Capita: Sicherheitsvorfall
Outsourcing-Dienstleister spricht nach IT-Problemen von Cyberangriff.

Capita, ein britischer Outsourcing-Dienstleister, meldete, dass er am 31. März 2023 Opfer eines Cyberangriffs wurde, bei dem Unbefugte in interne Systeme einbrachen. Der Angriff hatte zur Folge, dass interne Microsoft Office 365-Anwendungen nicht benutzt werden konnten. Das Unternehmen betreut kritische Infrastrukturorganisationen im Vereinigten Königreich, darunter das britische Militär.

Capita hatte am 31. März 2023 zunächst geäußert, dass es sich bei dem Vorfall um ein IT-Problem handelt. Ein paar Tage später äußerte das Unternehmen, dass ein Cyberangriff für den Vorfall verantwortlich war. Der Angriff betraf demnach nur begrenzte Teile des Netzwerks (ca. 4 %) und Capita isolierte das Sicherheitsproblem umgehend. Die Untersuchung ergab keine Anhaltspunkte dafür, dass Kunden-, Lieferanten- oder Mitarbeiterdaten während des Eindringens in das Netzwerk gefährdet waren. Nur wenige Einzelkunden seien von dem Vorfall in Form von Ausfällen von Dienstleistungen bei Capita betroffen gewesen.

Nachdem am 20. April 2023 die Untersuchung zu dem Vorfall weiter vorangeschritten war, meldete das Unternehmen, dass entgegen vorheriger Behauptungen möglicherweise auf Daten von Kunden, Mitarbeitern und Zulieferern zugegriffen wurde und diese Daten auch kopiert wurden.

Das Unternehmen benachrichtigte umgehend potenziell Betroffene.

Nachtrag vom 31.05.2023:

Wie nun bekannt geworden ist, konnten die Cyberkriminellen auf Server von Kunden des Dienstleisters zugreifen, darunter auch der Pensionsfond Universities Suparannuation Scheme.

Wie der Pensionsfond bekanntgab, konnten die Täter dabei auf Sozialversicherungsnummern, Kundennummern, Namen, das Renteneintrittsdatum von Betroffenen und Geburtsdaten von Betroffenen zugreifen.

Des Weiteren gab das Information Commissioner's Office, eine großbritanische Institution öffentlichen Rechts bekannt, dass es über Datenpannen informiert wurde und sämtliche betroffene Organisationen und Unternehmen innerhalb von 72h eine mögliche Datenschutzverletzung melden müssen.

Nachtrag vom 07.03.2024:

Capita gab nun bekannt, dass es im Jahr 2023 eine Verlust von 106,6 Mio. GBP verzeichnete und gab den Angriff auf seine Systeme als einen der Hauptgründe an.

Nachtrag vom 12.09.2024:

Im April 2023 bekannte sich die Ransomware-Gruppe Black Basta zu der Attacke. 

Nachtrag vom 17.10.2025:

Capita plc und Capita Pension Solutions Limited (CPSL) wurden vom ICO mit Bußgeldern belegt. Capita plc muss 8 Mio. GBP zahlen, CPSL 6 Mio. GBP.