können, und keine Möglichkeit zu prüfen, wie die Daten gehalten werden.
Genau dort verläuft auch die Grenze dessen, was ein Netzwerkwerkzeug leisten kann. Eine verschlüsselte Verbindung schützt das, was zwischen Gerät und Dienst unterwegs ist, und ändert nichts an einer Datenbank, in der Name und Arbeitgeber bereits stehen. Die praktische Antwort auf einen solchen Vorfall besteht deshalb darin, auf gezieltes Phishing zu achten und unerwartete dienstliche Post mit Misstrauen zu behandeln, statt zu einem technischen Mittel zu greifen, das hier nicht greift.
