ICO rügt walisische Stellen nach Ransomware-Vorfall über Zugangsdaten eines veralteten Testkontos
Datensätze von 3.300 Personen wurden kompromittiert, nachdem Angreifer ein unüberwachtes, mit dem Passwort Password1 gesichertes Testkonto infiltriert hatten, wie die Information Commission am 20. Oktober 2026 mitteilte. Formelle Verweise ergingen infolge des Vorfalls an Ogi Networks Limited und die Local Government Data Unit Wales, bekannt als Data Cymru. Betroffen waren unter anderem Daten zu schutzbedürftigen Kindern und Programmen zur Familienunterstützung in ganz Wales.
Eindringlinge führten den Ransomware-Angriff am 1. November 2024 aus, verschlüsselten 182.7GB an Dateien und leiteten 42GB an Daten aus den Verarbeitungsumgebungen von Data Cymru aus. Für die Kompromittierung nutzten die Angreifer ein Altkonto namens Test2 aus, das über mehr als zwölf Jahre ohne Aktualisierung der Anmeldedaten oder routinemäßige Deaktivierungsprüfungen im Active Directory verblieben war.
Ermittler stellten fest, dass Ogi Networks Limited gegen die Artikel 32(1)(b) und 32(1)(d) der UK DSGVO verstieß, indem Vorgaben zur Passwortkomplexität missachtet und in Kundennetzwerken angelegte Konten nicht überprüft wurden. Lokale Administratorkonten auf drei separaten Systemen behielten über mehr als zwölf Jahre identische Passwörter bei. Data Cymru verletzte die Artikel 28(4), 32(1)(b) und 32(1)(d) der UK DSGVO durch den Betrieb ohne konforme Vereinbarung zur Auftragsverarbeitung für Unterauftragsverarbeiter sowie durch unregelmäßige Kontoprüfungen, die wesentliche Bereiche des Active Directory aussparten.
Beide Einrichtungen mussten im Rahmen von Abhilfemaßnahmen eine Multi-Faktor-Authentifizierung einführen und formelle Vertragsbedingungen festlegen, deren Umsetzung am 30. April 2025 abgeschlossen wurde. Die Durchsetzungsmaßnahme stützt sich auf die verwaltungsrechtlichen Aufsichtsbefugnisse, die im Rahmen des Data (Use and Access) Act 2025 auf das Gesamtkollegium der Information Commission übertragen wurden.
Veraltete Testkonten entgehen regelmäßig Zugriffskontrollen, wenn Organisationen die Infrastrukturverwaltung von der administrativen Kontrolle des Active Directory trennen.
Verweise der Information Commission gemäß den Artikeln 28(4), 32(1)(b) und 32(1)(d) der UK DSGVO
- Wen das bindet
- Verantwortliche und Auftragsverarbeiter mit Tätigkeiten im Vereinigten Königreich sind nach der UK DSGVO rechtlich verpflichtet, strenge technische Zugriffskontrollen und dokumentierte Verträge mit Unterauftragsverarbeitern vorzuhalten.
- Was sich geändert hat
- Die Information Commission bestätigte durch formelle Verweise, dass die Verwaltung externer Active-Directory-Umgebungen ohne formelle Bedingungen nach Artikel 28 oder ohne terminierte Verzeichnisprüfungen eine ahndbare Sicherheitsverletzung darstellt.
- Was zu prüfen ist
- Prüfen Sie alle Active-Directory-Instanzen auf vor 2018 erstellte Alttestkonten und stellen Sie sicher, dass für alle ausgelagerten Netzwerkadministrationsdienste Verträge mit Unterauftragsverarbeitern vorliegen.
- Was das nicht bedeutet
- Diese Entscheidung verpflichtet Verantwortliche nicht dazu, externe technische Administration einzustellen oder bestehende Beziehungen zu Unterauftragsverarbeitern zu beenden, die auf vollständig dokumentierten vertraglichen Grundlagen beruhen.
An Ihr Team weiterleiten
Die Information Commission hat Data Cymru und Ogi Networks Limited unter der UK DSGVO gerügt, nachdem ein zwölf Jahre altes Testkonto mit unzureichenden Zugangsdaten zu einer schweren Datenschutzverletzung führte.