ANALYSEN
Transport for London: was ein Angriff ohne Zugausfall Cyber-Risikoträgern zeigt
Zwischen dem 31. August und dem 3. September 2024 drang Scattered Spider in das Netz von Transport for London ein: 148 Systeme ausgefallen, 27.000 Passwörter persönlich zurückgesetzt, 29 Millionen Pfund Kosten. Die Analyse: Identität, öffentliche Dienste, Daten, Kumul und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats September 2024 · von cybercoverinsurance
Zwischen dem 31. August und dem 3. September 2024 drangen zwei junge Mitglieder der Gruppe Scattered Spider in das Netz von Transport for London (TfL) ein, der Behörde, die den öffentlichen Nahverkehr der britischen Hauptstadt betreibt. U-Bahn und Busse fuhren weiter. Doch 148 interne Systeme wurden unbrauchbar, 27.000 Beschäftigte mussten persönlich erscheinen, um ihr Passwort zurückzusetzen, und einige Dienste für die Bürger standen monatelang still. TfL bezifferte Verluste und Wiederherstellungskosten auf 29 Millionen Pfund.
Der Fall ist für Cyber-Risikoträger aus drei Gründen nützlich. Er zeigt, was es kostet, die digitale Identität einer ganzen Organisation neu aufzubauen. Er zeigt, wie weit die erste Schätzung der entwendeten Daten von der endgültigen abweichen kann. Und er zeigt den Abstand zwischen dem erlittenen und dem knapp vermiedenen Schaden: Nach Angaben der Anklage hätte ein Stillstand des Verkehrsnetzes die britische Wirtschaft bis zu 56 Milliarden Pfund kosten können.
Was bekannt ist
Der Angriff. Nach Angaben der National Crime Agency (NCA) wurde das Netz von TfL zwischen dem 31. August und dem 3. September 2024 kompromittiert. Die Täter sind Thalha Jubair aus London und Owen Flowers aus Walsall, die als führende Mitglieder von Scattered Spider gelten (NCA). Flowers wurde am 6. September 2024 ein erstes Mal festgenommen. Nach Angaben der britischen Staatsanwaltschaft griff er im selben Zeitraum zwei US-Gesundheitskonzerne an, SSM Health und Sutter Health (CPS).
Die betrieblichen Schäden. Die NCA nennt 148 unbrauchbar gewordene Systeme, mehrere davon wochenlang durch manuelle Verfahren ersetzt. Betroffen waren der Fahrdienst Dial-a-Ride für Menschen mit Behinderung, ermäßigte Fahrkarten, der digitale Zahlungskanal und die geplante Ausweitung des kontaktlosen Bezahlens. Das Erstattungssystem für Oyster-Karten wurde kompromittiert, das Antragssystem für Fotokarten für Jugendliche geschlossen. Um den Angriff einzudämmen, musste TfL Teile des eigenen Netzes abschalten (CPS).
Die Daten. Zunächst sprach TfL von Bankdaten von rund 5.000 Kunden im Zusammenhang mit Oyster-Erstattungen (The Register). Im März 2026 schätzte eine Recherche der BBC, dass bei rund 10 Millionen Menschen Namen, Adressen und Kontaktdaten entwendet wurden. TfL schrieb rund 7,1 Millionen Kunden an. Nach derselben Quelle schloss das Information Commissioner's Office den Fall im Februar 2025 ohne förmliche Maßnahmen (Tech Digest).
Das Verfahren. Jubair und Flowers wurden am 16. September 2025 erneut festgenommen, bekannten sich am 22. Juni 2026 schuldig und wurden am 16. Juli 2026 zu je fünf Jahren und sechs Monaten verurteilt. Die NCA bezeichnet es als das größte Strafverfahren wegen Computerkriminalität, das je vor ein britisches Gericht gebracht wurde. Der Verlust von 29 Millionen Pfund ist die von TfL genannte Zahl. Einige Artikel nennen 39 Millionen, ohne Primärquelle. Eine Aufschlüsselung der Kosten hat die NCA nicht veröffentlicht.
Was nicht bekannt ist. Weder die NCA noch die Staatsanwaltschaft haben angegeben, wie die Angreifer eindrangen. Die Gruppe ist für Social Engineering gegen Helpdesks bekannt, doch für TfL geht diese Verbindung aus den öffentlichen Unterlagen nicht hervor.
Identität als Wiederherstellungskosten
27.000 Passwörter persönlich zurückzusetzen ist ein Schadenposten, kein Detail. Hatte ein Angreifer Zugriff auf die Authentifizierungssysteme, muss bei der Wiederherstellung die Identität jedes Nutzers neu geprüft werden. TfL bestellte dafür alle Beschäftigten ins Büro. Das bedeutet verlorene Arbeitszeit, Logistikkosten und langsamere Dienste, über Wochen.
Policen decken die Wiederherstellung, aber die Definitionen muss man lesen. Deckungen für die Wiederherstellung von Daten und Systemen greifen in der Regel für die Kosten, die Systeme in den Zustand vor dem Angriff zurückzuversetzen. Die Zeit des eigenen Personals und manuelle Verfahren sind oft nur als Mehrkosten gedeckt, innerhalb von Sublimits. Für eine Organisation mit Zehntausenden Beschäftigten kann der Neuaufbau der Identitäten so viel kosten wie die forensische Untersuchung.
Verbesserungen sind keine Wiederherstellung. Eine Behörde, die nach dem Angriff eine stärkere Authentifizierung einführt, trägt Kosten, die viele Policen als Wertverbesserung ausschließen. Die Grenze zwischen Wiederherstellung und Verbesserung sollte vor dem Schadenfall geklärt sein.
Eine öffentliche Stelle verliert keinen Umsatz, sie verliert Dienste
Die klassische Betriebsunterbrechung misst wenig. TfL ließ Züge und Busse weiterfahren. Der Schaden lag woanders: verspätete Erstattungen, nicht ausgestellte Karten, blockierte Sozialdienste, ein verschobenes Projekt zur Ausweitung des kontaktlosen Bezahlens. Eine Deckung, die auf entgangenem Deckungsbeitrag beruht, erfasst diese Art von Schaden schlecht.
Die Mehrkosten sind der entscheidende Posten. Für öffentliche Stellen und gemeinnützige Organisationen ist der Schutz für zusätzliche Kosten zur Aufrechterhaltung der Dienste nützlich: zusätzliches Personal, manuelle Abläufe, Kommunikation mit den Bürgern. Underwriting-Fragen sollten klären, welche kritischen Dienste von Hand weiterlaufen können, wie lange und zu welchen Kosten.
Projektverzögerungen sind fast nie gedeckt. Die Verzögerung beim kontaktlosen Bezahlen ist ein realer Kostenfaktor für TfL, fällt aber selten unter eine Unterbrechungsdeckung. Dieser Schaden bleibt beim Versicherten.
Daten: Die erste Schätzung ist nicht die letzte
Von 5.000 auf 10 Millionen. Im September 2024 lag die öffentliche Zahl bei rund 5.000 Kunden mit Bankdaten. Achtzehn Monate später lag die Schätzung der Presse bei rund 10 Millionen Menschen mit Personen- und Kontaktdaten. Die beiden Zahlen messen Unterschiedliches, doch das Signal für Risikoträger ist klar: Die Reserve für einen Schaden mit Datendiebstahl sollte nicht auf Basis der ersten Pressemitteilung gebildet werden.
Millionen Menschen zu benachrichtigen hat messbare Kosten. TfL schrieb rund 7,1 Millionen Kunden an. Die Kosten für Benachrichtigungen, Hotlines und, falls angeboten, Überwachungsdienste steigen mit der Zahl der Betroffenen, nicht mit der Sensibilität der Daten. Eine Organisation mit vielen registrierten Kunden hat ein hohes Exponierungsniveau, auch wenn es nur um Stammdaten geht.
Die Aufsicht verhängt nicht immer Bußgelder. Dass die ICO den Fall nach Angaben von Tech Digest ohne förmliche Maßnahmen schloss, senkt das Bußgeldrisiko. Das Risiko von Kundenklagen, die im Vereinigten Königreich möglich bleiben, senkt es nicht.
Der vermiedene Schaden und der Kumul
56 Milliarden Pfund sind ein Szenario, kein Schaden. Die NCA gibt die Schätzung wieder, wonach ein Stillstand des Verkehrsnetzes die britische Wirtschaft bis zu 56 Milliarden Pfund hätte kosten können. In den von der Anklage zitierten Chats zwischen den beiden war davon die Rede, den Zugang zu den TfL-Systemen «zu vernichten» (CPS). So weit kam der Angriff nicht. Der Fall zeigt aber, wie nah ein systemisches Ereignis an einem gewöhnlichen kriminellen Eindringen liegen kann.
Der Kumul läuft über Versicherte, die von der Behörde abhängen. Ein längerer Stillstand des Nahverkehrs einer Hauptstadt würde Tausende Unternehmen treffen, ohne dass eines davon kompromittiert wäre. Deckungen für Rückwirkungsschäden umfassen meist benannte IT-Dienstleister, keine öffentlichen Dienste. Hier gehen realer wirtschaftlicher Schaden und versicherter Schaden weit auseinander.
Eine Gruppe, viele Branchen. Während er TfL angriff, arbeitete Flowers gegen zwei US-Gesundheitskonzerne (CPS). Dieselben Akteure treffen mit denselben Techniken binnen Tagen verschiedene Branchen. Für ein Portfolio läuft der Kumul nicht nur über gemeinsame Dienstleister, sondern auch über gemeinsame Angreifer.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Eine Organisation mit Millionen registrierter Kunden und Zehntausenden Beschäftigten summiert Wiederherstellungs-, Benachrichtigungs- und Mehrkosten für manuelle Dienste, auch ohne Umsatzverlust.
Auf Portfolioebene sind große öffentliche Stellen und Versorger Knotenpunkte, von denen viele andere Versicherte abhängen. Eine Karte dieser Abhängigkeiten, auch nur nach Branche und Region, hilft, das Schadenszenario abzuschätzen, das die NCA beschrieben hat und das 2024 nicht eingetreten ist.