Die britische Aufsichtsbehörde für Polizei und Feuerwehr hat die Blaulichtorganisationen in England und Wales zu einem deutlich höheren Schutzniveau gegen Cyberangriffe verpflichtet. Ihr am Dienstag veröffentlichter Bericht führt Altsysteme, lückenhafte Zugangskontrollen und eine Führungsebene an, die Cybersicherheit bislang als nachrangiges IT-Thema behandelt hat. Bis September 2028 müssen alle Polizeikräfte ein definiertes Mindestniveau erreichen – während Angriffe auf Blaulichtorganisationen längst keine Theorie mehr sind.
Ein Prüfbericht mit klarer Frist
Die Warnung kommt von der Behörde, die Polizei und Feuerwehr in Großbritannien regelmäßig durchleuchtet: His Majesty's Inspectorate of Constabulary and Fire & Rescue Services (HMICFRS) – zuständig für die Polizei in England und Wales sowie für die Feuerwehren in England. Ihr Bericht „Cybersecurity in police forces and fire and rescue services" ist keine allgemeine Mahnung, sondern ein Prüfbericht mit Auflagen 1. Grundlage sind drei Prüfphasen zwischen Januar und Mai 2026, Gespräche mit Dutzenden Verantwortlichen, eigene Kontrollen vor Ort und die Auswertung von mehr als 260 Dokumenten aus Polizei- und Feuerwehrbehörden 2. Besucht wurden sechs Organisationen – drei Polizeikräfte und drei Feuer- und Rettungsdienste. Genannt werden sie in dem Bericht nicht 5.
Aus den Befunden leitet die Aufsicht 13 Empfehlungen ab 2 5. Die schärfste hat einen Termin: Bis September 2028 müssen alle Polizeikräfte in England und Wales Stufe 3.0 des nationalen Cyberreifegrad-Modells für die Polizei erreichen, das von 1.0 bis 5.0 reicht. Der derzeit geltende Mindestwert liegt bei 2.0 5.
„Die Cyberbedrohung für Polizeikräfte sowie Feuer- und Rettungsdienste ist erheblich und wächst rasch", sagte Chief Inspector Michelle Skeer. „Ein größerer Cyberangriff ist kein hypothetisches Szenario; erfolgreiche Angriffe haben den Betrieb gestört, die Öffentlichkeit gefährdet und waren teuer zu beheben" 3.
Altsysteme gelten als größtes Einzelrisiko
In allen untersuchten Organisationen stießen die Prüfer auf veraltete IT, die je nach Haus mehr oder weniger stark genutzt wird. Die Führungskräfte beider Sparten bezeichnen diese Altsysteme selbst als ihr größtes strategisches Cybersicherheitsrisiko – vor allem, weil sich Sicherheitsupdates nur schwer einspielen lassen und die Systeme sich kaum in moderne Umgebungen integrieren lassen 3 5.
Ein zweites Risiko liegt außerhalb der eigenen Rechenzentren: IT-Dienstleister, die sensible Polizeidaten speichern oder verwalten – Informationen zu Opfern, zu Schutzmaßnahmen, zu Ermittlungsverfahren und zur nachrichtendienstlichen Lage 4. Bei mehreren Anbietern fehlte es an klaren vertraglichen Vorgaben und an einer durchgängigen Bewertung der Sicherheitsvorkehrungen.
Hinzu kommen Mängel bei der Wiederherstellung. Mehrere Systeme, die nach einem Angriff den Betrieb wiederherstellen sollen, bewerteten die Prüfer als „unbefriedigend" 3. Wer nach einem Verschlüsselungstrojaner kein belastbares Backup hat, verliert im Ernstfall Tage – bei einem Notrufverbund ist das ein Betriebsrisiko, nicht nur ein Datenproblem.
Der Bericht enthält auch eine Finanzaufstellung, die die Prioritäten sichtbar macht: Im Haushaltsjahr 2024/25 gaben die Polizeikräfte gut eine Milliarde Pfund von mehr als 16 Milliarden Pfund Gesamtbudget für IT aus, die Feuerwehren in England 24 Millionen von 2,76 Milliarden Pfund. Die Aufsicht schließt daraus, die Kostenfrage sei mindestens ebenso eine Frage der Prioritätensetzung wie der Verfügbarkeit von Geld 5.
Die Uniform schützt nicht vor Sicherheitslücken
Ein erheblicher Teil der Schwachstellen ist vermeidbar. In einigen Häusern fehlten belastbare Kontrollen für Beschäftigte, die neu anfangen, intern die Stelle wechseln oder das Haus verlassen – in der Folge blieben Konten ehemaliger Mitarbeiter aktiv 5. Dazu kamen schwache Passwortregeln und ein lückenhafter Einsatz von Mehrfaktor-Authentifizierung, also der Pflicht zu einer zweiten Bestätigung beim Anmelden 3.
Skeer beschrieb das Muster so: „Es war nicht nur fehlende Schulung und Sensibilisierung, die Angreifern Möglichkeiten eröffnet hat. In einigen der von uns geprüften Organisationen fanden wir schlechte Sicherheitskontrollen beim Eintritt, beim Wechsel innerhalb und beim Ausscheiden aus der Organisation" 3. Ihr Fazit: „Manche Kräfte und Dienste tun einfach nicht genug, um zu verhindern, dass menschliches Fehlverhalten das Risiko von Cyberangriffen erhöht."
Die Prüfer sehen darin vor allem ein Führungsproblem. Mehrere ranghohe Vertreter von Polizei und Feuerwehr gaben an, Cybersicherheit gehöre nicht zu ihren täglichen operativen Entscheidungen. Investitionen flossen entsprechend in sichtbarere Vorhaben. Zugleich lastet die technische Bewertung häufig auf jüngeren Fachkräften ohne hierarchisches Gewicht – während die Führung mehrheitlich aus dem operativen Dienst kommt 3. „Hinter all diesen Problemen steckt eine Führungsfrage", sagte Skeer 3.
Was die Behörden konkret tun sollen
Die Empfehlungen zielen auf Standards, Kontrolle und Betrieb. Alle Kräfte und Dienste sollen Basisanforderungen erfüllen, wie sie das Cyber Assessment Framework des britischen NCSC beschreibt. Die Selbsteinschätzung der Häuser soll künftig von externen Stellen überprüft werden. Für die Beschaffung von IT und für Verträge mit Dienstleistern verlangt die Aufsicht strengere Vorgaben, einschließlich einer verpflichtenden Zertifizierung nach Cyber Essentials für Anbieter 2 4.
Organisatorisch schlägt der Bericht zwei Schritte vor: eine engere Abstimmung zwischen Regierung und den Cybersicherheitsverantwortlichen der Polizei sowie eine breitere Nutzung des National Management Centre des Police Digital Service, das Polizeikräfte bei Angriffen unterstützt. Für die Feuerwehr, die über keine vergleichbare Einrichtung verfügt, soll ein eigenes nationales Zentrum für digitales Management entstehen 3 5. Ergänzend verlangt die Aufsicht Übungen zur Wiederherstellung aus Backups und zur Reaktion auf Angriffe sowie Fortbildungen für Führungskräfte und Sicherheitsteams 2.
Ein Detail mit Sprengkraft: Die Empfehlungen für die Feuerwehr gelten nur für die 44 Dienste in England, weil Feuerwehr in Schottland, Wales und Nordirland in die Zuständigkeit der dezentralen Verwaltungen fällt 5. Polizei und Feuerwehr wachsen damit organisatorisch weiter auseinander, obwohl sie in der Einsatzlage zusammenarbeiten.
Angriffe sind längst Praxis
Die Warnung ist nicht prophylaktisch. Am 14. September 2026 stellte die Polizei von Dyfed-Powys in Wales einen Sicherheitsvorfall fest. Zeitweise waren Online- und E-Mail-Kontaktangebote der Kraft nicht erreichbar, einige Systeme außerhalb des Notrufbetriebs waren gestört; die Notrufnummern 999 und 101 blieben nach Angaben der Behörde erreichbar. Ob Daten von Beschäftigten „abgerufen oder kompromittiert" wurden, war Gegenstand laufender Ermittlungen; Hinweise auf einen Zugriff auf Daten der Öffentlichkeit sah die Kraft zunächst nicht. Das Information Commissioner's Office wurde informiert, die Untersuchung führt die regionale Einheit Tarian 6. Das Gebiet umfasst mehr als 500.000 Einwohner, die Kraft zählt rund 1.350 Polizisten und gut 1.060 weitere Beschäftigte 6.
Die Zahlen aus dem laufenden Betrieb sind deutlich höher als die öffentlich bekannten Einzelfälle. Nach Daten des Police Digital Service registrierte die Polizei zwischen Januar und März 2026 insgesamt 252 Cybersicherheitsvorfälle und 796 Beinahe-Vorfälle, also Fälle ohne Schaden an Daten oder Systemen 5. Der Bericht hält zudem fest, dass zwischen 2021 und 2025 mehrere Angriffe Polizeidaten gefährdeten – kompromittiert waren in jedem dieser Fälle externe Unternehmen, die Polizeidaten halten, nicht die Polizeisysteme selbst 5.
Auch außerhalb der IT-Abteilungen gibt es Nachholbedarf. Mitte Oktober 2026 rügte das Information Commissioner's Office die Metropolitan Police: Beschäftigte hatten zwischen März 2023 und September 2024 die nicht freigegebene Plattform Auror genutzt, um Daten zu mutmaßlichen Ladendieben auszutauschen. Rund 500 Konten wurden angelegt, 375 aktiv genutzt; personenbezogene Daten von 179 Menschen, darunter drei Minderjährige, gelangten auf die Plattform, ohne dass eine Datenschutz-Folgenabschätzung vorlag. „Polizeikräfte halten große Mengen sensibler personenbezogener Daten und müssen robuste Schutzmaßnahmen vorhalten", sagte David Doodson, Leiter der ICO-Ermittlungen 8.
Reaktionen und offene Fragen
Aus den Behörden kommt Widerspruch in der Tonlage, nicht in der Sache. Die Thames Valley Police, eine der größten Kräfte außerhalb Londons, verweist auf eigene Fachteams: „Wie viele Organisationen ist sich die Thames Valley Police der zunehmenden Bedrohung durch Cyberangriffe und unserer Verantwortung bewusst, dagegen so weit wie möglich vorzugehen", sagte ein Sprecher. Man arbeite eng mit externen Dienstleistern zusammen und schule Beschäftigte zu Phishing und Social Engineering 7. Der Feuerwehrdienst in Oxfordshire, dessen IT von der Kreisverwaltung mitbetrieben wird, teilte mit, es seien „robuste Systeme" im Einsatz, die laufend überprüft würden 7.
Skeer setzt auf die anstehende Polizeireform und die Neuordnung der lokalen Verwaltung in England: Beide Vorhaben könnten genutzt werden, um Cybersicherheit besser zu koordinieren. „Diese Gelegenheiten dürfen nicht verpasst werden. Systeme und Daten zu schützen, ist Voraussetzung dafür, die Öffentlichkeit zu schützen" 2. Eine Nachprüfung hat die Aufsicht bereits angekündigt, einen Termin dafür aber nicht genannt 4.
Bemerkenswert bleibt die Datenlage: Sechs Organisationen, keine Namen, kein belastbarer Rückschluss auf die übrigen Kräfte. Wer wissen will, wie es um die eigene Polizei steht, findet im Bericht keine Antwort – nur die Vorgabe, dass die Reifegradstufe 3.0 bis September 2028 erreicht sein muss. Ob das mit einem IT-Anteil von rund sechs Prozent der Polizeiausgaben gelingt, ist die eigentliche Streitfrage, die der Bericht offenlässt.
Ähnliche Artikel
