Ein Schreiben vom 17. Juli über einen Samstag im August

Das Schreiben ging am 17. Juli 2026 von der 767 Fifth Avenue in New York hinaus. Es umfasst vier Seiten, ist klar formuliert und teilt dem Leser mit, dass The Estee Lauder Companies am 19. Juni 2026 durch ihre Untersuchung festgestellt hat, dass am oder um den 9. August 2025 ein unbefugter Dritter Zugriff auf das System der Oracle E-Business Suite erlangt und personenbezogene Daten bestimmter Personen erlangt hat. Das System, heißt es im Schreiben, wird vom Unternehmen für die Personalverwaltung genutzt.

Lesen Sie die beiden Daten zusammen. Der Zugriff geschah an einem Samstag im August 2025. Das Unternehmen stellte an einem Freitag im Juni 2026 fest, dass er geschehen war. Zwischen diesen beiden Tatsachen liegen 314 Tage, in denen die Daten weg waren und niemand davon wusste. Das Schreiben weicht dem nicht aus. Es nennt beide Daten im selben Satz, was mehr Offenheit ist, als die meisten Benachrichtigungen aufbringen.

Estee Lauder tat, was ein kompetenter Reagierender tut, sobald er Bescheid weiß: Untersuchung mit externen Fachleuten eingeleitet, Strafverfolgungsbehörden informiert, zusätzliche Schutzmaßnahmen im System ergriffen und 24 Monate Identitätsüberwachung über Kroll angeboten, mit Anmeldefrist bis zum 31. Oktober 2026. Nichts davon ist der interessante Teil. Der interessante Teil sind die 314 Tage und woraus sie bestanden.

Die Patch-Geschwindigkeit war hier nie die Variable

Den Fix gab es noch nicht. Der Einbruch fügt sich in die Massenausnutzung der Oracle E-Business Suite über CVE-2025-61882 ein, die später der Erpressergruppe Clop zugeschrieben wurde. Oracle veröffentlichte den Fix am 4. Oktober 2025. Rechnen Sie zurück zum 9. August 2025, und Sie erhalten 56 Tage. Der Angreifer war acht Wochen im Gebäude, bevor der Hersteller das Schloss auslieferte.

Das ist deshalb wichtig, weil den meisten Aufsichtsgremien genau das Gegenteil gezeigt wird. Die Sicherheitsfolie im Quartalsbericht ist üblicherweise eine Kennzahl zur Patch-Compliance: Anteil der kritischen Patches, die innerhalb des vereinbarten Zeitfensters eingespielt wurden. Das ist eine echte Zahl und misst eine echte Disziplin. Auf dieses Ergebnis hatte sie nicht den geringsten Einfluss. Ein Unternehmen mit 100 Prozent Patch-Compliance bei einer Frist von 14 Tagen wäre an genau demselben Samstag kompromittiert worden, denn an diesem Samstag gab es nichts einzuspielen.

Aber erreichbar war die Schwachstelle. Oracle beschrieb sie so, dass nicht authentifizierte Angreifer mit Netzzugang aus der Ferne Code über HTTP ausführen konnten, betroffen waren die E-Business-Suite-Versionen 12.2.3 bis 12.2.14. Das ist die Entscheidung, die vorab tatsächlich zur Verfügung stand: nicht wie schnell Sie patchen, sondern ob ein Personalmodul innerhalb eines ERP überhaupt HTTP-Anfragen aus einem Netzsegment beantworten sollte, das ein nicht authentifizierter Fremder erreichen kann. Diese Entscheidung trifft niemand während eines Vorfalls. Sie fällt Jahre früher, meist von demjenigen, der wollte, dass die Integration bis Freitag läuft.

Was das Personalmodul tatsächlich enthielt

Das Schreiben listet auf, was der Dritte erlangte: Namen, Post- und E-Mail-Adressen, Geburtsdaten, Sozialversicherungsnummern, Passnummern, Finanzkontodaten in Form von Bankkontonummern, Gesundheitsdaten und beschäftigungsbezogene Angaben wie Leistungsbeurteilungen und Gehaltsdaten. Das Schreiben vermerkt, dass die betroffenen Daten je Person unterschiedlich waren.

So ist der Ruf eines Personalsystems nicht. Fragen Sie Führungskräfte nach den Kronjuwelen, und Sie hören die Kundendatenbank, den Quellcode, das Finanzhauptbuch. Das Personalmodul steht selten auf der Liste, weil es gedanklich als Verwaltungswerkzeug abgelegt ist. In der Praxis ist es in den meisten Unternehmen der einzige Ort, an dem Ausweisdokumente, Bankverbindungen und Gesundheitsdaten in einem Schema liegen, nach Personalnummer indiziert und ein Jahrzehnt lang aufbewahrt, weil das Arbeitsrecht es so verlangt.

Die Asymmetrie gehört klar benannt. Ein Kundendatensatz gibt eine E-Mail-Adresse und eine Kaufhistorie preis. Dieser Datensatz gibt die Dokumente preis, mit denen ein Mensch nachweist, dass es ihn gibt. Ein Passwort können Sie neu vergeben. Für eine neue Passnummer braucht es einen Staat.

Die 314 Tage waren ein Entdeckungsproblem, kein Reaktionsproblem

Zerlegen Sie die Zeitachse in die drei Abschnitte, aus denen sie tatsächlich besteht. Vom 9. August 2025 bis zum 19. Juni 2026 sind es 314 Tage unentdeckten Verlusts. Vom 19. Juni bis zum Schreiben vom 17. Juli 2026 sind es 28 Tage Untersuchung, Abgrenzung und juristische Prüfung. Und vor alldem steht die Architekturentscheidung, die ein erreichbares ERP-Modul vor das Netz stellte.

Nur zwei der drei liegen in Ihrer Hand. Die 28 Tage sind Prozess, und Prozess lässt sich justieren: Sie können heute festlegen, wer die Benachrichtigung verfasst, wer sie zeichnet und wie viele Tage die juristische Prüfung kostet. Die Architektur ist Kapital und Zeit, und dort liegt der eigentliche Hebel. Die 314 Tage sind der Rest. Sie sind das, was geschieht, wenn ein System wichtig genug ist, Pässe zu halten, und unwichtig genug, dass niemand seine Protokolle liest.

Das Fazit. Entdeckung ist kein Werkzeug, das man kauft, sondern eine Folge dessen, was man zu überwachen beschlossen hat, und Überwachung folgt der Klassifizierung. Estee Lauder hat nicht versäumt zu reagieren. Das Unternehmen reagierte binnen Tagen nach der Kenntnis. Das Versäumnis, falls das Wort überhaupt passt, geschah an irgendeinem ruhigen Nachmittag, als jemand ein Personalmodul als wenig kritisch einstufte und weiterging. Diese Entscheidung war zehn Monate lang umkehrbar und die meiste Zeit davon kostenlos umkehrbar.

Drei Fragen, die Sie diese Woche an Ihr eigenes ERP richten

Erstens die Inventarfrage. Listen Sie jedes System auf, das Ausweisdokumente, Bankverbindungen oder Gesundheitsdaten hält und in Ihrem Asset-Register derzeit nicht als kritisch geführt wird. In den meisten europäischen Unternehmen umfasst die Antwort mindestens ein Personal- oder Abrechnungsmodul und häufig ein altes Spesenwerkzeug. Diese Liste ist Ihr wirkliches Kronjuwelen-Register, und sie ist meist kürzer als befürchtet und anders als erwartet.

Zweitens die Erreichbarkeitsfrage. Wer kann jedes dieser Systeme ohne Authentifizierung erreichen, und von wo. Nicht wer es soll. Wer es kann. Nach der DSGVO trifft die Verantwortlichenpflicht diese Daten unabhängig davon, welche interne Abteilung das Budget führt, und eine 72-Stunden-Frist interessiert sich nicht dafür, dass das Modul das Projekt eines anderen war.

Drittens die Beweisfrage. Wenn heute jemand dieses System erreichte, was würde es Ihnen sagen, und wie lange würde das Sagen dauern. Lautet die ehrliche Antwort Herstellerhinweis oder Anruf der Strafverfolgung, dann wird Ihr Entdeckungsintervall für dieses System in denselben Einheiten gemessen wie das von Estee Lauder, und das wissen Sie, seit Sie diesen Satz zu Ende gelesen haben.

Weiterlesen: OpenSSL hat es im Juni behoben, ganz ohne CVE  |  Eine Kommissarin stoppte einen 2-Gigawatt-Campus