Die Zertifizierungsstelle DigiCert hat einen Datenabfluss gemeldet. Nach einer Servermigration im Februar 2025 war ein internes Geschäftssystem aus dem Internet erreichbar, das zuvor nur über VPN zugänglich war. Über eine Selbstregistrierung konnten externe Nutzer Konten anlegen. Ein Fehler in der Berechtigungsprüfung gab ihnen lesenden Zugriff auf archivierte Kundendaten. Betroffen sind Namen, geschäftliche Kontaktdaten und bei einigen Kunden Ausweisdokumente, die für die Validierung von Zertifikaten eingereicht wurden. Den unbefugten Zugriff zwischen dem 27. Juni und dem 2. Juli 2026 bestätigte DigiCert erst am 19. Oktober, weil der Vorfall zunächst als Problem bei der Kontoerstellung behandelt wurde. Zertifikate und Zugangsdaten sind laut DigiCert nicht betroffen. Was Banken und Versicherer daraus ableiten können: Prüfen Sie im IKT-Register, welche Dienstleister Identitätsdaten Ihres Hauses archivieren. Klären Sie, ob der Vertrag eine Meldung von Änderungen an Hosting und Zugriffswegen verlangt. Legen Sie Löschfristen für eingereichte Ausweisdokumente fest. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, eine Migration beim Dienstleister als Änderungsereignis in der Dienstleistersteuerung zu führen und dafür eine Rückmeldung einzufordern.