Ernst & Young, eines der größten professionellen Dienstleistungsunternehmen der Welt, hat einen Datenverstoß mit sensiblen Steuerunterlagen von Kunden bekannt gegeben. Einem Bericht von Cybernews zufolge haben Angreifer Zugang zu einer IT-Service-Management-Plattform eines Drittanbieters erlangt, die EY zur Unterstützung seiner Steuerabteilung nutzte. Der Vorfall erinnert daran, dass selbst die etabliertesten Finanz- und Buchhaltungsfirmen auf externe Anbieter angewiesen sind, um den Tagesbetrieb aufrechtzuerhalten, und diese Anbieter können zum schwächsten Glied in einer ansonsten starken Sicherheitskette werden.

Wenn Sie ein Kunde von EY sind, ein Mitarbeiter oder einfach jemand, der wissen möchte, wie man Steuerunterlagen nach einem solchen Verstoß schützt, erfahren Sie hier, was passiert ist, wer wahrscheinlich betroffen ist und welche konkreten Schritte Sie jetzt unternehmen sollten.

Was der EY-Verstoß offengelegt hat und wer gefährdet ist

Der Offenlegung zufolge stammte der Verstoß nicht aus den Kernsystemen von EY. Stattdessen kompromittierten Angreifer eine IT-Service-Management-Plattform eines Drittanbieters, jene Art von Tool, mit dem Unternehmen Support-Tickets protokollieren, technische Anfragen verfolgen und interne Arbeitsabläufe verwalten. Da diese Plattform mit Steuersupport-Funktionen verbunden war, scheint sie sensible Steuerdokumente enthalten zu haben, die von Kunden im Rahmen routinemäßiger Serviceanfragen eingereicht wurden.

Dies ist von Bedeutung, weil IT-Support-Plattformen oft als risikoarme interne Tools behandelt werden, selbst wenn sie hochsensible Anhänge wie Steuererklärungen, Finanzausweise oder persönliche Identifikationsdaten speichern. Unsere frühere Berichterstattung über den Vorfall, EY-Datenverstoß legt Steuerunterlagen von Kunden durch IT-Support-Hack offen, beschreibt im Detail, wie das kompromittierte Ticketsystem zu einem unerwarteten Aufbewahrungsort für genau die Art von Daten wurde, die Angreifer am meisten begehren: Sozialversicherungsnummern, Einkommensdetails und Steuererklärungshistorie.

Jeder, der während des betroffenen Zeitraums Steuerdokumente über die Support-Kanäle von EY eingereicht hat, sollte davon ausgehen, dass seine Informationen möglicherweise offengelegt wurden, bis EY oder der Anbieter das Gegenteil bestätigt.

Sofortmaßnahmen für EY-Kunden: Überwachung und Betrugswarnungen

Wenn Sie eine Benachrichtigung von EY erhalten haben oder glauben, betroffen zu sein, warten Sie nicht auf eine endgültige Antwort, bevor Sie handeln. Steuerdatenverstöße sind besonders gefährlich, weil sie Identitätsdiebstahl Tür und Tor öffnen, der sich über Monate hinziehen kann, nicht nur Tage.

Beginnen Sie mit diesen Schritten:

  • Beantragen Sie eine IRS Identity Protection PIN. Diese sechsstellige Nummer verhindert, dass jemand anderes unter Verwendung Ihrer Sozialversicherungsnummer eine Steuererklärung einreicht, selbst wenn er Ihre persönlichen Daten kennt.
  • Richten Sie Betrugswarnungen oder eine Kreditsperre ein. Kontaktieren Sie die großen Kreditauskunfteien, um eine Betrugswarnung oder Sperre in Ihrer Kreditakte zu platzieren. Dies erschwert es Kriminellen, neue Konten in Ihrem Namen zu eröffnen.
  • Achten Sie auf IRS-Benachrichtigungen über doppelte Einreichungen. Wenn das IRS eine Steuererklärung unter Ihrem Namen markiert, die Sie nicht eingereicht haben, ist das ein frühes Warnzeichen für steuerbezogenen Identitätsdiebstahl.
  • Überprüfen Sie jegliche Kommunikation von EY sorgfältig. Seriöse Benachrichtigungen über einen Verstoß werden Sie nicht auffordern, auf einen Link zu klicken und Ihre Sozialversicherungsnummer oder Bankdaten einzugeben. Betrüger nutzen Nachrichten über Verstöße oft als Deckmantel für Phishing-Versuche.

Schnelles Handeln verkleinert das Zeitfenster, das Angreifer haben, um gestohlene Steuerdaten auszunutzen, bevor Sie oder das IRS es bemerken.

Sicherung von Steuerdokumenten und Finanzdaten für die Zukunft

Über die unmittelbare Reaktion hinaus ist dieser Verstoß ein guter Anlass, generell zu überdenken, wie Sie Steuerdokumente speichern und teilen, unabhängig davon, ob Sie EY-Kunde sind oder nicht.

Vermeiden Sie es, Steuererklärungen, W-2-Formulare oder Sozialversicherungsnummern als ungeschützte Anhänge per E-Mail zu versenden. Wenn eine Firma oder Plattform Sie auffordert, sensible Dokumente über ein Support-Ticket oder Webportal hochzuladen, fragen Sie, wie diese Daten gespeichert werden und wie lange. Löschen Sie alte Kopien von Steuerdokumenten aus Cloud-Laufwerken oder E-Mail-Postfächern, sobald sie nicht mehr benötigt werden, und bewahren Sie ein einziges, gut geschütztes Archiv anstelle verstreuter Kopien über mehrere Dienste hinweg auf.

Es lohnt sich auch, Ihren Buchhalter oder Steuerberater direkt zu fragen, auf welche Drittanbieter-Tools er sich stützt und ob diese Anbieter auf Sicherheit geprüft wurden. Der EY-Vorfall zeigt, dass das Risiko nicht nur bei der von Ihnen beauftragten Firma liegt, sondern bei jeder Plattform in der Lieferkette dieser Firma.

Kann ein VPN oder verschlüsselter Speicher hier tatsächlich helfen?

Ein VPN macht einen bereits erfolgten Verstoß auf dem Server eines Anbieters nicht rückgängig, spielt aber eine Rolle dabei, Ihre zukünftige Gefährdung zu verringern. Die Nutzung eines VPN verschlüsselt Ihren Internetverkehr, was Angreifer daran hindert, sensible Dokumente abzufangen, während Sie sie in ein Steuerportal hochladen, insbesondere in öffentlichen oder gemeinsam genutzten WLAN-Netzen.

Verschlüsselter Cloud-Speicher bietet eine weitere Schutzschicht, indem er sicherstellt, dass Ihre Dateien selbst bei einer Kompromittierung des Speicheranbieters ohne Ihren Entschlüsselungsschlüssel nicht lesbar sind. Speziell für sensible Steuerdokumente sollten Sie nach Speicherdiensten suchen, die eine Ende-zu-Ende-Verschlüsselung bieten, anstatt sich ausschließlich auf die serverseitige Verschlüsselung des Anbieters zu verlassen, auf die der Anbieter selbst in der Regel zugreifen kann.

Keines dieser Tools ersetzt gute Gewohnheiten wie die Nutzung einer IRS Identity Protection PIN oder die Überwachung Ihrer Kreditauskunft, aber zusammen verringern sie die Anzahl der Möglichkeiten, wie Ihre Steuerdaten überhaupt durchsickern können.

Was das für Sie bedeutet

Der EY-Verstoß unterstreicht eine grundlegendere Wahrheit: Die Sicherheit Ihrer Steuerdaten hängt nicht nur von der Firma ab, der Sie vertrauen, sondern von jedem Anbieter und jeder Plattform, die diese Firma hinter den Kulissen nutzt. Unabhängig davon, ob Sie direkt von diesem Vorfall betroffen sind, ist es ein nützlicher Anstoß, Ihre eigene Gefährdung zu überprüfen, den Austausch von Finanzdokumenten zu verschärfen und eine Überwachung einzurichten, die Identitätsdiebstahl frühzeitig erkennt, nicht erst nachdem der Schaden entstanden ist.

Umsetzbare Erkenntnisse

  • Wenn Sie EY-Kunde sind, beantragen Sie jetzt eine IRS Identity Protection PIN und platzieren Sie eine Betrugswarnung oder Kreditsperre.
  • Achten Sie auf IRS-Benachrichtigungen über doppelte, in Ihrem Namen eingereichte Steuererklärungen.
  • Hören Sie auf, ungeschützte Steuerdokumente per E-Mail zu versenden; nutzen Sie stattdessen verschlüsselten Speicher oder Portale.
  • Fragen Sie jede Firma, die Ihre Steuerdaten verarbeitet, welche Drittanbieter-Tools sie einsetzt und wie diese Daten geschützt werden.
  • Verwenden Sie ein VPN, wenn Sie sensible Finanzdokumente in öffentlichen oder gemeinsam genutzten Netzwerken hochladen.

Für die vollständigen technischen Details, wie der Verstoß zustande kam, lohnt sich die Lektüre des ursprünglichen Vorfallberichts zur EY-Steuerdaten-Offenlegung, der nützlichen Kontext für alle bietet, die entscheiden möchten, wie ernst sie ihre eigene Gefährdung nehmen sollten.