LONDON / LONDON (IT BOLTWISE) – Das britische Justizsystem hat zwei mutmaßliche Scattered-Spider-Mitglieder wegen des TfL-Angriffs 2024 zu je fünf Jahren und sechs Monaten verurteilt. Laut NCA und CPS waren 148 Systeme betroffen, außerdem mussten rund 27.000 TfL-Mitarbeitende ihre Zugänge vor Ort neu setzen lassen. Die Anklage stützte sich auf den strengsten Tatbestand des Computer Misuse Act. Im Kern steht die Frage, ob der Netzwerkzugriff zu einem potenziell wirtschaftlich massiven Schaden hätte eskalieren können.
Im Juli 2026 endete ein Strafverfahren, das für die Cybersicherheits-Community vor allem wegen seiner juristischen Schärfe Aufmerksamkeit erzeugt: Das britische Gericht in Woolwich verurteilte Owen Flowers (18) und Thalha Jubair (20) jeweils zu fünf Jahren und sechs Monaten. Der Hintergrund war der Angriff auf Transport for London (TfL) im Zeitraum vom 31. August bis zum 3. September 2024. Die Auswirkungen waren nicht nur technisch, sondern organisatorisch: Insgesamt sollen 148 TfL-Systeme inoperabel gewesen sein, und alle 27.000 Beschäftigten mussten Passwörter persönlich resetten. Als Schaden- und Wiederherstellungskosten bezifferten NCA und CPS den Fall auf 29 Millionen Pfund.
Rechtlich sticht dabei die Einordnung nach Section 3ZA des Computer Misuse Act 1990 hervor. Dieser Tatbestand gilt als besonders schwerwiegend, weil die Strafbarkeit nicht allein am konkreten Schadenseintritt hängt, sondern an der Fahrlässigkeit bzw. dem bewussten Risiko: Flowers und Jubair sollen zugelassen haben, dass sie ernsthafte Schäden an der menschlichen Wohlfahrt verursachen oder zumindest schaffen könnten. Die Staatsanwaltschaft beschreibt die beiden als erste erfolgreich nach 3ZA verfolgte Hacker in dieser Konstellation, während die NCA den Vorgang als lediglich zweiten derartigen Fall zählt. Bemerkenswert ist zudem der Prozessverlauf: Beide plädierten am 22. Juni 2026 schuldig, genau am Tag, an dem der Prozess startete.
Technisch zeigt der Fall, wie eng Zugriffswege, Identitäten und betriebliche Abläufe miteinander verzahnt sind. Laut den Ermittlern verband sich Flowers über den Remote-Server mit dem Zielnetzwerk, der für alle drei Intrusionen genutzt wurde. Seine eigenen Geräte sollen zudem mit allen Angriffen in Verbindung gestanden haben. Auf einem Laptop fanden die Behörden unter anderem einen Screenshot zur Netzwerk-Konnektivität zu TfL-Infrastrukturen sowie Videos, die er während des Angriffs aufgezeichnet haben soll. Währenddessen kommunizierten beide offenbar per Telegram und arbeiteten über ein Online-Workspace-Setup zusammen. Dass die Beweiskette teilweise „überwiegend“ im Ausland ergänzt wurde, verweist auf die internationale Natur solcher Kampagnen.
Auch die betroffenen TfL-Funktionen waren konkret genug, um die Verwundbarkeit von Alltagsprozessen zu verdeutlichen: Der Dial-a-Ride-Buchungsdienst sowie die digitalen Zahlungswege fielen aus. Ebenso wurden Prozesse rund um die Ausstellung von ermäßigten Fahrkarten beeinträchtigt; zudem sollen Bewerbungen für Oyster-Photocards geschlossen worden sein. Selbst das Ausrollen kontaktloser Ticketoptionen verzögerte sich, während Rückerstattungen nur schleppend liefen. In der Kommunikation an Kundinnen und Kunden teilte TfL mit, dass Namen und E-Mail-Adressen abgegriffen worden waren; in bestimmten Fällen kamen auch Wohnadressen hinzu. Bei Oyster-Refund-Daten seien möglicherweise zudem Bankdaten von rund 5.000 Menschen betroffen gewesen.
Strategisch ist das vielleicht der zentrale Punkt für Entscheider: Die Fallakten drehen sich nicht nur um den realisierten Zugriff, sondern um das Eskalationspotenzial. In der Bewertung durch die NCA wird ein Szenario beschrieben, in dem ein erfolgreicher Shutdown des Netzwerks die britische Volkswirtschaft bis zu 56 Milliarden Pfund kosten hätte können; die CPS nennt denselben Gedankenrahmen ebenfalls in Milliardenbeträgen. Dass es „nur“ bei einem hypothetischen Worst Case blieb, erklären die Unterlagen vor allem damit, dass TfL sein eigenes Netzwerk herunterfuhr, um die Angreifer einzudämmen. Dass die Planung zur späteren Nutzung des Zugriffs laut CPS nur den beiden Tätern bekannt gewesen sei, unterstreicht die Bedeutung schneller Containment-Entscheidungen.
Die Ermittlungen verknüpfen den TfL-Vorfall zudem mit US-Folgemustern. Flowers soll während der TfL-Intrusion verhaftet worden sein – drei Tage nach dem Ende des TfL-Angriffs – und zwar im Zusammenhang mit laufenden Angriffen gegen zwei US-Gesundheitsorganisationen: SSM Health Care Corporation und Sutter Health. In diesem Kontext wurden unter anderem Laptops, Tower-Computer, Festplatten sowie USB-Sticks beschlagnahmt. Jubair steht parallel in einem noch laufenden Verfahren: Eine in New Jersey unversiegelte Beschwerde wirft ihm u. a. Computer Fraud, Wire Fraud und Geldwäschekonspirationen vor. Die Behauptungen umfassen rund 120 Netzwerkintrusionen und über 115 Millionen US-Dollar an gezahlten Lösegeldern; Details bleiben allerdings bis zur gerichtlichen Prüfung Vorwürfe.
Als „Scattered Spider“ wird die Tätergruppe in den Veröffentlichungen der Ermittlungsbehörden beschrieben; je nach Kontext tauchen daneben auch Bezeichnungen wie Octo Tempest, UNC3944 oder 0ktapus auf. Die FBI-Einschätzung ordnet die Gruppe insbesondere in den Kontext von Datenextortion, SIM-Swapping und Social Engineering ein. Das Muster ist dabei nicht neu, aber es wirkt durch Wiederholung und Automatisierung. Mandiant hatte etwa im Januar eine Ausweitung von „ShinyHunters“-bedrohten Erpressungsabläufen beschrieben, die stark auf Vishing, credential harvesting-Mechaniken und die gezielte Abgreifung von SSO-Logins sowie MFA-Codes setzen. In diesem Zusammenspiel wird deutlich, warum NCA und CPS trotz unterschiedlicher Strafmaßlogik so stark auf Identitätsprozesse fokussieren.
Der wichtigste praktische Schluss für Unternehmen liegt in der Absicherung von „Password Reset“-, Geräte-Enrollment- und MFA-Änderungsprozessen. Entsprechende Hardening-Hinweise führt Microsoft in seinen Empfehlungen aus der Forschung zusammen: Wer bei Passwort- oder Geräteänderungen Identität nicht ausreichend verifiziert, liefert Angreifern genau die manuellen Workflows, in die sich Social Engineering-Teams hineinreden können. In Richtung Prävention fordert außerdem Paul Foster (Leitung der NCA National Cyber Crime Unit) frühzeitige Meldung und Zusammenarbeit mit Strafverfolgung. Parallel wird in London über Cyber Crime Risk Orders diskutiert, die Geräte und Online-Services eines Risikoprofilträgers einschränken sollen. Auch wenn die konkrete Umsetzung politisch bleibt: Der TfL-Fall zeigt, wie stark schnelle Netzwerkcontainment-Entscheidungen sowie robuste Identitäts- und MFA-Prozesse den Unterschied zwischen begrenztem Schaden und massiver Eskalation machen können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "UK verurteilt Scattered-Spider-Hacker nach TfL-Angriff: 5,5 Jahre wegen 29 Millionen Pfund" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "UK verurteilt Scattered-Spider-Hacker nach TfL-Angriff: 5,5 Jahre wegen 29 Millionen Pfund" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »UK verurteilt Scattered-Spider-Hacker nach TfL-Angriff: 5,5 Jahre wegen 29 Millionen Pfund« bei Google Deutschland suchen, bei Bing oder Google News!