Der Medien- und Technologiekonzern Thomson Reuters hat einen erheblichen Sicherheitsvorfall bei seiner Fallmanagement-Plattform C-Track bekannt gegeben. Berichten vom Anfang September 2026 zufolge verschaffte sich ein unbefugter Dritter Zugriff auf Dateien des Systems.
Die Kompromittierung der Plattform, die weltweit von Justizbehörden zur Verwaltung von Gerichtsverfahren genutzt wird, hat weitreichende Auswirkungen auf staatliche Institutionen in den USA und Kanada.
Zeitraum und Entdeckung des unbefugten Zugriffs
Nach internen Untersuchungen dauerte der unbefugte Zugriff auf die C-Track-Plattform über mehrere Monate an. Die Aktivitäten begannen im März 2026 und setzten sich bis in den Juni 2026 fort. Thomson Reuters entdeckte den Sicherheitsvorfall schließlich am 30. Juni 2026.
Der Umfang der betroffenen Institutionen ist beträchtlich. Nach aktuellen Erkenntnissen sind Gerichte in mindestens elf US-Bundesstaaten, den US-Jungferninseln sowie in der kanadischen Provinz Ontario betroffen. Konkret wird berichtet, dass Berufungsgerichte in zwölf US-Gerichtsbarkeiten sowie drei Gerichte in Ontario involviert sind.
Art der kompromittierten Daten
Die im Rahmen des Vorfalls abgerufenen Informationen umfassen eine Vielzahl sensibler personenbezogener Daten. Dazu gehören Namen, Sozialversicherungsnummern, Führerscheinnummern, Geburtsdaten sowie medizinische Informationen und Daten zur Krankenversicherung. In einigen Fällen besteht zudem die Besorgnis, dass versiegelte Gerichtsakten, die der Öffentlichkeit normalerweise nicht zugänglich sind, offengelegt worden sein könnten.
Bisher liegen laut Unternehmensangaben keine Anzeichen dafür vor, dass die Daten für betrügerische Zwecke missbraucht oder im Internet verbreitet wurden. Thomson Reuters bietet den betroffenen Personen als Vorsichtsmaßnahme eine kostenlose Kreditüberwachung für einen Zeitraum von zwölf Monaten an. Eine genaue Zahl der Betroffenen nannte das Unternehmen bisher nicht.
Der aktuelle Fall bei Thomson Reuters verdeutlicht, wie verwundbar selbst hochsensible Datenbestände gegenüber professionellen Angriffen sind. Ein kostenloser Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre eigene IT-Sicherheit rechtzeitig zu stärken. Cyber Security: Bedrohungen abwenden und Ihr Unternehmen schützen
Regionale Auswirkungen und Reaktionen der Justizbehörden
Die Reaktionen der einzelnen Gerichtsbarkeiten fallen unterschiedlich aus, je nachdem, welche Datenbestände betroffen waren:
- New Hampshire: West Publishing, eine Tochtergesellschaft von Thomson Reuters, entdeckte den Vorfall am 30. Juni 2026 und informierte den Obersten Gerichtshof von New Hampshire im Juli. Dort wurden Namen und Adressen aus Verfahren der Jahre 2002 bis 2015 abgerufen. Sensible Daten wie Sozialversicherungsnummern oder medizinische Informationen seien in diesem Fall nicht betroffen gewesen.
- Minnesota: Die Justizverwaltung des Bundesstaates gab bekannt, dass der Oberste Gerichtshof, das Berufungsgericht, das Steuergericht sowie das Gericht für Verwaltungsanhörungen betroffen seien. In Minnesota wurden Sicherungsdaten an Thomson Reuters übergeben, Fallakten seien jedoch nicht enthalten gewesen. Als Konsequenz beendete die Justiz von Minnesota den Zugriff von Thomson Reuters auf ihre Systeme.
Während Behörden und Konzerne oft im Fokus stehen, sind auch KMU zunehmend Ziel von Datendiebstahl und Cyberkriminalität. In diesem E-Book erfahren Sie, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen ohne teure Investitionen vor modernen Angriffsmethoden absichern. Gratis-E-Book zur Cyber Security jetzt herunterladen
- North Dakota: Der Oberste Gerichtshof des Bundesstaates wurde am 23. Juli 2026 über den Vorfall benachrichtigt. Während das Odyssey-System und die Bezirksgerichte nicht betroffen sein sollen, wurden strafrechtliche Ermittlungen eingeleitet.
- Wyoming: Hier sind der Oberste Gerichtshof sowie Bezirksgerichte betroffen, wobei Daten aus dem Zeitraum von 2015 bis 2025 kompromittiert wurden. Es handelt sich laut offiziellen Angaben um begrenzte persönliche Informationen wie Namen, Adressen und Geburtsdaten; Dokumente seien nicht entwendet worden.
- Alabama und Kentucky: In Kentucky wurden Daten beim Obersten Gerichtshof und dem Berufungsgericht abgerufen, was jedoch zu keiner funktionalen Beeinträchtigung des Betriebs führte. In Alabama wurde bekannt, dass eine Sicherungsdatei betroffen war, deren Existenz den Gerichten zuvor nicht bekannt war.
Die Ermittlungen zum genauen Hergang und zur Identität der Angreifer dauern an, während die betroffenen Gerichtsbarkeiten ihre Sicherheitsprotokolle in Zusammenarbeit mit dem Dienstleister überprüfen.
