Thomson Reuters hat einen unbefugten Zugriff auf Dateien des Gerichtsfallmanagementsystems C‑Track bekanntgegeben. Nach übereinstimmenden Mitteilungen mehrerer Gerichte wurde die Aktivität am 30. Juni 2026 entdeckt; erste unbefugte Zugriffe datieren auf März 2026. Öffentliche Bekanntmachungen folgten am 2. und 3. September 2026.
Amtliche Mitteilungen des Montana Supreme Court, der District of Columbia Courts und des Supreme Court of Ohio bestätigen, dass der Anbieter betroffene Gerichtsbarkeiten in mehreren Bundesstaaten der Vereinigten Staaten und in Teilen Ontarios informiert hat. Laut diesen Verlautbarungen wurden Backup‑Dateien und E‑Filing‑Daten, die auf Servern von Thomson Reuters gespeichert waren, von einem unbefugten Dritten eingesehen. Das Unternehmen teilte mit, externe Forensikteams eingebunden, Strafverfolgungsbehörden benachrichtigt und technische Schutzmaßnahmen zur Eindämmung sowie zur Härtung der C‑Track‑Umgebung umgesetzt zu haben.
Genannte betroffene Gerichtssysteme reichen von Kentucky, Montana, Ohio, Nevada und New Hampshire über North Dakota, South Carolina, Tennessee, Wyoming und Alabama bis zu Teilen Pennsylvanias sowie den U.S. Virgin Islands und Ontario. Umfang und Art der möglicherweise betroffenen Informationen unterscheiden sich nach Gerichtsbarkeit und sind Gegenstand laufender Untersuchungen. Mehrere Gerichte betonten, dass ihre eigenen Netzwerke und Kernsysteme nicht die Ursache der Vorfälle seien und der Geschäftsbetrieb nicht beeinträchtigt sei.
C‑Track ist eine von Thomson Reuters angebotene Software für das Management von Gerichtsverfahren, einschließlich elektronischer Aktenführung und Einreichungen. Betrieben wird das Produktbereichsgeschäft von der Konzerngesellschaft West Publishing Company. Der nun bekanntgewordene Vorfall betrifft nach bisherigem Stand vor allem auf Anbietersystemen gespeicherte Sicherungs‑ und Einreichungsdateien.
Offen bleibt, auf welchem Weg der Zugriff erfolgte, wie groß die je Gericht betroffene Datenmenge ist und ob besonders schützenswerte Daten außerhalb der Anbietersysteme verbreitet wurden. Thomson Reuters hat eine Informationsseite und ein Callcenter für potenziell Betroffene eingerichtet; mehrere Gerichte kündigten ergänzende Hinweise an, sobald neue Erkenntnisse vorliegen. Rechtlich kommen Melde‑ und Benachrichtigungspflichten nach einzelstaatlichem Datenschutzrecht, bundesrechtliche Vorgaben für Gerichtsverwaltungen sowie zivilrechtliche Ansprüche in Betracht. Konkrete Klagen oder aufsichtsrechtliche Verfahren wurden bislang nicht veröffentlicht.
Die Angaben beruhen auf offiziellen Mitteilungen der betroffenen Gerichte und des Unternehmens; unabhängige technische Details zur Angriffsmethode liegen derzeit nicht vor.
Redakteurin: Mira Cadena (Artikel mit KI-Unterstützung).