Ob Apple, Bayer, Boeing, Microsoft, Procter & Gamb­le, Royal Bank of Scotland, Sotheby’s, Starbucks, TUI, Vodafone und Regierungen, um nur ein paar ganz große Kunden zu nennen. Sie alle werden von Deloitte betreut.

Die Gruppe gehört mit KPMG, Ernst & Young (EY) und PricewaterhouseCoopers (PwC) zu den vier großen Prü­fungs- und Beratungsunternehmen der Welt (Big Four). Die Anforderungen an die Datensicherheit sind hier be­sonders hoch. Weil in großem Umfang Be­triebs­geheimnisse verarbeitet werden, muss sicher­gestellt sein, dass diese über das Beratungshaus nicht ab­flie­ßen und in unbefugte Hände gelangen. Doch bereits Ende 2016 gab es einen Angriff bei Deloitte auf solche vertraulichen Daten, wie wohl im März 2017 festgestellt und jetzt der Öffentlichkeit mitgeteilt worden ist. Der Angriff soll über einen Administrator-Account erfolgt sein, der lediglich durch ein Passwort abgesichert wurde. Er zielte geografisch vor­nehm­lich auf US-Kunden.

Im Zuge der internen Untersuchungen wird sicher auch zu ermitteln sein, ob die Absicherung aller E-Mails von Deloitte-Mitarbeitern in der Azure-Cloud von Microsoft hinreichend erfolgt ist. Bis zum Bekanntwerden soll der Vorgang bei Deloitte streng vertraulich untersucht wor­den sein.

Deloitte bestätigte den Angriff, teilte jedoch zugleich mit, dass nur wenige seiner Kunden betroffen sind.

Fazit: Bei allem Fokus nun auf Deloitte sollte eines nicht vergessen werden: Auch Unter­nehmen, die selbst Cybersicherheitsberatung gegen hochspezielle Cyberangriffe verkaufen, sind angreifbar und nicht absolut geschützt. Um so mehr ist es wichtig, zu bewerten, welche Sicherheitsanstrengungen das eigene Unternehmen in Angriff nehmen muss, um aus Sicht des Datensicherheitsrechts das Gebotene getan zu haben.

(Philipp Kramer, Chefredakteur Datenschutz-Berater)