EY meldet Datenvorfall nach Angriff auf Support-Plattform

Ein Datenabfluss bei EY zeigt einmal mehr, warum Ticket-Systeme und Support-Plattformen längst zu kritischen Angriffsflächen moderner Enterprise-IT geworden sind.

Bei EY sind über ein Drittanbieter-Supportsystem Dokumente mit Steuer- und Finanzdaten von Unternehmenskunden abgeflossen. Der Vorfall zeigt, wie IT-Service-Management-Plattformen, Ticket-Anhänge und ausgelagerte Support-Prozesse zu kritischen Datenknoten in Enterprise-Umgebungen werden können.

Was über den Vorfall bekannt ist

Ernst & Young LLP hat Kunden über einen Datenvorfall informiert, der eine von EY genutzte Drittanbieter-Plattform für IT-Service-Management betrifft. Nach dem bei der kalifornischen Generalstaatsanwaltschaft veröffentlichten Brief sollte die Plattform internen IT-Teams ermöglichen, Beschäftigte bei steuerbezogenen Arbeiten für Kunden zu unterstützen.

EY stellte nach eigenen Angaben am 23. April 2026 auffällige Aktivitäten fest, leitete Incident-Response-Maßnahmen ein und beauftragte ein externes Cybersecurity-Unternehmen mit der Untersuchung. Diese ergab, dass ein unbefugter Dritter zwischen dem 28. März und dem 12. April 2026 auf die Plattform zugegriffen und Dokumente mit personenbezogenen Informationen heruntergeladen hatte im Zusammenhang mit Investmentbeständen bei einem EY-Kunden sowie bestimmten Finanzinformationen, die in Steuererklärungen enthalten waren oder deren Erstellung genutzt wurden. .

EY erklärte weiterhin, die unbefugten Zugriffe seien gestoppt und die Systeme gesichert worden. Außerdem seien Bundesbehörden informiert worden. Zum Zeitpunkt der Benachrichtigung hätten dem Unternehmen keine Hinweise auf Missbrauch oder eine weitere Offenlegung der betroffenen personenbezogenen Daten vorgelegen; auch gebe es keine Anzeichen dafür, dass bestimmte Personen gezielt angegriffen worden seien.

Offene Fragen zu Umfang und betroffenen Daten

Welche Datenelemente im Einzelnen bei allen Betroffenen offengelegt wurden, lässt sich nicht vollständig aus den öffentlich zugänglichen Informationen ableiten. Auch, wie viele Personen oder Kunden insgesamt betroffen sind, ist bislang nicht öffentlich bekannt. BleepingComputer berichtete, EY habe weder die Zahl der betroffenen Kunden genannt noch klargestellt, ob der Vorfall ausschließlich US-Kunden betrifft oder auch andere Länder einschließt. Nach kalifornischem Recht müssen Unternehmen der Generalstaatsanwaltschaft eine Musterbenachrichtigung übermitteln, wenn infolge eines einzelnen Sicherheitsvorfalls mehr als 500 Einwohner Kaliforniens benachrichtigt werden.

Die Generalstaatsanwaltschaft von Vermont führt den Fall mit 13 betroffenen Einwohnern von Vermont in den Kategorien Sozialversicherungsnummern, Finanzkontocodes und Kredit- oder Debitkarteninformationen.

SecurityWeek berichtete unter Verweis auf Angaben gegenüber der texanischen Generalstaatsanwaltschaft zudem von Namen, Adressen, Sozialversicherungsnummern, Konto- und Kredit- beziehungsweise Debitkartennummern sowie weiteren Informationen, die zur Erstellung von Steuerunterlagen genutzt wurden.

Zum Verständnis: Die öffentlich verfügbaren Informationen zu dem Vorfall stammen aus mehreren bundesstaatlichen Meldesystemen. In den USA können Unternehmen nach einer Datenpanne gleichzeitig Dutzenden unterschiedlicher Melde- und Benachrichtigungspflichten unterliegen. So wurde das Benachrichtigungsschreiben von EY über die Generalstaatsanwaltschaft Kaliforniens öffentlich zugänglich. Zusätzliche Angaben ergeben sich aus Meldungen an die Generalstaatsanwaltschaften von Vermont und Texas, die jeweils eigene Register für Datenschutzverletzungen führen. Während Vermont Informationen zur Zahl der betroffenen Einwohner und zu einzelnen Datenkategorien veröffentlichte, lieferten die in Texas eingereichten Unterlagen weitere Details zu den potenziell kompromittierten Datentypen. Die regulatorische Komplexität steigt zusätzlich, wenn betroffene Personen in mehreren Bundesstaaten leben oder internationale Datenschutzvorschriften – etwa die DSGVO – parallel relevant sind.

Laut SecurityWeek habe EY weder Details zum Angriffsweg noch zum verantwortlichen Akteur genannt; auch sei bislang keine bekannte Ransomware- oder Erpressungsgruppe öffentlich als Verantwortliche aufgetreten.

Warum Support-Plattformen ein Enterprise-Risiko sind

Der Enterprise-Bezug des Vorfalls liegt weniger in der Kompromittierung eines einzelnen Supportsystems als in der Rolle solcher Plattformen innerhalb großer Organisationen. IT-Service-Management- und Ticketing-Systeme sind Arbeitsmittel für den internen Support. Durch Anhänge, Log-Auszüge, Screenshots oder Problembeschreibungen können sie jedoch Daten aus produktiven Geschäftsprozessen enthalten. EY gibt selbst an, dass Support-Tickets Dokumente mit Steuerinformationen von Kunden enthalten haben können.

Im Enterprise-Kontext ist deshalb nicht nur die Sicherheit primärer Datenbanken, Portale oder Fachanwendungen relevant, sondern auch die Governance sekundärer Datennutzung in Support-, Kollaborations- und Serviceprozessen.

Besonders sensibel ist der Fall, weil EY im betroffenen Kontext professionelle Steuerdienstleistungen für eine breite Gruppe von Finanzinstituten erbringt und dabei personenbezogene Daten zu Investment-Beständen erhielt. Betroffen sein können damit auch Personen, die nicht direkt mit EY in Beziehung stehen, sondern mit einem Finanzinstitut, das EY für steuerbezogene Dienstleistungen einsetzt. Diese Konstellation macht den Vorfall zu einem Beispiel für mehrstufiges Drittparteienrisiko: Ein Unternehmenskunde gibt Daten an einen professionellen Dienstleister weiter; dieser nutzt eine Supportplattform; und in dieser Plattform können steuer- oder finanzbezogene Dokumente als Ticket-Anhänge auftauchen. Für Risk-, Compliance- und Security-Teams ist genau diese Datenbewegung entscheidend, weil sie sich häufig außerhalb der ursprünglichen Datenklassifizierung und außerhalb enger Fachprozesskontrollen abspielt.

Drittparteien werden zum zentralen Risikofaktor

Der Vorfall fügt sich in eine breitere Entwicklung ein, in der Drittanbieter- und Lieferkettenbeziehungen zu einem zentralen Faktor bei Datenpannen werden. Für den Verizon Data Breach Investigations Report 2025 wurden 22.052 Sicherheitsvorfälle und 12.195 bestätigte Datenpannen analysiert. Die Beteiligung von Drittparteien an Breaches hatte sich gegenüber dem Vorjahr von 15 auf 30 Prozent verdoppelt. NIST empfiehlt, dass Organisationen Risiken aus Produkten und Services in der Lieferkette identifizieren, bewerten und mindern müssen – auch, weil Unternehmen oft nur eine begrenzte Sicht darauf haben, wie erworbene Technologie entwickelt, integriert und betrieben wird.

Im EY-Fall wird diese Problematik konkret: Nicht nur der Dienstleister selbst, sondern auch die von ihm eingesetzten Service-Management-Prozesse sind Teil der Risikokette.

Für Unternehmen ergeben sich daraus mehrere Governance-Fragen:

• Erstens muss klar geregelt sein, welche Arten von Daten überhaupt in Support-Tickets abgelegt werden dürfen und wie Ticket-Anhänge klassifiziert, verschlüsselt, gelöscht oder exportiert werden.
• Zweitens braucht es technische Kontrollen für Zugriff, Protokollierung, Data-Loss-Prevention und Anomalieerkennung auf ITSM-Plattformen – nicht nur auf Kernsystemen.
• Drittens sollten Verträge mit Dienstleistern und Plattformanbietern Regelungen zu Datenminimierung, Aufbewahrung, Audit-Rechten, Incident-Meldungen, forensischer Unterstützung und Unterauftragnehmern enthalten.

Fazit

Die wichtigste Lehre aus dem EY-Vorfall ist, dass sensible Unternehmens- und Kundendaten in komplexen Dienstleisterketten auch dort entstehen oder landen können, wo sie operativ nicht im Mittelpunkt stehen. Solche Systeme sind tief in Arbeitsabläufe eingebettet, werden von vielen Rollen genutzt und enthalten gerade wegen ihrer Supportfunktion wertvolle Kontextinformationen, die Angreifer verwerten können. Enterprise-Security muss heute die gesamte Datenbewegung über Fachsysteme, Dienstleister, Supportkanäle und Identitätsprozesse abdecken – nicht nur in offensichtlichen Kernanwendungen.