EY-Datenleck: 1.366 Betroffene, Texas am stärksten

Neue Details zum Datenabfluss bei EY beziffern erstmals den Kreis der Geschädigten und den Umfang der offengelegten Informationen. Der Angriffsweg führte über eine vertrauenswürdige Verbindung.

Die Zahlen hinter dem Vorfall

Nach aktuellem Stand sind mindestens 1.366 Menschen aus mehreren US-Bundesstaaten betroffen. Den Großteil stellt Texas mit 873 Personen, weit vor Massachusetts mit 480 und Vermont mit gerade einmal 13. Der unbefugte Zugriff zog sich über gut zwei Wochen hin, vom 28. März bis zum 12. April 2026, bemerkt wurde er allerdings erst am 23. April. Bemerkenswert ist die Vorgehensweise der Täter: Sie brachen nicht mit Schadprogrammen ein, sondern gelangten über eine als vertrauenswürdig eingestufte Anbindung an eine Serviceplattform hinein und zogen die Dokumente automatisiert ab, gezielt jene mit steuerlichem und finanziellem Inhalt.

Welche Daten abgeflossen sind

Das eigentliche Gewicht des Falls liegt in der Art der erbeuteten Angaben. Erfasst wurden nach den Meldungen Kennnummern der Sozialversicherung, Geburtstage, Führerscheindaten, Kontoverbindungen und Depotbestände sowie Karteninformationen, dazu vollständige Steuerunterlagen und Kontaktdaten. Genau dieses Bündel öffnet die Tür für gestohlene Identitäten, gefälschte Steuererstattungen und maßgeschneiderte Betrugsversuche. Im steuerlichen Umfeld wiegt das besonders schwer, weil sich solche Angaben noch lange nach dem Diebstahl in immer neuen Antrags- und Nachweisverfahren verwerten lassen.

Ein Fall mit Signalwirkung

Der Angriff rückt weniger die eigene Abwehr als die Sicherheitslage der Zulieferer in den Vordergrund. Für Prüfer, Berater und Steuerkanzleien ist das ein wunder Punkt, denn viele lagern zentrale Prozesse aus, und die Daten wandern durch zahlreiche Hände. Den Geschädigten stellt EY für zwei Jahre einen Identitätsschutz über Experian bereit, für den man sich bis zum 31. Oktober 2026 registrieren muss. Parallel prüfen erste Kanzleien bereits, ob das Haus und seine Partner genug zum Schutz der sensiblen Daten unternommen haben.