Vierzehn Mitarbeiter betraten 1.375 Mal über einen Zeitraum von acht Monaten gesperrte Räume voller Steuererklärungen von Bürgern, ohne die erforderliche Zugangsberechtigung zu haben. An denselben Standorten blieben als „kritisch" eingestufte Computersicherheitslücken durchschnittlich 223 Tage lang ungepatcht – fast achtmal länger als das vom IRS selbst geforderte 30-Tage-Fenster zur Behebung. Wenn Sie im vergangenen Jahr eine Papiersteuererklärung eingereicht haben, besteht eine reale Chance, dass Ihre Sozialversicherungsnummer, Ihre Einkommensangaben und Ihre Bankverbindung durch eines dieser Gebäude gelaufen sind.
Dies ist keine hypothetische Annahme. Es ist das Ergebnis eines Berichts einer Bundesaufsichtsbehörde, der Mitte 2026 veröffentlicht wurde, und es lohnt sich, ihn zu verstehen – sowohl wegen dem, was er darüber enthüllt, wie Ihre Steuerdaten tatsächlich verarbeitet werden, als auch wegen dem, was er Sie als Nächstes veranlassen sollte.
Was die Aufsichtsbehörde tatsächlich fand
Der Treasury Inspector General for Tax Administration (TIGTA) – das unabhängige Amt, das den IRS prüft – inspizierte zwei Einrichtungen privater Auftragnehmer im Rahmen der „Zero Paper Initiative" des IRS. Diese Initiative gibt es aus einem nachvollziehbaren Grund: Der IRS erhält immer noch Millionen von Papiersteuererklärungen pro Jahr. Anstatt die Daten manuell zu erfassen, werden Stapel von Papiererklärungen an externe Auftragnehmer verschickt, die die Dokumente scannen und die Daten elektronisch extrahieren. Es ist ein sinnvoller Modernisierungsversuch. Das Problem, das TIGTA fand, liegt in der Art und Weise, wie es umgesetzt wird.
An den beiden Standorten, die TIGTA im Jahr 2025 besuchte, unterteilen sich die Ergebnisse in drei Kategorien.
Unbefugter physischer Zugang. Vierzehn Mitarbeiter von Auftragnehmern, die nicht über die erforderliche Sicherheitsfreigabe verfügten, betraten gesperrte Bereiche mit sensiblen Steuerzahlerdokumenten. Insgesamt führten sie zwischen Mai und Dezember 2025 1.375 unbefugte Zugriffe durch. TIGTA fand keine direkten Beweise dafür, dass jemand unbefugt auf ein Dokument zugegriffen oder es kopiert hat – aber die schiere Anzahl der Zugriffe zeigt, dass die Zugangskontrollen, die genau diese Art von Offenlegung verhindern sollen, einfach nicht funktionierten. Die Verladerampe eines Standorts, die direkt mit dem Lagerraum für Steuerzahlerdokumente verbunden ist, war Berichten zufolge ungesichert und unbewacht. Auch der perimeter fence der Anlage verfügte über keine ausreichenden Sicherheitsvorkehrungen.
Unbehobene Computersicherheitslücken. Dies ist der Teil, der jeden beunruhigen sollte, der über Datensicherheit nachdenkt. An einem Standort identifizierten Prüfer 269 Sicherheitslücken in den Systemen, die Steuerzahlerdaten verarbeiten. Davon waren 128 – 48 % – nicht innerhalb der vom IRS festgelegten Fristen behoben worden. Zwanzig dieser unbehobenen Schwachstellen wurden als „kritisch" eingestuft, der höchsten Schweregradstufe, und waren durchschnittlich 223 Tage lang offen, bei einer geforderten Behebungsfrist von 30 Tagen. Weitere 84 „hochgradige" Schwachstellen waren durchschnittlich 231 Tage unbehoben, bei einer geforderten Frist von 60 Tagen. TIGTA wies insbesondere auf einen kritischen Fehler im Zusammenhang mit noch verwendeter, nicht unterstützter Software hin, sowie auf eine Datenbankkonfiguration, die es einem Angreifer ermöglichen könnte, die Authentifizierung vollständig zu umgehen.
Schwache Aufsicht über Auftragnehmerwerkzeuge. Am zweiten Standort verwendete der Auftragnehmer eine Software zur Schwachstellenscan, die nie gegen den geforderten Sicherheitsstandard der Regierung validiert worden war. Der TIGTA-Bericht stellte fest, dass die IRS-Cybersicherheitsmitarbeiter wussten, dass der Auftragnehmer nicht autorisierte Scan-Tools verwendete, und nicht eingriffen. Am ersten Standort schreibt die IRS-Richtlinie monatliche Sicherheitsscans jedes Geräts vor, das Steuerzahlerdaten verarbeitet – aber im August 2025 scannte der Auftragnehmer nur eines von 203 Geräten.
Warum dies wichtig ist, auch wenn nichts „gestohlen" wurde
TIGTA betonte sorgfältig, dass es keine bestätigten Beweise dafür gefunden habe, dass ein Angreifer durch diese Lücken auf Steuerzahlerdaten zugegriffen habe. Das ist eine wirklich wichtige Unterscheidung und keine Beschönigung – eine unverschlossene Tür ist nicht dasselbe wie ein Einbruch.
Aber es ist auch nicht so beruhigend, wie es klingen mag. Solche Sicherheitsversagen sind unabhängig davon von Bedeutung, ob sie ausgenutzt wurden, und zwar aus drei Gründen:
- Eine Steuererklärung ist eines der vollständigsten Werkzeugkästen für Identitätsdiebstahl, das es gibt. Sie enthält eine Sozialversicherungsnummer, vollständigen Namen und Adresse, Arbeitgeberinformationen, Bankkontonummern und Bankleitzahlen für die direkte Einzahlung, Anlagekontodetails und oft auch Informationen über Ehepartner und Angehörige. Eine einzige offengelegte Erklärung kann über Jahre hinweg Identitätsdiebstahl, betrügerische Steuerrückerstattungsanträge und Kontodiebstahlsversuche befeuern.
- Ungepatchte kritische Schwachstellen sind ein dauerhaftes Risiko, kein einmaliges Ereignis. Ein Fehler, der es jemandem ermöglicht, die Authentifizierung zu umgehen, muss nicht an dem Tag, an dem er entdeckt wird, „genutzt" werden, um gefährlich zu sein – er bleibt als Tür stehen, die so lange unverschlossen bleibt, bis jemand sie schließt. 223 Tage sind mehr als sieben Monate eines Offenlegungsfensters.
- Dies fügt sich in ein Muster dokumentierter IRS-Datensicherheitsbedenken ein. Der TIGTA-Bericht fällt vor dem Hintergrund früherer hochkarätiger Vorfälle mit IRS-Steuerzahlerdaten (einschließlich des Falls von 2023, bei dem ein Mitarbeiter eines Auftragnehmers Steuerunterlagen Tausender einkommensstarker Steuerzahler an Nachrichtenorganisationen weitergab). Aufsichtsergebnisse wie dieses sind ein Grund dafür, dass diese Vorgeschichte immer wieder zitiert wird – die zugrunde liegenden institutionellen Kontrollen holen immer noch auf.
Was der IRS nach eigener Aussage dagegen tut
Anerkennenderweise stimmte der IRS den Ergebnissen von TIGTA zu und verpflichtete sich zu spezifischen Korrekturmaßnahmen, anstatt den Bericht anzufechten. Zu den genannten Abhilfeschritten gehören:
- Aktualisierung seiner internen Sicherheitsrichtlinien (Publikation 4812), um monatliche Überprüfungen der physischen Zugangsprotokolle an Auftragnehmerstandorten zu verlangen, anstatt des derzeitigen jährlichen Überprüfungszyklus.
- Aufbau eines monatlichen Prozesses, um veraltete, nicht behobene Schwachstellen zu kennzeichnen, damit Beschaffungsbeamte und das Management der Auftragnehmer schneller handeln können.
- Stärkung der Art und Weise, wie es die Cybersicherheitspraktiken von Auftragnehmern in Zukunft prüft und überwacht.
Das sind vernünftige Zusagen, und es ist anerkennenswert, wenn eine Behörde konstruktiv auf einen Aufsichtsbericht reagiert. Aber „sich zur Behebung verpflichtet" und „behoben" sind unterschiedliche Zustände, und TIGTAs eigene Zahlen zeigen, wie viel zwischen einem jährlichen Überprüfungszyklus und einem echten Problem, das monatelang nicht angegangen wird, übersehen werden kann.
Was Sie tatsächlich dagegen tun können
Sie können nicht kontrollieren, wie ein Drittauftragnehmer seine Einrichtung sichert. Aber Sie sind nicht machtlos – es gibt konkrete Schritte, die Ihr Risiko unabhängig von der Ursache verringern.
Besorgen Sie sich eine Identity Protection PIN (IP PIN) vom IRS. Dies ist das mit Abstand effektivste kostenlose Instrument, das einzelnen Steuerzahlern zur Verfügung steht. Es ist ein sechsstelliger Code, der sich jährlich ändert und auf jeder unter Ihrer Sozialversicherungsnummer eingereichten Steuererklärung angegeben werden muss – ohne ihn wird der IRS eine elektronisch eingereichte Erklärung ablehnen und eine Papiererklärung zur genaueren Prüfung kennzeichnen. Das bedeutet, dass selbst wenn jemand Ihre SSN hat, er keine betrügerische Erklärung in Ihrem Namen erfolgreich einreichen kann. Sie können sich über Ihr IRS-Online-Konto anmelden, und sobald Sie angemeldet sind, stellt Ihnen der IRS automatisch zu jeder Steuersaison eine neue PIN aus. Wenn Ihre Daten von einem Datenleck betroffen waren – diesem oder einem anderen –, sollten Sie dies noch heute tun, nicht erst in der nächsten Steuersaison.
Reichen Sie im nächsten Jahr frühzeitig ein. Betrugsschemata für Steuerrückerstattungen setzen darauf, dem echten Steuerzahler zuvorzukommen. Je früher Sie einreichen, desto kleiner ist das Zeitfenster, das ein Krimineller hat, um zuerst mit gestohlenen Informationen einzureichen.
Überwachen Sie Ihr IRS-Transkript und -Konto, nicht nur Ihre Kontoauszüge. Die meisten Menschen überwachen ihre Bank- und Kreditkartenkonten auf Betrug, überprüfen aber nie ihr IRS-Online-Konto. Steuerbezogener Identitätsdiebstahl zeigt sich oft zuerst als abgelehnte elektronische Einreichung (weil bereits jemand unter Ihrer SSN eingereicht hat) oder als unerwartete Mitteilung über eine Erklärung, die Sie nicht eingereicht haben. Regelmäßiges Überprüfen erkennt Probleme, bevor sie sich verschlimmern.
Überlegen Sie, ob Sie überhaupt auf Papier einreichen müssen. Wenn Sie derzeit aus Gewohnheit oder freiem Willen Papiererklärungen einreichen, ist dies ein angemessener Zeitpunkt, um dies zu überdenken. Elektronisch eingereichte Erklärungen durchlaufen vom IRS kontrollierte elektronische Pipelines, anstatt physisch an eine Scan-Einrichtung eines Drittanbieters versandt zu werden. Für die meisten einzelnen Steuerzahler ist die elektronische Einreichung schneller, hat eine geringere Fehlerquote und – laut diesem Bericht – derzeit eine schmalere Angriffsfläche als der Papierweg.
Wenn Sie einen Steuerberater oder Buchhalter beauftragen, fragen Sie, wie diese Ihre Daten übermitteln. Das gleiche Prinzip, das für die Auftragnehmer des IRS gilt, gilt für jeden Dritten, der Ihre Finanzunterlagen verarbeitet: Physische Sicherheit und Patch-Rhythmus sind keine abstrakten IT-Bedenken, sie sind der tatsächliche Mechanismus, der Ihre Sozialversicherungsnummer schützt.
Die größere Lektion: Datenverwahrungsketten sind länger, als Sie denken
Die unangenehme Erkenntnis aus diesem Bericht betrifft nicht wirklich den IRS im Speziellen – sie ist eine Erinnerung daran, durch wie viele Hände Ihre Finanzdaten gehen, bevor sie „verarbeitet" werden. Eine Papiersteuererklärung geht nicht direkt von Ihrem Briefkasten in eine Regierungsdatenbank. Sie geht in das Lager eines privaten Auftragnehmers, wird von Mitarbeitern bearbeitet, deren Zugriffsrechte einer Prüfung bedürfen, liegt auf Systemen, die nach einem Zeitplan gepatcht werden müssen, und erreicht erst dann die Behörde, bei der Sie tatsächlich eingereicht haben. Jedes Glied in dieser Kette ist ein Ort, an dem Kontrollen versagen können.
Das gilt für Einzelpersonen, die Formular 1040 einreichen, und es gilt gleichermaßen für kleine Unternehmen und Freiberufler, die ihre eigenen Bücher führen. Je weniger Vermittler Ihre rohen Finanzdaten berühren und je mehr Transparenz Sie darüber haben, wo genau Ihre Aufzeichnungen sich befinden und wie sie sich bewegen, desto geringer ist Ihr Risiko. Dies ist ein Teil des Arguments für Tools, die Ihre Finanzunterlagen in einem Format halten, das Sie direkt kontrollieren, anstatt sie vollständig undurchsichtigen Drittsystemen anzuvertrauen und zu hoffen, dass die Prüfungsergebnisse sauber bleiben.
Behalten Sie Ihre Finanzunterlagen unter eigener Kontrolle
Beaufsichtigungsberichte wie dieser sind eine nützliche Erinnerung daran, dass es bei der Sicherheit von Finanzdaten nicht nur um starke Passwörter geht – es geht darum, durch wie viele Hände Ihre Aufzeichnungen gehen und wie viel Transparenz Sie in jede einzelne haben. Beancount.io bietet eine Textdatei-Buchhaltung, die Ihre Finanzdaten transparent und versionskontrolliert zu Ihren eigenen Bedingungen hält, ohne Black-Box-Vendor-Speicher dazwischen. Starten Sie kostenlos und sehen Sie, warum Entwickler und finanzbewusste Personen zu Buchhaltungssystemen wechseln, die sie tatsächlich selbst prüfen können.