Thomson Reuters hat einen Cyberangriff auf sein Gerichtsverwaltungssystem C-Track bestätigt. Ein unbefugter Angreifer erlangte Zugriff auf Gerichtsdokumente in 11 US-Bundesstaaten, den US Virgin Islands und der kanadischen Provinz Ontario – der Vorfall liegt bereits Monate zurück und wurde erst Ende Juni entdeckt.
Thomson Reuters hat einen Cyberangriff auf sein Gerichtsverwaltungssystem C-Track bestätigt. Ein unbefugter Angreifer erlangte Zugriff auf Gerichtsdokumente in 11 US-Bundesstaaten, den US Virgin Islands und der kanadischen Provinz Ontario. Der Vorfall liegt bereits Monate zurück und wurde erst Ende Juni entdeckt.
Was passiert ist
C-Track ist ein digitales Fallverwaltungssystem, mit dem Gerichte Fälle, Eingaben, Anhörungen und Termine organisieren. Betrieben wird es von West Publishing Corporation, einer US-Tochter von Thomson Reuters. Am 30. Juni 2026 registrierte das Unternehmen unautorisierte Aktivität in einer seiner Cloud-Umgebungen [1]. Die anschließende Untersuchung ergab, dass ein unbefugter Angreifer bereits im März 2026 eingedrungen war und C-Track-Dateien erlangt hatte [1].
Betroffen sind Gerichte in Alabama, Pennsylvania, Kentucky, Montana, Nevada, North Dakota, South Carolina, Tennessee, Ohio, New Hampshire und Wyoming sowie die Gerichte der US Virgin Islands und Ontarios [1]. In Kanada bestätigten die drei Chief Justices von Ontario den Vorfall und erklärten, Thomson Reuters habe das Justizministerium der Provinz am 23. Juli informiert [1]. Die öffentliche Offenlegung folgte am 2. September – ein Datum, das nach Angaben Montanas gewählt wurde, damit der Anbieter und die betroffenen Staaten gleichzeitig informieren konnten [2].
Welche Daten betroffen sein könnten
Der genaue Umfang der kompromittierten Daten ist bislang unklar. West Publishing erklärte, eine Teilmenge der Gerichtsakten könne Namen, Sozialversicherungsnummern, Führerscheinnummern, Geburtsdaten, medizinische Informationen und Angaben zur Krankenversicherung enthalten [2]. Zudem heißt es: „Bestimmte vertrauliche, geschwärzte oder versiegelte Informationen können für bestimmte betroffene Gerichte betroffen sein" [2].
Die betroffenen Gerichte liefern unterschiedliche Details. In Montana handelte es sich nach Angaben des Obersten Gerichtshofs um Backup-Daten auf Thomson-Reuters-Servern, die dem Unternehmen für die Fehlerbehebung überlassen worden waren; der unbefugte Zugriff lief demnach vom 1. März bis zum 29. Juni [2]. In Ohio teilte der Oberste Gerichtshof mit, der Zugriff habe auf der Produktionsplattform stattgefunden, die die Akten von zehn Berufungsbezirken hostet – der achte und zehnte Bezirk seien nicht betroffen [2]. In Wyoming betrafen die Daten historische Akten von Personen, die zwischen 2015 und 2025 mit den Gerichten zu tun hatten [2]. Die Gerichte der US Virgin Islands können bislang nur bestätigen, dass die Daten mit ihrem Systemimplementierungsprojekt von 2018 zusammenhingen [2].
Auffällig ist, dass auch Minnesota betroffen ist, obwohl der Bundesstaat nicht in der Liste der elf Staaten auftaucht. Die Judicial Branch von Minnesota erklärte, Daten ihrer Berufungsgerichte seien exponiert worden; sie habe den Zugriff von Thomson Reuters auf die elektronischen Umgebungen der Gerichte beendet und Nutzer des Systems zum Passwortwechsel aufgefordert [2]. Oberste Richterin Natalie Hudson zeigte sich „zutiefst beunruhigt, dass die Daten unserer Gerichtsnutzer kompromittiert wurden" [2].
Reaktion von Thomson Reuters
Thomson Reuters betont, dass es keine Hinweise auf Identitätsdiebstahl oder einen Missbrauch der Daten gebe und dass Systeme für gerichtsbezogene Finanztransaktionen nicht betroffen seien [1] [3]. Auch habe es keine betriebliche Störung gegeben. „Es gab keine betriebliche Unterbrechung von C-Track infolge dieses Vorfalls", sagte ein Sprecher. „Unsere Produkte und Dienstleistungen bleiben voll funktionsfähig und können sicher weiter genutzt werden. Unabhängige Cybersicherheitsexperten unterstützten die Untersuchung und validierten die ergriffenen Abhilfemaßnahmen" [1].
Das Unternehmen bietet betroffenen Personen in den USA zwölf Monate Kreditüberwachung über Experian IdentityWorks an, mit einer Anmeldefrist bis zum 31. Dezember 2026 [2]. In Kanada stellt Thomson Reuters Canada zwölf Monate TransUnion myTrueIdentity-Monitoring bereit [2]. Bislang hat sich keine Gruppe zu dem Angriff bekannt oder mit der Veröffentlichung der Dateien im Darknet gedroht [1]. In North Dakota läuft nach Angaben des Gerichtssystems eine aktive strafrechtliche Ermittlung [2].
Einordnung
Der Vorfall reiht sich in eine Serie von Angriffen auf Justizsysteme ein. Bereits im August 2025 hatte die US-Bundesjustiz nach Berichten über kompromittierte Fallakten strengere Cybersicherheitsmaßnahmen für sensible Gerichtsdokumente angekündigt [3]. Gerichtsdaten gelten als attraktives Ziel für unterschiedliche Akteure – von staatlich gelenkten Gruppen, die Spionage betreiben, über Angreifer, die einzelne Verfahren beeinflussen wollen, bis zu finanziell motivierten Kriminellen, die mit sensiblen Daten erpressen [3].
Bemerkenswert ist die lange Latenz: Der Einbruch erfolgte im März, entdeckt wurde er erst Ende Juni, öffentlich wurde er Anfang September. Dass die betroffenen Gerichte unterschiedliche Angaben darüber machen, welche Umgebung genau betroffen war – Backup-Speicher in Montana, Produktionsplattform in Ohio –, deutet darauf hin, dass die forensische Aufarbeitung noch nicht abgeschlossen ist. Solange weder die Zahl der betroffenen Personen noch die genaue Methode des Eindringens bekannt ist, bleibt das tatsächliche Risiko für die Betroffenen schwer einzuschätzen. Die angebotene Kreditüberwachung ist ein üblicher, aber begrenzter Schutz – sie erkennt Missbrauch, verhindert ihn aber nicht.