Ernst & Young liess 4 TB der eigenen Datenbank offen im Netz. So verhindern Sie, dass Sie die Nächsten sind.

01 Der Breach mit einem Request

Die Dateiendung und die Magic Bytes, also die ersten Bytes, die ein Dateiformat eindeutig kennzeichnen, wiesen sie als .BAK aus: ein natives SQL-Server-Backup. Der Forscher lud nur die ersten 1'000 Bytes, um zu bestätigen, dass die Datei nicht verschlüsselt war, und hörte dort auf. Die ganze Datei herunterzuladen hätte eine rechtliche Grenze überschritten. Das Format zu bestätigen nicht [ The Register 2025 ] .

Die Zuordnung brauchte etwas Detektivarbeit. Ein DNS-SOA-Lookup auf den Speicher-Endpunkt führte zurück auf ey.com, und Fusionsdokumente in den Metadaten, verfasst in einer süd-mitteleuropäischen Sprache und durch DeepL geschickt, bestätigten es. Der Bucket trug kein Eigentümer-Label. Die Daten sprachen für sich. Vom ersten Anzeichen bis zur Zuordnung war das die Arbeit eines einzelnen Analysten und einer Handvoll einfacher Requests.

02 Kein Backup. Ein Schlüsselbund.

Eine geleakte Datenbank ist schlimm. Ein geleaktes Datenbank-Backup ist schlimmer, denn ein Backup ist eine eingefrorene Kopie von allem, einschliesslich der Dinge, die produktive Systeme im Speicher halten und selten festschreiben. Dieses hier enthielt weit mehr als Datensätze [ Cyber Security News 2025 ] .

Lesen Sie die zweite Spalte noch einmal. Jeder Eintrag ist ein Weg, sich anderswo zu authentifizieren. Das Backup war nicht die Beute. Es war der Zündschlüssel für einen breiteren Einbruch. Ein Angreifer, der die vollen 4 TB gezogen hätte, hätte danach nichts mehr aufbrechen müssen. Er hätte sich mit den gültigen Tokens von EY angemeldet und dabei wie normaler Verkehr ausgesehen. Service-Accounts sind die stille Gefahr: Sie rotieren selten, tragen selten MFA und halten oft stehenden Zugriff auf die Produktion.

03 Fünfzehn Anrufe ohne Antwort

Hier ist das Detail, das jeder Sicherheitsverantwortlichen im Gedächtnis bleiben sollte. Die Forscher versuchten, EY über verantwortungsvolle Offenlegung zu warnen. Es brauchte 15 einzelne Versuche, das richtige Team zu erreichen, bevor überhaupt jemand handelte [ Security Affairs 2025 ] . Fünfzehn. Eine Firma dieser Grösse, und die Vordertür für eine gutgemeinte Warnung war so schwer zu finden.

Drehen Sie das Szenario um. Ein Krimineller, der denselben Bucket findet, schickt null E-Mails. Er kopiert die Daten und wird still. Die Reibung bei der Offenlegung, die einen freundlichen Forscher um Tage bremste, trifft einen Angreifer nie. Ihr Zeitfenster der Freilegung zählt nicht ab dem Moment, in dem man es Ihnen sagt. Es zählt ab dem Moment, in dem das Asset öffentlich wurde, und bei einem per Routine-Scan auffindbaren Bucket lief diese Uhr längst, bevor jemand anrief.

ZEITFENSTER

Zu EYs Gunsten: Sobald die Meldung ankam, war die Reaktion schnell. Das Unternehmen bestätigte die Freilegung, behob sie innert rund einer Woche und erklärte, es seien keine Kundeninformationen, Personendaten oder vertraulichen EY-Daten betroffen gewesen. Ein sauberer, rascher Abschluss. EY hat die Nachbearbeitung gut gemacht. Der Punkt ist, dass die Nachbearbeitung nie hätte nötig sein dürfen.

04 Warum kein Scanner es sah

EY betreibt ein ausgereiftes Sicherheitsprogramm. Es hat Scanner, Richtlinien und ein CSIRT. Nichts davon sah ein 4-TB-Backup öffentlich werden, und Sie sollten verstehen, warum, denn derselbe blinde Fleck steckt wahrscheinlich in Ihrer Pipeline. Interne Scanner schauen nach innen. Sie prüfen die Assets, von denen Sie ihnen erzählt haben, innerhalb des Perimeters, den Sie definiert haben. Ein Speicher-Bucket, der bei einer Cloud-Migration entstand und durch einen Standard oder einen hastigen Klick auf öffentlich gesetzt wurde, steht nicht auf dieser Liste. Er liegt ausserhalb der Karte, und genau deshalb ist er gefährlich.

Cloud-Migrationen sind der Nährboden für diese Fehlerklasse. Daten wandern schnell, Zugriffseinstellungen werden lose kopiert oder auf freizügige Standards zurückgesetzt, und Verschlüsselung im Ruhezustand fällt weg, um eine Frist zu halten. Ein besserer Scanner hätte EYs Bucket nicht gefunden. Ein Wechsel der Perspektive schon: jemand, der ausserhalb der Firewall steht und kontinuierlich aufzählt, was die Welt tatsächlich sehen kann, so wie es ein Gegner tut.

05 Was Sie dieses Quartal beheben

Dieser Fehler bildet sich sauber auf die Rahmenwerke ab, denen Ihr Verwaltungsrat ohnehin Rechenschaft schuldet. ISO 27001 Anhang A verlangt kryptografische Massnahmen und Asset-Management. Das NIST CSF stellt «Identify» aus genau diesem Grund vor «Protect». Für ein FINMA-beaufsichtigtes Institut ist ein unverschlüsseltes Backup von Zugangsdaten im offenen Internet ein operationelles IKT-Risiko, das das FINMA-Rundschreiben zu operationellen Risiken ausdrücklich adressiert, und potenziell eine meldepflichtige Verletzung der Datensicherheit nach Art. 24 nDSG [ nDSG Art. 8 / 24 ] . Die folgende Arbeit schliesst die Lücke.

Ein einziger HTTP-Request genügte, um 4 Terabyte des sensibelsten Materials einer Big-Four-Firma im offenen Netz zu finden. Ihre Umgebung verdient denselben Blick von Ihrer Seite, bevor ein Scanner auf der anderen ihn für Sie erledigt. Wir führen einen Erst-Scan Ihrer externen Angriffsfläche durch und geben Ihnen die offengelegten Assets in klarer Sprache zurück, mit einer Fix-Liste, die Ihr Team dieses Quartal umsetzen kann. Enterprise-grade. Nicht enterprise-priced. Beginnen Sie mit Ihrer Threat Map, ab CHF 5'000, in 14 Tagen.