EY Third-Party Data Breach: 15 Tage im Helpdesk

EY third-party data breach: Angreifer verbrachten 15 Tage unbemerkt in einer Support-Ticketing-Plattform der Steuerabteilung von Ernst & Young und erbeuteten dabei Steuerunterlagen, Sozialversicherungsnummern und Finanzkontodaten von Mandanten — der dritte Sicherheitsvorfall über einen Drittanbieter innerhalb von drei Jahren.

Was ist passiert

Dieser EY third-party data breach lief vom 28. März bis 12. April 2026: Ein Unbefugter griff auf eine von der IT-Abteilung der EY-Steuerpraxis genutzte Third-Party-ITSM-Plattform (Helpdesk-/Ticketsystem) zu und lud Dokumente herunter, die an Support-Tickets angehängt waren. EY entdeckte die auffällige Aktivität am 23. April — 11 Tage, nachdem das Zugriffsfenster bereits geschlossen war — und reichte am 15. Juli eine Meldung beim California Attorney General ein; Vermont, Texas und Massachusetts folgten innerhalb weniger Tage. EY hat weder den Anbieter genannt noch offengelegt, wie die Angreifer den initialen Zugriff erlangten, noch eine globale Opferzahl bestätigt; die vier bestätigten Bundesstaaten-Meldungen ergeben eine Untergrenze von 1.366 betroffenen Personen — da EYs Mandantenbasis Fortune-500-Unternehmen und Finanzinstitute in 150 Ländern umfasst, dürfte die tatsächliche Zahl deutlich höher liegen. Keine Ransomware- oder Erpressergruppe hat sich zu dem Vorfall bekannt.

Zu den offengelegten Daten gehören Sozialversicherungsnummern, Finanzkontodaten, Kredit- und Debitkartendaten, Angaben zu Kapitalanlagen sowie Inhalte von Steuererklärungen der Mandanten. Es ist bereits der dritte bedeutende Vorfall über einen Drittanbieter bei EY innerhalb von drei Jahren — nach dem MOVEit/Cl0p-Vorfall 2023 (über Bank-of-America-Daten) und einem im Oktober 2025 offengelegten 4-TB-Azure-Backup. Alle drei Fälle haben dieselbe strukturelle Ursache: sensible Daten sammeln sich in einer Drittanbieter-Plattform an, die nie derselben Sicherheitsprüfung unterzogen wurde wie EYs Kernsysteme.

Warum das wichtig ist

IT-Service-Management- und Helpdesk-Plattformen dienen einem unspektakulären Zweck — dem Erfassen und Lösen von IT-Problemen der Mitarbeitenden —, werden aber unbemerkt zu „Schatten-Archiven“ sensibler Dokumente, sobald Mitarbeitende Mandantendateien an Support-Tickets anhängen. Da diese Plattformen außerhalb des üblichen Data-Governance-Perimeters liegen, erhalten sie in der Regel weniger Zugriffskontrolle, Aufbewahrungsdisziplin und Monitoring als primäre Datenbanken oder Fileserver. Für Finanzdienstleister, Steuerberater und Professional-Services-Unternehmen im DACH-Raum gilt dieselbe strukturelle Gefährdung unabhängig vom eingesetzten Helpdesk-Anbieter — und unter NIS2 und DSGVO ist eine unüberwachte Ansammlung von Mandanten-Finanz- und Steuerdaten in einem Drittanbieter-Support-Tool genau die Art von Drittparteirisiko, dessen aktive Bewertung Aufsichtsbehörden inzwischen erwarten, statt es erst nach einem Vorfall festzustellen.

Was Sie jetzt tun sollten

1. Sofortmaßnahme: Die eigene IT-Service-Management- oder Helpdesk-Plattform auf Ticket-Anhänge mit Steuer-, Gehalts-, Gesundheits- oder Mandanten-Finanzdaten prüfen.
2. Prüfen: Ob die eigene Ticketing-Plattform (ServiceNow, Zendesk, Freshdesk, Jira Service Management o. ä.) dieselben Zugriffskontrollen und Audit-Protokolle nutzt wie die primären Datenspeicher — standardmäßig ist das oft nicht der Fall.
3. Mitigierung: Eine Daten-Klassifizierungs- und Aufbewahrungsregel einführen, die sensible Anhänge aus abgeschlossenen Support-Tickets entfernt oder verschlüsselt, und den Zugriff von IT-Mitarbeitenden auf Ticket-Anhänge nach dem Need-to-know-Prinzip einschränken.
4. Monitoring: Anomalieerkennung und Audit-Logging auf der Ticketing-Plattform selbst aktivieren, nicht nur auf den Systemen, die sie unterstützt — EYs eigene Entdeckung erfolgte erst 11 Tage, nachdem das Zugriffsfenster der Angreifer bereits geschlossen war.

DIESEC Einschätzung

Dieses Muster sehen wir regelmäßig in Mittelstandsumgebungen: Sensible Daten sammeln sich in Nebensystemen an — Helpdesks, Backup-Freigaben, Dev-/Test-Umgebungen —, die nie derselben Sicherheitsprüfung unterzogen werden wie Produktionsdatenbanken. Genau diese Lücke sollen NIS2-Drittparteirisiko-Bewertungen aufdecken, sofern sie tatsächlich durchgeführt werden.

Nicht sicher, ob Ihr eigenes Helpdesk oder Ihre ITSM-Plattform zu einem unüberwachten Archiv sensibler Mandantendaten geworden ist? Kontaktieren Sie DIESEC für eine schnelle Prüfung der Drittanbieter-Datenexposition.

Quellen: BleepingComputer | Tech Times
Veröffentlicht: 2026-07-22 | Kategorie: Tägliche News | ~4 Min. Lesezeit