Das EY-Datenleck ist eine nützliche Fallstudie darüber, wie Risiken über Dienstleister wandern. Angreifer sollen sich 15 Tage lang in einer IT-Support-Plattform eines Drittanbieters aufgehalten haben, und betroffene Kunden warteten rund 81 Tage, um davon zu erfahren. Steuerdaten wurden offengelegt. Selbst wenn Ihr Steuerberater das betroffene System nie berührt hat, zeigt der Vorfall, warum es sich auszahlt zu fragen, wer sonst noch Ihre Unterlagen verarbeitet.

Was wir über den zeitlichen Ablauf des EY-Datenlecks wissen

EY bestätigte, dass Hacker 15 Tage lang auf eine IT-Support-Plattform eines Drittanbieters zugegriffen und dabei Steuerinformationen von Kunden offengelegt haben. Basierend auf öffentlichen Berichten und den Benachrichtigungsschreiben des Unternehmens sieht die Abfolge so aus:

  • Das Zugriffsfenster des Angreifers dauerte 15 Tage und schloss sich dann.
  • EY identifizierte am 23. April 2026 anomalie Aktivitäten, angeblich elf Tage nachdem sich dieses Zugriffsfenster geschlossen hatte.
  • Die Datenschutzbenachrichtigungen wurden Mitte Juli 2026 eingereicht. Ein bei der Generalstaatsanwaltschaft von Vermont eingereichter Bericht ist auf den 16. Juli 2026 datiert.

Die Schlagzeile von 81 Tagen stammt aus dem in der Berichterstattung zitierten Zeitablauf. Einige Medien runden die Lücke etwas anders (eines setzt sie bei etwa 83 Tagen an), je nachdem, von welchen Daten sie zählen. Die genaue Zahl ist weniger wichtig als das Muster: eine lange Zeitspanne zwischen Entdeckung und Benachrichtigung.

Unsere frühere Berichterstattung darüber, wie Kunden-Steuerdateien durch einen IT-Support-Hack offengelegt wurden, beschreibt die Support-Ticket-Plattform, die im Zentrum des Vorfalls steht.

Warum eine IT-Support-Plattform eines Drittanbieters wichtig ist

Support-Ticket-Systeme sammeln viele Informationen. Mitarbeiter hängen Screenshots, Dateien und Fehlerprotokolle an, damit ein Problem schnell diagnostiziert werden kann. Diese Bequemlichkeit bedeutet, dass sensibles Material in einem System landen kann, das nie als sicherer Dokumententresor konzipiert wurde.

Dies ist die zentrale Lehre in Bezug auf Dienstleister. Ein Unternehmen kann starke Kontrollen in seinen Hauptsystemen betreiben und dennoch über ein Tool exponiert sein, das es für Routineabläufe nutzt. Für Kunden ist der schwache Punkt oft unsichtbar: Sie vertrauen Ihrem Berater, aber Sie wissen selten, welche Plattformen hinter ihm stehen.

Der Kreis der Opfer hat sich ebenfalls erweitert. Spätere Offenlegungen nannten Goldman Sachs und Man Group unter den betroffenen Organisationen, was zeigt, wie eine einzige Kompromittierung auf Seiten eines Dienstleisters viele separate Organisationen gleichzeitig erreichen kann.

Die Benachrichtigungslücke: Warum sie zählt

Eine lange Verzögerung zwischen Entdeckung und Benachrichtigung ist nicht nur ein Verfahrensproblem. Untersuchungen brauchen Zeit, und Unternehmen müssen herausfinden, wessen Daten betroffen waren. Aber jeder Tag ohne Benachrichtigung ist ein Tag, an dem betroffene Personen keine Kredit sperren, nicht auf betrügerische Steuererklärungen achten und keine Passwörter ändern können.

Steuerdaten erhöhen den Einsatz. Berichte deuten darauf hin, dass die Offenlegung Sozialversicherungsnummern umfassen könnte. Diese Art von Informationen ermöglicht es Kriminellen, Steuererstattungsbetrug zu versuchen, Konten zu eröffnen oder überzeugende Phishing-Nachrichten zu erstellen. Die Menschen, die am stärksten gefährdet sind, sind diejenigen, die noch nicht wissen, dass sie betroffen sind.

Benachrichtigte Personen erhalten Identitätsüberwachung. Berichten zufolge läuft das Anmeldefenster bis zum 31. Oktober 2026, es lohnt sich also, vorher zu handeln, wenn Sie einen Brief erhalten.

Was das für Sie bedeutet

Sie müssen kein EY-Kunde sein, um etwas daraus mitzunehmen. Viele Menschen teilen Steuerdokumente mit Steuerberatern, Lohnbuchhaltungsdienstleistern und Finanzberatern, und jeder von ihnen kann von Plattformen Dritter abhängig sein.

Wenn Sie ein Benachrichtigungsschreiben erhalten haben, behandeln Sie es als echt und reagieren Sie umgehend. Benachrichtigungsschreiben sind der legitime Weg, wie betroffene Personen kontaktiert werden, aber Betrüger imitieren sie oft nach einem Datenleck. Verwenden Sie daher die auf dem offiziellen Schreiben aufgedruckten Kontaktdaten und nicht Links in unerwarteten E-Mails.

Wenn Sie keinen Brief erhalten haben, haben Sie dennoch Grund, Ihre Exposition zu überprüfen. Fragen Sie Ihren Steuerberater oder Berater, ob er externen IT-Support oder Ticket-Plattformen nutzt und ob diese Tools Kundendateien enthalten können. Fragen Sie auch, zu welcher Benachrichtigung sie sich nach einem Vorfall verpflichten. Vage Antworten sind selbst eine Information.

Für eine Schritt-für-Schritt-Anleitung lesen Sie unseren Leitfaden dazu, wie Sie Ihre Unterlagen nach dem EY-Steuerdatenleck schützen.

Umsetzbare Erkenntnisse

  • Beantragen Sie eine Identitätsschutz-PIN oder ein Äquivalent. Viele Steuerbehörden bieten eine zusätzliche Ebene, die verhindert, dass jemand anderes in Ihrem Namen eine Erklärung einreicht. Prüfen Sie, was Ihre nationale oder staatliche Behörde anbietet.
  • Sperren Sie Ihre Kreditwürdigkeit. Eine Sperre ist in vielen Ländern kostenlos und verhindert, dass mit gestohlenen Daten neue Konten eröffnet werden.
  • Überwachen Sie steuerbezogene Aktivitäten. Achten Sie auf unerwartete Steuerauszüge, abgelehnte E-Filings oder Schreiben von Steuerbehörden über Erklärungen, die Sie nicht eingereicht haben.
  • Nutzen Sie das Überwachungsangebot. Wenn Sie benachrichtigt wurden, melden Sie sich vor der Frist vom 31. Oktober 2026 an.
  • Fragen Sie nach Dienstleistern und Zeitplänen. Verlangen Sie, dass Ihr Steuerberater oder Berater offenlegt, welche Dritten auf Ihre Daten zugreifen und wie schnell sie sich zur Benachrichtigung verpflichten.
  • Begrenzen Sie, was Sie senden. Teilen Sie nur die Dokumente, die eine Aufgabe erfordert, und nutzen Sie sichere Portale statt E-Mail-Anhänge.
  • Achten Sie auf Phishing. Nachrichten über Datenlecks befeuern Identitätsbetrugsversuche. Verifizieren Sie daher jede Nachricht über Ihre Steuern über offizielle Kanäle.

Das Fazit

Das EY-Datenleck zeigt, dass Ihre Daten nur so sicher sind wie das schwächste Tool in der Kette, und dass eine langsame Benachrichtigung Menschen länger exponiert lässt als das Eindringen selbst. Sie können die Sicherheit eines Dienstleisters nicht kontrollieren, aber Sie können kontrollieren, wie schnell Sie reagieren: Sperren Sie Ihre Kreditwürdigkeit und Ihre Steueridentität, stellen Sie den Fachleuten, die Ihre Unterlagen verwahren, harte Fragen und handeln Sie bei jeder Benachrichtigung, die Sie erhalten, bevor die Fristen verstreichen.