Der Anhang, über den niemand nachgedacht hat

Das Dokument, das abfloss, wurde von jemandem angehängt, der seine Arbeit korrekt erledigte. Eine Steuermitarbeiterin stößt bei einer Mandantenerklärung auf einen Berechtigungsfehler, öffnet ein Ticket beim internen IT-Team und hängt die Datei an, damit der Analyst den Fehler nachstellen kann. Das Ticket wird am selben Nachmittag geschlossen. Über den Anhang spricht danach niemand mehr.

Ernst & Young hat offengelegt, dass ein unbefugter Dritter auf eine externe IT-Service-Management-Plattform zugegriffen hat, die von den internen IT-Teams zur Unterstützung der Steuerpraxis genutzt wird. In den Worten von EY können über die Plattform eingereichte Support-Tickets "Dokumente mit Steuerinformationen von Mandanten enthalten". Zu den gemeldeten Datenarten gehören personenbezogene und finanzielle Daten, die in Steuererklärungen enthalten sind oder zu deren Erstellung dienten.

EY erklärt, der Eindringling sei zwischen dem 28. März 2026 und dem 12. April 2026 in der Plattform gewesen und habe Dokumente zu einer Reihe von EY-Mandanten heruntergeladen. Die Kanzlei erklärt zugleich, ihr sei "kein Missbrauch und keine weitere Offenlegung Ihrer personenbezogenen Daten bekannt". Beide Aussagen stehen im Protokoll. Beruhigend ist nur die zweite.

Zwei Wochen drin, elf Tage bis zur Entdeckung, drei Monate bis zur Nachricht

Die Daten wiegen hier schwerer als die Technik. Der Zugriff lief vom 28. März 2026 bis zum 12. April 2026. EY stellte am 23. April 2026 auffällige Aktivitäten fest. Die Benachrichtigungsschreiben an betroffene Mandanten sind auf den 13. Juli 2026 datiert, eine Meldung an den Generalstaatsanwalt von Kalifornien erfolgte am 15. Juli 2026. Vier Bundesstaaten wurden informiert.

Was EY nicht veröffentlicht hat, wiegt ebenso schwer. Der Anbieter hinter der Plattform wurde nicht genannt. Der initiale Angriffsweg wurde nicht offengelegt. Eine Zahl der Betroffenen fehlt, und es bleibt unklar, wie viele Mandanten betroffen sind. Keine Ransomware-Gruppe hat die Verantwortung übernommen, womit die übliche öffentliche Quelle für ein Inventar gestohlener Dateien entfällt.

Für einen Mandanten der Kanzlei ist genau diese Kombination das Problem. Sie wissen, dass Ihre Unterlagen bewegt worden sein können. Sie wissen nicht, welche, Sie kennen den Einstiegsweg nicht, und Sie können die Angabe nicht unabhängig prüfen, weil die Protokolle nie bei Ihnen lagen. Alles, was Sie einer Behörde sagen können, ist ein Zitat von jemand anderem.

Der Helpdesk ist ein Datenspeicher, den niemand kartiert hat

Das System, das abfloss, war nicht die Steuerplattform. Es war die Ticket-Warteschlange. Dieser Unterschied ist die eigentliche Lehre, und er gilt für Häuser, die weit kleiner sind als EY.

Mitarbeitende hängen Mandantendokumente routinemäßig an Support-Tickets, weil das Anhängen der schnellste Weg zur Fehlerbehebung ist. Über wenige Jahre sammelt der Helpdesk still eine unklassifizierte, beim Anbieter liegende, unbefristet gespeicherte Schattenkopie des sensibelsten Materials des Hauses an. Entworfen hat das niemand. Es ist ein Nebenprodukt allgemeiner Hilfsbereitschaft.

Auf dem Papier ist das meist unsichtbar. Die ITSM-Plattform taucht selten auf einer Datenlandkarte auf, selten im Verzeichnis von Verarbeitungstätigkeiten und selten in einer Datenschutz-Folgenabschätzung, weil niemand den IT-Helpdesk als Ort einordnet, an dem Mandantendaten liegen. Die Steuerplattform bekommt die Verschlüsselungsprüfung, die Rezertifizierung der Zugriffe und eine Löschfrist. Die Warteschlange mit den Kopien derselben Dokumente bekommt eine Lizenzverlängerung.

Ihre 72-Stunden-Frist beginnt, wenn Ihr Auftragsverarbeiter es will

Die Meldeverzögerung eines Auftragsverarbeiters geht direkt von Ihrem eigenen Zeitfenster ab. Nach der DSGVO läuft die 72-Stunden-Meldepflicht eines Verantwortlichen ab dem Moment, in dem der Verantwortliche Kenntnis von der Verletzung erlangt. Braucht die Stelle, die Ihre Daten hält, fast drei Monate bis zur Information, beginnt Ihre Frist fast drei Monate nach dem Abzug des Angreifers.

Übertragen Sie das auf diese Daten. Entdeckung am 23. April 2026, Mandantenschreiben vom 13. Juli 2026. Ein Haus, das dieses Schreiben erhält, eröffnet Mitte Juli das Gespräch mit dem BfDI oder der zuständigen Landesdatenschutzbehörde über Downloads von Ende März, ohne eigene Telemetrie, ohne genannten Anbieter und ohne beschreibbaren Umfang der Offenlegung.

Aufsichtsbehörden ist nicht gleichgültig, wer die Verzögerung verursacht hat, und ein Verantwortlicher, der auf Basis der ihm vorliegenden Informationen zügig handelte, steht vertretbar da. Die praktische Erfahrung bleibt trotzdem schlecht: Sie erklären eine Lücke, die Sie nicht verursacht haben, mit Fakten, die Sie nicht prüfen können, gegenüber einer Behörde, die zu Recht fragen wird, warum Ihr Vertrag diese Verzögerung überhaupt zuließ.

Drei Änderungen, die vor dem nächsten Prüfzyklus lohnen

Finden Sie zuerst heraus, was Ihre Ticket-Warteschlange tatsächlich enthält. Exportieren Sie ein Jahr an Anhängen nach Dateityp und ziehen Sie Stichproben. Die meisten Häuser, die diese Übung machen, finden Gehaltsdateien, Ausweisdokumente, unterschriebene Verträge und Steuerarbeitspapiere in geschlossenen Tickets, die vor Jahren erledigt und vergessen wurden.

Setzen Sie dann eine Aufbewahrungsfrist. Anhänge an erledigten Tickets sollten nach einem definierten Zeitplan verfallen und automatisch gelöscht werden, und der Standard sollte in Wochen gemessen sein. Wo die Reproduktion eines Fehlers wirklich Mandantendaten braucht, sollte der Ablauf die Mitarbeitenden auf einen kontrollierten Speicherort statt auf das Ticket verweisen, und die Plattform sollte diesen Unterschied belegen können.

Lesen Sie schließlich den Anbietervertrag gezielt gegen dieses Szenario. Prüfen Sie, ob der definierte Schutzbereich Tickettexte und Anhänge umfasst und nicht nur die Kerndatensätze des Anbieters. Prüfen Sie, ob die Meldepflicht in Stunden ab Kenntnis des Anbieters formuliert ist. Prüfen Sie, ob Sie Anspruch auf die forensischen Details haben, einschließlich des Angriffswegs, den Sie für Ihre eigene Aufsichtsbehörde brauchen.

Weiterlesen: 570 Windows-Patches an einem Tag, zwei bereits ausgenutzt  |  Rotieren Sie jedes Secret, das Grok Build jemals gesehen hat