Datenschutz-Fiasko: Britische Rathäuser und ihre Sicherheitslücken

Stell dir vor: Du sitzt am Küchentisch, meldest dich beim Rathaus an, um Grundsteuer zu bezahlen oder Sozialleistungen zu beantragen. Du tippst deine persönlichen Daten ein und denkst dir nichts dabei.

Doch was passiert wirklich mit diesen Informationen?

Dieser Frage sind wir nachgegangen. Wochenlang haben wir Rathaus-Websites in ganz Großbritannien unter die Lupe genommen. Und ja — da gibt es echten Grund zur Sorge.

Was eigentlich Standard sein sollte

Die britische Regierung hat klare Vorgaben. Alle Rathaus-Websites müssen verschlüsselt sein, also HTTPS nutzen. Sie brauchen Sicherheits-Header, die verhindern, dass Schadcode eingeschleust wird. Und sie sollten sich an die Empfehlungen des National Cyber Security Centre halten.

Das ist kein Luxus. Das ist Pflicht.

HTTPS-Verschlüsselung bedeutet konkret: Niemand kann mitlesen, was zwischen deinem Browser und dem Rathaus-Server hin und her wandert. Kein Nachbar übers WLAN, kein Hacker im Café, kein IT-Admin im Büro. Ohne diese Verschlüsselung liegen deine Daten offen wie eine Postkarte.

Das NCSC empfiehlt außerdem Techniken wie HSTS. Das sind technische Schutzmechanismen, die Browser zwingen, ausschließlich sichere Verbindungen zu nutzen. Fehlen diese Schutzschichten, reicht ein einziger kurzer Moment der Unachtsamkeit — und jahrelang gesammelte Daten könnten abfließen.

Was wir wirklich vorgefunden haben

Jetzt wird es unangenehm.

GOV.UK selbst? Hervorragend gesichert. Aber bei den Rathäusern? Da sieht es düster aus:

• Verschlüsselung nachlässig: Manche Seiten laden gleichzeitig sichere und unsichere Inhalte — wie eine Tür mit Schlitz für den Briefkasten, aber einem offenen Fenster daneben.
• Fehlende Schutzmechanismen: Viele Websites verzichten komplett auf grundlegende Sicherheits-Header.
• Veraltete Software: Einige Rathäuser betreiben Webseiten mit jahrelang bekannten Sicherheitslücken.
• Unterseiten als Sicherheitsrisiko: Subdomains — also Ableger der Hauptseite — haben oft überhaupt keinen Schutz.

Natürlich gibt es Ausnahmen. Manche Rathäuser investieren tatsächlich in Sicherheit. Aber die Regel? Chaos.

Warum du dir Sorgen machen solltest

„Ich mach doch nichts Illegales", denkst du vielleicht. „Wen interessiert mein Rathaus-Login?"

Hier ein kleiner Denkanstoß: Auf diesen Servern lagern unter anderem:

• Sozialversicherungsnummern (National Insurance Numbers)
• Deine komplette Adresse und Kontaktdaten
• Finanzdaten für Sozialleistungen und Steuern
• Manchmal sogar gesundheitliche Informationen — etwa für Wohnungsanpassungen
• Arbeitsdaten und Beschäftigungsnachweise

Und dann ist da noch dieses Detail: Viele Menschen nutzen für alles dieselben Passwörter. Wenn das Rathaus gehackt wird und Angreifer deine Zugangsdaten haben, sind plötzlich alle deine Online-Konten gefährdet.

Phishing kommt noch dazu. Unsichere Rathaus-Websites lassen sich leichter nachahmen. Du bekommst eine E-Mail, die offiziell aussieht — und landest auf einer gefälschten Seite.

Was du selbst tun kannst

Du kannst nicht kontrollieren, ob dein Rathaus seine Server pflegt. Aber ein paar Maßnahmen helfen:

1. Immer die URL prüfen HTTPS da? Schloss-Symbol im Browser? Dann draufklicken und prüfen, ob das Zertifikat tatsächlich auf dein Rathaus ausgestellt ist — nicht auf irgendjemanden namens „xy-international-tech.com".

2. Eindeutige Passwörter Für Rathaus-Seiten ein eigenes Passwort. Nirgendwo sonst verwendet. Das ist ein bisschen mehr Aufwand, aber ein Breaker für dein gesamtes digitales Leben, falls doch etwas passiert.

3. VPN nutzen — gerade auf öffentlichen Netzen Das ist der Punkt, an dem UnblockMaster VPN ins Spiel kommt. Wenn du über unser verschlüsseltes VPN-Netzwerk auf Rathaus-Websites zugreifst, sind deine Daten von Ende zu Ende geschützt — selbst wenn die Rathaus-Server selbst Lücken haben. Auf öffentlichem WLAN im Café oder in der Bibliothek ist das besonders wichtig. Dort kann jeder mit einfachen Mitteln den Datenverkehr abfangen.

4. Konten im Blick behalten Dienste wie Have I Been Pwned informieren dich, wenn deine Daten in einem Leak auftauchen. Sofort Passwort ändern, wenn es soweit kommt.

Das größere Bild

Die britische Regierung redet viel von Cybersicherheit. Bei lokalen Rathäusern hört der Ehrgeiz aber offenbar auf. Keine zentralen Kontrollen, keine regelmäßigen Audits, keine echten Konsequenzen bei Verstößen.

Dabei geht es um hochsensible Daten von Millionen Menschen.

Solange sich das nicht ändert, bleibt ein Teil der Verantwortung bei uns Nutzern. Risiken verstehen, Verbindungen prüfen, VPN nutzen, wenn man auf heikle Regierungsdienste zugreift — das ist nicht paranoid. Das ist digitaler Grundschutz im Jahr 2024.

Dein Rathaus macht vielleicht alles richtig. Aber „vielleicht" ist ein schwaches Versprechen, wenn es um deine persönlichsten Daten geht.

Tags: uk council security, government website security, online privacy, vpn protection, cybersecurity, data protection, https security, citizen data privacy, ncsc guidelines, public sector security