Folgen des Microsoft-Cloud-Cybervorfalls für den Bund

Wortlaut

Eine ungenannte amerikanische Bundes-Behörde entdeckte im Juni illegale Zugriffe auf ihre Konten in der Microsoft Azure Cloud. Wie eine Untersuchung ergab, war es chinesischen Angreifern gelungen, einen sogenannten Master-Key von Microsoft zu entwenden und ihn für ihre Zwecke zu missbrauchen. Microsoft musste später einräumen, dass der Schlüssel nicht nur Zugang zu beliebigen Email-Konten, sondern auch Zugang zu beliebigen Accounts mit persönlicher Authentisierung wie Sharepoint, die Konferenz-Software Teams, OneDrive, Kundenapplikationen mit Microsoft-Login etc. zuliess. Aus einer Sicherheitsperspektive kann nicht ausgeschlossen werden, dass Teile der Cloud-Infrastruktur kompromittiert bleiben.

1. Wie schätzt der Bundesrat das Ausmass des Vorfalls für die Bundesverwaltung ein?

2. Verfügt der Bund über Auditrechte beim Lieferanten?

3. Wurden die zusätzlichen durch Microsoft den Kunden zur Verfügung gestellten Log-Dateien überprüft und was wurde dabei herausgefunden?

4. Welche Massnahmen hat der Bundesrat ergriffen, um eine allfällige Kompromittierung bereits in die MS-Cloud migrierter Applikationen der Verwaltung zu erkennen?

5. Wie beeinflusst der erfolgreiche Angriff auf Microsoft die bereits gefällte Entscheidung, die Büroautomation nach Office365 zu wechseln?

Stellungnahme des Bundesrates

1. Die Bundesverwaltung ist vom Sicherheitsvorfall Storm 0558 gemäss schriftlichem Statement der Firma Microsoft vom 11. August 2023 und nach aktuellem Kenntnisstand der internen Untersuchungen nicht betroffen.

2. Microsoft räumt ihrer Kundschaft ein vertragliches Auditrecht ein, das es ihr nötigenfalls erlaubt, die Datenbearbeitung durch unabhängige Fachleute überprüfen zu lassen und vermittelt der Kundschaft den Zugang zu Microsoft-internen Auditberichten.

3. Ja, die Logdateien wurden von den internen Leistungserbringern überprüft. Es wurde keine Kompromittierung der Bundesaccounts festgestellt.

4. Zurzeit gibt es noch keine produktiven M365 Applikationen in der Cloud. Präventiv wurde ein Monitoring des Datenverkehrs und die Analyse der Logdateien durchgeführt und als fester Bestandteil der Betriebsorganisation des internen Leistungserbringers aufgenommen. Alle Microsoft-Kontosignaturschlüssel-Schlüssel (MSA), die vor dem Vorfall aktiv waren - einschliesslich des vom Angreifer erworbenen Signierschlüssels - wurden ungültig gemacht. Der Designfehler im Token-Validierungsprozess wurde durch Microsoft korrigiert. Die Bundesverwaltung hat Sofortmassnahmen zur Verbesserung der internen Kommunikation bei Sicherheitsvorfällen getroffen. Der Aufbau einer Alarmorganisation im Umfeld der Cloud-Infrastruktur ist zwischen NCSC, DTI und dem BIT in Arbeit.

5. Der Vorfall Storm0558 hat keinen Einfluss auf den Einführungsentscheid von Microsoft 365. Bereits vor dem Sicherheitsvorfall wurde festgelegt, dass keine vertraulichen Informationen (nach IschV oder ab 01.01.2024 nach ISG) oder besonders schützenswerte Personendaten (nach DSG) in der Cloud bearbeitet werden dürfen. Dazu werden seitens Projekt CEBA organisatorische und technische Hilfsmittel zur Verfügung gestellt.