Ex-Verteidigungsminister Carns: Cyberangriff auf JLR war staatlich gelenkt

Carns sprach im Juli 2026 bei einer Veranstaltung von Chatham House, einen Monat nachdem er sein Ministeramt niedergelegt hatte. Anschließend sagte er dem Telegraph, seine Äußerungen beruhten nicht auf einer offiziellen Einschätzung des Verteidigungsministeriums zu dem Angriff.

Die Bemerkung fiel bei einer Frage nach „Resilienz und der Abschreckung von Bedrohungen, wenn politische Führung fehlt“. Carns sagte: „Wir wissen, dass der Angriff auf Jaguar Land Rover staatlich gelenkt war, usw. usw.“ Er fügte hinzu, es „wäre höchst unwahrscheinlich, dass ein Angriff dieser Größenordnung von irgendwo ausgeht, ohne dass der Gaststaat davon weiß“. Der Telegraph berichtete zum Zeitpunkt des Angriffs, Russland stehe unter Verdacht, eine abschließende Einschätzung wurde jedoch nicht veröffentlicht. Ein Regierungssprecher sagte: „Zu laufenden Ermittlungen oder operativen Aktivitäten äußern wir uns grundsätzlich nicht.“ Die New York Times meldete im Juni, eine Gruppe russischer Hacker sei verantwortlich, beruhend auf fünf Personen, die mit den Ermittlungen zu dem Hack vertraut seien. David Reed, Verteidigungssprecher der Opposition, sagte dem Telegraph, die Briten „hätten Antworten verdient“, und warf der Regierung vor, die Öffentlichkeit im Unklaren zu lassen.

Die Kosten und der Vorbehalt

Das Cyber Monitoring Centre bezifferte die gesamtwirtschaftlichen Schäden in Großbritannien auf 1.900.000.000 £, innerhalb einer Spanne von 1.600.000.000 £ bis 2.100.000.000 £. Es stufte den Vorfall als systemisches Ereignis der Kategorie 3 ein und nannte ihn den teuersten in der britischen Geschichte „mit Abstand“. Die Zahl beruhe auf einer Szenarioanalyse, nicht auf bestätigter operativer Buchführung, teilte das Zentrum mit. Mehr als 2.700 britische Organisationen seien materiell betroffen gewesen, während der Telegraph von rund 5.000 betroffenen Organisationen berichtete, darunter Autohäuser, Werkstätten und Zulieferer. Die britische Produktion sank während des Stillstands um knapp 5.000 Fahrzeuge pro Woche, so das Zentrum. Die Regierung stellte nach einer Analyse von shattered.io eine Notkreditgarantie von 1.500.000.000 £ bereit, um die Zulieferbasis zu erhalten.

JLR schätzte die Kosten des Produktionsstopps auf 260.000.000 £ (351.000.000 $). Für das im März endende Geschäftsjahr meldete das Unternehmen einen Verlust von 244.000.000 £ (330.000.000 $), nach einem Nettogewinn von 1.800.000.000 £ (2.400.000.000 $) im Jahr 2024-25.

Fünf Wochen stillstehende Bänder

Der Angriff begann nach einer Analyse von shattered.io um den 31. August 2025. Bis zum 1. September 2025 bestätigte JLR einen Einbruch in die interne IT-Umgebung und fuhr die globalen IT-Systeme herunter, um den Eindringling einzudämmen. Dieser Schritt, gängige Praxis bei der Reaktion auf Vorfälle, stoppte die Montagebänder, weil JLR stark digitalisiert und just-in-time produziert. Die Werke in Solihull, Halewood und Wolverhampton standen still, ebenso Nitra in der Slowakei sowie Standorte in Brasilien und Indien.

JLR verlängerte die Aussetzung zunächst bis zum 24. September, dann erneut bis zum 1. Oktober 2025, bevor im Oktober ein kontrollierter, stufenweiser Neustart begann. Das Unternehmen erklärte, seine Teams hätten „rund um die Uhr“ mit Cybersicherheitsspezialisten, dem National Cyber Security Centre und den Strafverfolgungsbehörden gearbeitet.

Wer den Angriff für sich reklamierte

Die Verantwortung übernahm auf Telegram eine Gruppe namens Scattered Lapsus$ Hunters, die Screenshots veröffentlichte, die nach eigenen Angaben aus den internen Systemen von JLR stammten. JLR bestätigte die Urheberschaft offiziell nicht, und forensische Analysten, darunter CYFIRMA, warnten, dass die genaue Vorgehensweise und die Zuordnung während der laufenden Ermittlungen unbestätigt blieben. Die Gruppe setzte laut der Analyse eher auf SIM-Swapping, Identitätsbetrug am Helpdesk, MFA-Ermüdung und gestohlene Zugangsdaten als auf ausgefallene Schadsoftware.