EY-Datenpanne trifft IT-Support-Plattform eines Drittanbieters

Ernst & Young LLP, eines der weltweit größten Wirtschaftsprüfungs- und Beratungsunternehmen, informiert Mandanten über eine Datenpanne, bei der eine von seinen IT-Mitarbeitern genutzte Support-Ticket-Plattform kompromittiert wurde. Laut der Mitteilung des Unternehmens verschaffte sich ein unbefugter Dritter Zugang zu dem System und lud Dokumente mit Mandanten-Steuerdaten über einen Zeitraum von etwa zwei Wochen in diesem Frühjahr herunter. Die EY-Datenpanne ist eine Mahnung, dass selbst die größten und ressourcenstärksten Firmen durch die Tools gefährdet werden können, auf die ihre internen Support-Teams täglich angewiesen sind.

Support-Ticket-Systeme werden im Vergleich zu kundenorientierten Plattformen oder Finanzsystemen oft als Infrastruktur mit niedriger Priorität behandelt. Dennoch enthalten diese Tools häufig Anhänge, Korrespondenz und Dateien, die Mitarbeiter bei der Behebung technischer Probleme hochladen – darunter sensible Steuerdokumente, die im Rahmen routinemäßiger IT-Supportanfragen geteilt werden. Das macht sie zu einem attraktiven, aber oft übersehenen Ziel.

Wie ein Support-System zur Schwachstelle wurde

EY hat keine detaillierte technische Aufschlüsselung veröffentlicht, wie der Angreifer eindringen konnte, aber der Vorfall entspricht einem Muster, auf das Sicherheitsforscher in den letzten Monaten wiederholt hingewiesen haben: Systeme von Drittanbietern und supportnahe Plattformen werden zunehmend als Einstiegspunkt in ansonsten gut verteidigte Organisationen genutzt. Angreifer wissen, dass das Hauptnetzwerk, die E-Mail-Systeme und die Kundenportale eines Unternehmens – gewissermaßen die Haustür – in der Regel die meisten Sicherheitsinvestitionen erhalten. Backend-Tools, die von internen IT-Mitarbeitern verwendet werden, erfahren dagegen manchmal weniger Aufmerksamkeit, obwohl sie eine überraschend große Menge sensibler Daten enthalten können.

Diese Dynamik ist keine EY-Eigenheit. Andere aktuelle Vorfälle, darunter die MSI-Installer-Malware-Kampagne, die auf Krypto-Händler abzielt, zeigen, wie Angreifer weiterhin vertrauenswürdige Software- und Support-Kanäle ausnutzen, anstatt einen Frontalangriff auf gehärtete Systeme zu versuchen. In jenem Fall verschafften fest im Code verankerte Zugangsdaten in den Installationsdateien den Angreifern einen stillen Fuß in der Tür. Bei EY war der Einstiegspunkt eine Support-Ticket-Plattform, aber die grundlegende Lehre ist dieselbe: Jedes System, das Dateien, Zugangsdaten oder Kundendaten verarbeitet, verdient dasselbe Schutzniveau wie zentrale Geschäftssysteme.

Datenschutzimplikationen für EY-Mandanten

Das besorgniserregendste Detail in der Benachrichtigung von EY betrifft die Art der betroffenen Daten. Steuerdokumente enthalten in der Regel Sozialversicherungsnummern, Einkommensdetails, Finanzkontoinformationen und andere Identifikatoren, die für Identitätsdiebstahl und Steuerbetrug wertvoll sind. Ein Zugriffszeitraum von rund zwei Wochen gibt einem Angreifer ausreichend Zeit, um bestimmte Dateien zu identifizieren, auszuwählen und gezielt abzuziehen, statt wahllos Daten mitzunehmen. Das deutet darauf hin, dass der Eindringling möglicherweise gezielt und nicht nur opportunistisch handelte.

Für betroffene Mandanten reichen die Datenschutzrisiken über die unmittelbare Offenlegung hinaus. Steuerdaten haben eine lange Haltbarkeit. Anders als ein Passwort, das sich sofort ändern lässt, können eine Sozialversicherungsnummer oder historische Steuererklärungen nicht einfach zurückgesetzt werden. Das bedeutet, dass die Konsequenzen dieser Art von Datenschutzverletzung Monate oder sogar Jahre später auftauchen können – in Form von betrügerischen Steuererklärungen, unbefugten Kreditanträgen oder gezielten Phishing-Versuchen, die mit echten Kontodaten arbeiten, um legitim zu wirken.

Was das für Sie bedeutet

Wenn Sie EY-Mandant sind – oder Mandant einer anderen Gesellschaft, die Ihre Steuererklärungen über eine Drittanbieter-Plattform abgewickelt hat –, ist dieser Vorfall ein guter Anlass, Ihre eigene Gefährdung zu überprüfen. Fragen Sie Ihren Dienstleister direkt, ob Ihre Daten zu den betroffenen Dateien gehörten, lassen Sie sich dies schriftlich bestätigen, und informieren Sie sich, welche Überwachungs- oder Schutzleistungen, etwa eine Kreditüberwachung, infolge des Vorfalls angeboten werden.

Generell verdeutlicht diese Panne, warum es sinnvoll ist, vorsichtig zu sein, wie viele sensible Dokumente Sie überhaupt auf Support-Portale hochladen – selbst wenn die Anfrage routinemäßig erscheint. IT-Support-Tickets sind nicht immer mit derselben Sicherheitsstrenge konzipiert wie spezielle Dokumentenmanagementsysteme, und Mandanten haben selten Einblick, wie lange hochgeladene Dateien aufbewahrt werden oder wer intern darauf zugreifen kann.

Handlungsempfehlungen

Falls Sie den Verdacht haben, dass Ihre Steuerdaten von der EY-Datenpanne oder einem ähnlichen Vorfall bei einem Beratungsunternehmen betroffen sein könnten, sollten Sie folgende Schritte in Betracht ziehen:

  • Kontaktieren Sie das Unternehmen direkt, um zu erfahren, ob Ihre Unterlagen tatsächlich Teil der kompromittierten Dateien waren, und fordern Sie Details zum Umfang des zweiwöchigen Zugriffsfensters an.
  • Richten Sie eine Betrugswarnung oder eine Kreditsperre bei den großen Wirtschaftsauskunfteien ein, falls steuerliche oder finanzielle Identifikatoren betroffen sind.
  • Überwachen Sie Ihre Steuererklärungen und -bescheide aufmerksam auf Anzeichen betrügerischer Aktivitäten, insbesondere während der Steuersaison.
  • Vermeiden Sie es, sensible Finanzdokumente auf Support-Portale hochzuladen, wenn es nicht zwingend erforderlich ist, und fragen Sie Ihre Dienstleister nach deren Richtlinien zur Datenaufbewahrung.
  • Verwenden Sie starke, einzigartige Passwörter und Multi-Faktor-Authentifizierung für jedes Kundenportal, das mit der betroffenen Gesellschaft verbunden ist.
  • Wenn Sie von einem ungesicherten Netzwerk aus auf sensible Finanzplattformen zugreifen, kann eine zusätzliche Verschlüsselungsschicht über ein korrekt konfiguriertes VPN, wie in dieser NordVPN-Setup-Anleitung beschrieben, Ihr Risiko verringern.

Die EY-Datenpanne unterstreicht eine grundlegende Wahrheit über modernen Datenschutz: Die Sicherheit ist nur so stark wie das am wenigsten überwachte System. Solange die Untersuchungen laufen, sollten betroffene Mandanten aufmerksam auf offizielle Mitteilungen achten und jede unerwartete E-Mail, die sich auf diesen Vorfall bezieht, mit Vorsicht behandeln, denn solche Datenschutzverletzungen lösen häufig eine Welle nachfolgender Phishing-Versuche aus.