Das Ernst & Young Datenleck hat einen Bekenner: Die Erpressergruppe ShinyHunters hat die Wirtschaftsprüfungsgesellschaft am 27. Juli 2026 auf ihre Leak-Seite gesetzt und behauptet, hinter dem Angriff zu stecken. Der Weg hinein soll ein Supply-Chain-Angriff auf einen IT-Dienstleister gewesen sein – ein Muster, das gerade Konzerne mit vielen Zulieferern trifft.
Was beim Ernst & Young Datenleck passiert ist
EY hatte den Vorfall Mitte Juli offengelegt. Kompromittiert wurde ein Drittanbieter-System für Support-Tickets, das die interne IT für die Betreuung steuerbezogener Mandantenarbeit nutzt. Auffällige Aktivität bemerkte EY am 23. April; der Angreifer hatte demnach zwischen dem 28. März und dem 12. April Zugriff und lud mehrere Dokumente herunter.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Die Support-Tickets konnten Mandantenunterlagen mit Steuerdaten enthalten – also persönliche und finanzielle Informationen, wie sie für Steuererklärungen verwendet werden. Welches System genau betroffen war und wie viele Personen, hat EY bislang nicht mitgeteilt.
Die Rolle von ShinyHunters
Zum Zeitpunkt der Offenlegung hatte sich noch keine Gruppe bekannt. Das änderte sich am 27. Juli: ShinyHunters droht mit Veröffentlichung, sollte EY nicht bis zum 31. Juli 2026 Kontakt aufnehmen. Gegenüber BleepingComputer behauptete die Gruppe, über gestohlene Zugangsdaten aus einem Supply-Chain-Angriff auch in die Jira-, GitHub- und Azure-Umgebungen von EY eingedrungen zu sein. Wichtig zur Einordnung: EY hat nicht bestätigt, dass ShinyHunters dahintersteckt, und die Angaben der Angreifer sind nicht unabhängig überprüfbar.
EY erklärte, die Systeme gesichert, den unbefugten Zugang entfernt und die Bundesbehörden informiert zu haben. Betroffenen Mandanten bietet das Unternehmen 24 Monate Identitätsüberwachung über Experian an. Für Betroffene in der EU kommt hinzu, dass ein solcher Vorfall meldepflichtig sein kann und Rechte nach der DSGVO auslöst – Grund genug, Benachrichtigungen ernst zu nehmen und Kontoaktivitäten im Blick zu behalten.
Was Unternehmen daraus lernen
Der Fall zeigt zwei bekannte, aber unbequeme Wahrheiten. Erstens ist die Angriffsfläche eines Konzerns nur so klein wie die seiner Dienstleister. Zweitens sind gestohlene Zugangsdaten weiterhin der bevorzugte Türöffner. Daraus folgen ein paar konkrete Konsequenzen:
- Phishing-resistente Mehr-Faktor-Authentifizierung einführen – sie senkt den Wert gestohlener Passwörter erheblich.
- Zugänge von Drittanbietern strikt nach dem Least-Privilege-Prinzip vergeben und regelmäßig prüfen.
- Ticket- und Support-Systeme, die Kundendokumente enthalten, verschlüsseln und den gespeicherten Datenbestand minimieren.
Wie Angreifer selbst starke 2FA über AiTM-Phishing aushebeln, haben wir am Beispiel des Kratos-Phishing-Kits gezeigt. Wer den Schritt zu wirklich phishing-resistenter Anmeldung gehen will, findet in unserem Ratgeber zu Hardware-Security-Keys mit FIDO2 die passenden Geräte.
Quellen
- BleepingComputer – EY data breach claimed by ShinyHunters
- SecurityWeek – Ernst & Young Data Breach
- EY Breach Notification (California OAG, PDF)
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden