Toronto Crime Stoppers schützte bearbeitete Hinweise. Hacker stahlen die Originale.

Toronto Crime Stoppers entfernte potenziell identifizierende Angaben aus Hinweisen, bevor diese an Ermittler weitergeleitet wurden. Doch einige unbearbeitete Originale blieben auf der Plattform zur Verwaltung von Hinweisen – und Hacker stahlen sie. Die Version zu schützen, die die Polizei erhielt, schützte nicht alles, was Menschen dem Dienst anvertraut hatten. ³

Diese Lücke hat nun einen anonymen Meldeweg geschlossen. Toronto Crime Stoppers kündigte am 21. Oktober 2026 mit sofortiger Wirkung eine Pause an und forderte die Öffentlichkeit auf, keine Informationen per Telefon, online oder über die App einzureichen. Für Menschen, die bereits Informationen übermittelt haben, stellt sich ein anderes Problem: Die Organisation kann weiterhin nicht zuverlässig einschätzen, wessen Identität aus den gestohlenen Aufzeichnungen hervorgeht. ^{4 3}

Der Aufruf von Vorsitzendem Sean Sportun war eindeutig: «Bis wir eine sicherere Möglichkeit haben, Sie zu schützen, senden Sie uns bitte keine Hinweise per Telefon, online oder über die App.» Toronto Crime Stoppers entfernte die Funktion «Tip Submit» von seiner Website, forderte den Plattformanbieter Navigate360 auf, die Annahme von Hinweisen aus Toronto auszusetzen, und bat das National Anonymous Call Centre, die Bearbeitung neuer, für Toronto bestimmter Informationen einzustellen. Diese Schritte belegen die angekündigte Aussetzung, nicht unterschiedliche Abschaltzeiten für die einzelnen Kanäle. ^{3 4}

Bei den Zahlen ist Vorsicht geboten. Die Schätzung von Toronto Crime Stoppers über 176,859 betroffene Hinweise zählt Einreichungen, nicht Personen. Die Schätzung, dass 12,392 davon personenbezogene Informationen enthalten könnten, belegt nicht, dass sich damit jeweils die einreichende Person identifizieren lässt. Keine der beiden Zahlen ist eine unabhängig geprüfte Zählung exponierter Informanten. ³

Auch eine separate Liste mit 14,973 Namen, die Navigate360 im September und Oktober übermittelt hat, beseitigt diese Unsicherheit nicht. Sportun sagte, aus ihr gehe nicht hervor, um wessen Namen es sich handele. Ein Name in einem Kriminalbericht könnte zu einer beschriebenen Person gehören und nicht zu der Person, die den Hinweis eingereicht hat. Die Zahl der Namen und die Zahl der Hinweise, die möglicherweise personenbezogene Informationen enthalten, messen unterschiedliche Dinge; sie können nicht addiert werden. Frühere Angaben von knapp 177,000 Hinweisen und 15,000 Namen waren gerundete Darstellungen dieser Summen und keine zusätzlichen Gruppen. ^{3 2}

Es fehlt der Text, der diese Namen umgibt. «Trotz zahlreicher Anfragen über unsere Rechtsberatung hat Navigate360 uns den Text der gestohlenen Hinweise nicht zur Verfügung gestellt, sodass wir nicht sehen können, was darin steht», sagte Sportun in dem am 22. Oktober von Global News veröffentlichten Bericht. Ohne diesen Text kann Toronto die Namen nicht zuverlässig den Einreichungen zuordnen oder beurteilen, was ein bestimmter Datensatz über eine Person offenbart. ³

Anonymität hängt auch nicht allein davon ab, keinen Namen anzugeben. «Wir fragen nicht nach Ihrem Namen und wollen ihn auch nicht. Aber manchmal geben Menschen Details an, um zu erklären, was sie gesehen haben», sagte Sportun. Er erklärte, Mitarbeiter entfernten diese Angaben, bevor sie Hinweise an Ermittler weiterleiteten, doch einige Originaleinreichungen mit potenziell identifizierenden Informationen seien aus P3 gestohlen worden, der von Navigate360 entwickelten Software zur Verwaltung von Hinweisen. Toronto nutzt sie seit 2018. ¹

Das Versagen bestand also nicht einfach darin, dass Menschen Informationen freiwillig preisgaben, nach denen das Programm nicht gefragt hatte. Der Dienst speicherte Originalmaterial, das nach der eigenen Praxis vor der Einsicht durch Ermittler bearbeitet werden musste. Das Versprechen der Anonymität hing auch von der Sicherheit dieser Originale ab.

Dieses Eingeständnis ist bedeutsam, aber keine bezifferte Feststellung dazu, welche Hinweisgeber identifiziert wurden. Die vorliegenden Belege belegen den Diebstahl von Hinweisen und das Vorhandensein von Namen bei dem Datenleck. Sie belegen weder eine verifizierte Zahl exponierter Informanten noch ein vollständiges Verzeichnis der in Toronto betroffenen Datenfelder oder, dass ein bestimmter Hinweisgeber Vergeltung oder anderen Schaden erlitten hat. ^{3 4}

Der Bericht von Toronto Crime Stoppers schildert, wie sich die Informationen über Monate hinweg änderten. Sportun sagte, die Daten seien im März gestohlen worden. Reuters hatte bis zum 18. März 2026 öffentlich über den mutmaßlichen Sicherheitsvorfall berichtet. Das belegt, dass es bis dahin öffentliche Berichte gab – nicht das genaue Datum des Diebstahls oder zwingend die erste Offenlegung. ^{1 27}

Laut Torontos Darstellung der Kommunikation mit dem Anbieter teilte Navigate360 im März zunächst mit, dass es keinen Vorfall bestätigt habe und P3 weiterhin betriebsbereit sei. In einer Mitteilung vom 25. März wurde der Zugriff auf P3 eingeräumt. Toronto setzte Passwörter zurück und aktivierte die Mehr-Faktor-Authentifizierung; dies waren Schutzmaßnahmen Torontos und kein Beleg dafür, dass Navigate360 die Behebung des Vorfalls abgeschlossen hatte. ⁶

Die entscheidende Beruhigung kam im April, als Toronto nach eigenen Angaben mitgeteilt wurde, dass zwar einige kanadische Daten gestohlen worden seien, die eigenen Einreichungen jedoch nicht betroffen seien. Im Juni änderte sich diese Position: Toronto wurde mitgeteilt, dass Einreichungen aus dem Zeitraum von Januar 2022 bis November 2025 betroffen waren. Im Juli folgten Schätzungen von 176,859 Hinweisen, von denen 12,392 möglicherweise personenbezogene Informationen enthielten. Die Einreichungsdaten geben das Alter der gestohlenen Datensätze an, nicht eine fast vier Jahre andauernde Einbruchsdauer. ¹

Das größere Bild in Kanada reicht weiter zurück. In einer am 21. Oktober um 4 Uhr EDT veröffentlichten Recherche berichtete CBC, dass mehr als 1.5 Millionen Hinweise, die bei kanadischen Crime-Stoppers-Stellen eingegangen waren, von dem Datenleck betroffen seien; mindestens die Hälfte enthalte personenbezogene Informationen. Das begleitende Video beschrieb Einreichungen aus den vergangenen 25 Jahren. Dies ist ein historischer Zeitraum für die Datensätze, nicht die Dauer des Einbruchs. ^{13 17}

Die nationalen Erkenntnisse von CBC und Torontos Schätzungen beziehen sich auf unterschiedliche Bereiche und Beleggrundlagen. Die nationale Berichterstattung unterscheidet nicht zwischen personenbezogenen Informationen über Informanten und Informationen über Personen, die in Hinweisen beschrieben werden. Toronto sagte außerdem, dass die umfassenderen, anonym bezogenen Informationen nicht direkt an die Stadt weitergegeben worden seien. Die nationale Gesamtzahl ersetzt nicht Torontos Schätzung, und die beiden Angaben zu personenbezogenen Informationen lassen sich nicht als direkt vergleichbare Quoten behandeln. ^{13 1}

Auch die öffentliche Position von Navigate360 entwickelte sich weiter. Ein am 23. Oktober von CNA veröffentlichter und am 24. Oktober aktualisierter Bericht beschrieb, wie das Unternehmen einräumte, dass Hacker in eines seiner Systeme eingedrungen waren und Daten aus mehreren Monaten kopiert hatten. Dieses Eingeständnis belegt weder, dass Toronto den gestohlenen Hinweistext erhalten hat, noch erklärt es die Rolle der genannten Personen oder weist nach, dass die Sicherheitslücken vollständig behoben wurden. Ein konkreter Zeitpunkt für die Übermittlung oder Wiederaufnahme wurde nicht bestätigt. ²²

Auch die Polizei von Toronto setzte die Nutzung von Crime Stoppers aus, während sie die Schutzmaßnahmen prüfte. Die Unterscheidung ist wichtig: Toronto Crime Stoppers und der Toronto Police Service sind eigenständige Organisationen, und die betroffene Plattform wird unabhängig von der Polizeibehörde betrieben. Der Diebstahl von dieser Plattform ist kein Beleg dafür, dass die internen Computersysteme der Polizei von Toronto gehackt wurden. ^{5 3}

Die Aussetzungen breiteten sich in Ontario aus. Halton, Peel und Hamilton kündigten am 22. Oktober Aussetzungen oder Pausen an. Halton teilte mit, dass einige Informationen mit Bezug zu seiner Region enthalten waren; Peel erklärte, die Teilnahme werde erst wieder aufgenommen, wenn die Plattform als sicher eingestuft werde. Hamilton wollte vor einer Wiederaufnahme weitere Informationen zu Sicherheit und Schutzmaßnahmen einholen. ^{32 44 62}

Auch York setzte seine Partnerschaft am 22. Oktober mit sofortiger Wirkung aus und prüfte zugleich die Auswirkungen auf den Betrieb und die Sicherheit der Hinweisgeber. In seiner Erklärung vom 23. Oktober teilte Kingston mit, dass es Crime Stoppers während der Prüfung der Entwicklungen nicht als Meldeweg nutze. Die Behörden erwogen also nicht lediglich, ob sie die Nutzung einstellen sollten: Prüfung und Aussetzung erfolgten gleichzeitig. Auch London kündigte am 23. Oktober eine Aussetzung an. Dies sind Entscheidungen einzelner Orte und kein Beleg für eine landesweite Stilllegung in Kanada. ^{54 56 61}

Direkte Meldungen an die Polizei sind weiterhin möglich, aber kein gleichwertiger Ersatz. Hamilton nennt für nicht dringende Meldungen die Nummer 905-546-4925. Kingston verweist Anrufer an 613-549-4660, Durchwahl 0. York nennt für nicht dringende Fälle die Nummer 1-866-876-5423 und nimmt außerdem Nachrichten und E-Mails entgegen. Zugleich wird ausdrücklich darauf hingewiesen, dass die Geheimhaltung der Identität einer Person keine Anonymität garantiert. Bei einem unmittelbaren Notfall wählen Sie 911. ^{62 56 54}

Bis zum 24. Oktober war keine datierte Ankündigung zur Wiedereröffnung in Toronto bestätigt; in den jüngsten datierten Berichten war weiterhin von der Pause die Rede. Um den Dienst wiederherzustellen, reicht es nicht, einfach ein Einreichungsformular wieder zu aktivieren. Menschen, die bereits Hinweise eingereicht haben, brauchen eine aussagekräftige Einschätzung dazu, was das gestohlene Material offenbart. Menschen mit neuen Informationen brauchen Schutzmaßnahmen, die stark genug sind, um das Versprechen zu rechtfertigen, das sie ursprünglich zu Crime Stoppers geführt hat. ^{3 1}