Der Wirtschaftsprüfungs- und Beratungskonzern Ernst & Young (EY) wurde Opfer eines Datendiebstahls. Über ein kompromittiertes IT-Support-System eines Drittanbieters gelangten Unbefugte an vertrauliche Mandantendaten. Das Unternehmen hat das Leck inzwischen geschlossen und eine Untersuchung eingeleitet.
Der Wirtschaftsprüfungs- und Beratungskonzern Ernst & Young (EY) sieht sich mit den Folgen eines Sicherheitsvorfalls konfrontiert, bei dem sensible Mandantendaten abgeflossen sind. Wie das Unternehmen mitteilte, verschafften sich Unbefugte Zugriff auf eine Drittanbieter-Plattform, die für das IT-Support-Management innerhalb der Organisation genutzt wurde [1].
Unbefugter Zugriff auf Support-Tickets
Der Vorfall betraf ein System, auf das Mitarbeiter von EY zugreifen, um Unterstützung bei steuerbezogenen Mandaten anzufordern. Über diese Plattform wurden Support-Tickets abgewickelt, die in einigen Fällen Dokumente enthielten, in denen steuerliche Informationen und persönliche Finanzdaten der Klienten gespeichert waren [2] [3].
Erste Ermittlungen ergaben, dass der unbefugte Zugriff über einen Zeitraum von etwa zwei Wochen stattfand. Die Angreifer hatten zwischen dem 28. März 2026 und dem 12. April 2026 Zugriff auf das System und luden in dieser Zeit Dokumente herunter, die eine Reihe von Mandanten des Beratungsriesen betrafen [1] [4]. Der Vorfall wurde von EY am 23. April 2026 erkannt, woraufhin umgehend Incident-Response-Maßnahmen eingeleitet wurden [2] [5].
Reaktion und Sicherheitsmaßnahmen
Nach der Entdeckung des unbefugten Zugriffs beauftragte EY ein unabhängiges Cybersicherheitsunternehmen, um den Vorfall zu untersuchen und die betroffenen Systeme abzusichern. Nach Angaben des Unternehmens ist der unbefugte Zugriff nun unterbunden und die IT-Infrastruktur mittlerweile wieder vollständig gesichert [2].
EY betonte, dass bisher keine Erkenntnisse darüber vorlägen, dass die entwendeten Daten missbräuchlich verwendet oder gezielte Angriffe auf bestimmte Einzelpersonen durchgeführt wurden [1] [5]. Dennoch nimmt das Unternehmen den Vorfall zum Anlass, betroffene Mandanten proaktiv zu informieren. Als Vorsichtsmaßnahme bietet EY betroffenen Kunden eine kostenlose, 24-monatige Identitätsüberwachung über den Dienstleister Experian an, um etwaige Betrugsversuche frühzeitig zu erkennen [2] [6].
Risiken durch Drittanbieter-Systeme
Dieser Vorfall unterstreicht erneut die Verwundbarkeit großer Unternehmen gegenüber Schwachstellen in Drittanbieter-Systemen. Auch wenn EY selbst über hohe Sicherheitsstandards verfügt, bieten Schnittstellen zu externen Dienstleistern – wie IT-Service-Management-Plattformen – häufig zusätzliche Angriffsflächen, die in der Lieferkette („Supply Chain“) übersehen werden können [7].
Die rechtlichen Konsequenzen für das Unternehmen könnten über die bloße Information der Mandanten hinausgehen. In den Vereinigten Staaten haben erste Anwaltskanzleien bereits Untersuchungen im Hinblick auf mögliche Sammelklagen eingeleitet, da die Offenlegung von Steuerunterlagen ein erhebliches Risiko für die Betroffenen darstellt [6] [8]. Der Vorfall ist ein erneutes Beispiel dafür, wie die Komplexität moderner IT-Infrastrukturen die Anforderungen an das Risikomanagement in der Beratungsbranche stetig erhöht.