CERT Polska erreicht Dayforce nicht – und veröffentlicht trotzdem drei Schwachstellen in der Lohnsoftware

Am 28. September 2026 hat Polens nationales Computer-Notfallteam CERT Polska in Dayforce Payroll Sicherheitshinweise zu drei Schwachstellen veröffentlicht↗, die sich ohne Authentifizierung ausnutzen lassen. Vorausgegangen waren nach eigenen Angaben erfolglose Versuche, den Hersteller zu kontaktieren ⁵.

Der Lohn, der nie ankommt

Seit Juli zahlt dieselbe Produktlinie beim australischen Versorger Sydney Water den Beschäftigten den Lohn zu spät – oder streicht die Zuschläge und Überstunden, von denen Hunderte von ihnen Miete und Unterhalt bestreiten ¹. Mindestens die Hälfte der 3.000 Beschäftigten des Versorgers hat sich zu Arbeitsverweigerungen und rotierenden Arbeitsniederlegungen bekannt, und die Gewerkschaften haben den Konflikt vor die Fair Work Commission und die NSW Industrial Relations Commission↗ gebracht ¹. „Der Oktober steht vor der Tür, und behoben ist es immer noch nicht“, sagte ASU-Generalsekretär Angus McFarland ¹. Das System kostete 40 Millionen australische Dollar und hat bereits vier Gerichtsverfahren ausgelöst↗ ⁸.

Eine Mautstelle mit Schulden

Die Private-Equity-Gruppe Thoma Bravo hat Dayforce↗ in einer von den Aktionären gebilligten Übernahme im Wert von 12,3 Milliarden Dollar↗ von der Börse genommen und die Aktionäre mit 70 Dollar je Aktie abgefunden↗ ²³. Dahinter steht ein erstrangig besichertes Term Loan über 5,5 Milliarden Dollar mit einem Rating von B+↗ – auf einer Basis von 85 Prozent wiederkehrendem Umsatz und einer Bruttokundenbindung (Gross Retention) im hohen 90er-Bereich ⁴. Die Ratingagentur Fitch erwartet für das laufende Geschäftsjahr eine Verschuldungsquote von 7,6x EBITDA, die binnen 12 bis 18 Monaten unter 7,0x sinkt ⁴. The Inference hatte diesen Arbeitskampf am 26. September mit dieser Verschuldung in Verbindung gebracht; die Woche seither hat die Schraube um zwei weitere Umdrehungen angezogen.

Drei Schwachstellen, keine Antwort

Die Sicherheitshinweise betreffen das Release R2026.2.0: eine zeitbasierte Blind-SQL-Injection, die sich über die Passwort-Wiederherstellung ausnutzen lässt, Cross-Site-Scripting über mehrere Endpunkte sowie eine Pfad-Traversal-Schwachstelle (Path Traversal), über die ein nicht authentifizierter Angreifer beliebige lokale Dateien auslesen kann ⁵. Nur dieses Release ist offiziell als betroffen bestätigt; auch andere Versionen könnten die Schwachstellen enthalten ⁵.

Eine Woche zuvor für Washington zugelassen

Bereits am 21. September hatte Dayforce den Status „Initial Implementation“ im FedRAMP Marketplace bekannt gegeben↗. Die Payroll-Plattform steht damit auf der Liste, von der US-Bundesbehörden beziehen dürfen – betrieben in einer eigenen Government Cloud ⁶⁷. Fitch nennt den Burggraben in seiner Rating-Begründung beim Namen: Anforderungen an die Prüfbarkeit und das Rechtsrisiko aus Abrechnungsfehlern dürften eine Verdrängung durch KI-Tools begrenzen ⁴. Und genau dieses Rechtsrisiko tragen derzeit die Beschäftigten von Sydney Water.

Die andere Seite

Sydney Water hat sich entschuldigt, das Personal in der Lohnabrechnung aufgestockt und zahlt Nachbesserungen sowie auf Vertrauensbasis gewährte Härtefall-Vorschüsse ¹. Dayforce verweist auf fortlaufende Investitionen in Sicherheitskontrollen und auf seine Bilanz mit regulierten öffentlichen Stellen ⁶. An Fitchs Zahlen zur Bruttokundenbindung hat sich nichts bewegt ⁴.

Was zuerst bricht

Drei Türen: wie die Fair Work Commission mit dem Arbeitskampf bei Sydney Water verfährt ¹; ob Dayforce CERT Polska antwortet und R2026.2.0 mit einem Patch behebt ⁵; und ob der erwartete Rückgang der Verschuldungsquote einen etwaigen Kundenschwund übersteht ⁴. Burggraben und Störung sind ein und dieselbe Maschine: Solange es zu schmerzhaft ist, die Lohnabrechnung zu wechseln, wird der Kredit bedient – vor den Beschäftigten.