ANALYSEN
Drei Londoner Bezirke, ein Angriff: das Risiko gemeinsam genutzter Dienste
Am 24. November 2025 führte ein Angriff auf die gemeinsam genutzten IT-Systeme von Kensington and Chelsea, Westminster sowie Hammersmith and Fulham zu Datendiebstahl und Diensten, die acht Monate später noch ausfielen. Die Analyse: eine Infrastruktur für mehrere Versicherte, der öffentliche Sektor als Risiko mit langem Nachlauf und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats November 2025 · von cybercoverinsurance
Am 24. November 2025 traf ein Cyberangriff die gemeinsam genutzten IT-Systeme von drei Londoner Bezirksverwaltungen: Kensington and Chelsea, Westminster sowie Hammersmith and Fulham. Telefonleitungen, Websites und Online-Dienste fielen aus, die Verwaltungen aktivierten ihre Notfallpläne, und am 1. Dezember bestätigte Kensington and Chelsea einen Datendiebstahl. Einige Dienste für die Einwohner waren im Juli 2026 noch nicht verfügbar.
Für Cyber-Risikoträger geht es in dem Fall um gemeinsam genutzte Dienste: eine gemeinsame Infrastruktur, aus Kostengründen gewählt, die mehrere Stellen an denselben Vorfall bindet. Das Thema gilt für den öffentlichen Sektor, aber auch für Konzerne, Konsortien und Unternehmensnetzwerke, die Systeme teilen.
Was bekannt ist
Der Angriff. Kensington and Chelsea und Westminster teilen IT-Dienste über gemeinsame Vereinbarungen, und auch Hammersmith and Fulham nutzt dieselben Dienste. Am 24. November erhielt die Metropolitan Police einen Hinweis auf einen mutmaßlichen Angriff. Die Verwaltungen aktivierten Kontinuitäts- und Notfallpläne und gaben den schutzbedürftigsten Einwohnern Vorrang. Das National Cyber Security Centre unterstützte die Isolierung und Wiederherstellung der Systeme (The Register).
Die Daten. Am 1. Dezember erklärte Kensington and Chelsea, Belege dafür zu haben, dass einige Daten abgeflossen waren, vermutlich historische Daten, und warnte, dass sie öffentlich werden könnten. Wer Leistungen wie Parkausweise gekauft hatte, sollte Karten und Konten prüfen. Westminster erklärte, die vollständige Wiederherstellung werde mehrere Wochen dauern. Hammersmith and Fulham isolierte sein Netz und erklärte, keine Belege für eine Kompromittierung der eigenen Systeme zu haben. Die National Crime Agency und die Datenschutzbehörde wurden eingeschaltet (Fitzrovia News).
Die Prüfung. In seinem im Oktober 2026 veröffentlichten Jahresbericht nannte der Prüfer Grant Thornton einen erfolgreichen Phishing-Angriff als Ursache und stellte erhebliche Governance-Schwächen fest. Einige Dienste für die Einwohner waren im Juli 2026 noch außer Betrieb. Die Trennung der Systeme führte zu Rückständen und verringerte die Einnahmen aus Zahlungen der Einwohner. Der Prüfer empfahl einen kalkulierten und priorisierten Plan zur Modernisierung der Systeme, gleiches Gewicht für Prävention und Reaktion sowie mehr Schulungen gegen Phishing (Local Government Lawyer).
Was nicht bekannt ist. Die Kosten des Angriffs, ein etwaiger Versicherungsschutz und die Zahl der Einwohner, deren Daten abgeflossen sind, wurden nicht veröffentlicht. Der Täter ist öffentlich nicht identifiziert.
Eine Infrastruktur, drei Versicherte
Einsparungen schaffen Abhängigkeit. Gemeinsam genutzte Dienste senken die IT-Kosten öffentlicher Stellen. Ein Vorfall in einer gemeinsamen Infrastruktur trifft aber alle Stellen, die sie nutzen. Für Risikoträger sind drei Verwaltungen mit gemeinsamer IT nicht drei unabhängige Risiken.
Schnelles Isolieren verringert den Schaden. Hammersmith and Fulham isolierte sein Netz und fand keine Belege für eine Kompromittierung der eigenen Systeme (Fitzrovia News). Die Fähigkeit, sich schnell von einer gemeinsamen Infrastruktur zu trennen, ist die Kontrolle, die eine getroffene Stelle von einer vorsorglich gestoppten unterscheidet.
Wer ist der Versicherte, wenn die Systeme allen gehören? Bei einem gemeinsam genutzten Dienst hat die Frage, wer die Systeme betreibt, wer haftet und welche Police zahlt, keine offensichtliche Antwort. Vereinbarungen zwischen den Stellen sollten das vor dem Vorfall regeln, nicht danach.
Der öffentliche Sektor als Risiko mit langem Nachlauf
Acht Monate bis zur Normalität. Einige Dienste waren im Juli 2026 noch außer Betrieb (Local Government Lawyer). Für eine Kommune ist der Schaden nicht nur der technische Aufwand, sondern auch Rückstände, Ersatzdienste und entgangene Einnahmen. Die übliche Haftzeit einer Police kann kürzer sein als die tatsächliche Erholung.
Alte Systeme, langsame Erholung. Der Prüfer verknüpfte die Dauer der Erholung mit der Notwendigkeit, die IT der Verwaltung zu stärken (Local Government Lawyer). Für Risikoträger ist veraltete IT ein Indikator für die Dauer eines Schadens, nicht nur für seine Wahrscheinlichkeit.
Phishing bleibt das Einfallstor. Als Ursache wird ein erfolgreicher Phishing-Angriff genannt. Die Empfehlungen des Prüfers setzen auf Schulungen. Für den Fragebogen ist nicht entscheidend, ob es Schulungen gibt, sondern wie häufig sie stattfinden, wie viele sie abschließen und ob es Simulationen gibt.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererMittel
Ein erfolgreicher Phishing-Angriff auf eine gemeinsam genutzte IT-Infrastruktur traf drei Londoner Bezirksverwaltungen, mit Datendiebstahl und Diensten, die acht Monate später noch ausfielen.
Auf Portfolioebene legt der Fall nahe, Stellen mit gemeinsam genutzten IT-Diensten für Kumulzwecke als ein einziges Risiko zu behandeln. Dasselbe gilt für Konzerne und Unternehmensnetzwerke mit gemeinsamen Systemen: Die Zahl der Versicherten sagt nicht, wie viele unterschiedliche Infrastrukturen es tatsächlich gibt.