Regierungskommission wirft Microsoft Nachlässigkeit vor

Der Fall sorgte für internationale Verwicklungen: Im Sommer 2023 hatten Hacker, die vermutlich Verbindungen zum chinesischen Staat hatten, zahlreiche E-Mail-Konten auf Microsofts Servern gehackt und unter anderem 60.000 E-Mails des US-Außenministeriums abgeschöpft. Nun hat das von Präsident Joe Biden eingerichtete Cyber Safety Review Board ein für den IT-Konzern verheerendes Fazit gezogen: Microsoft habe sich eine »Kaskade vermeidbarer Fehler« geleistet, die die Folge einer unzureichenden Sicherheitskultur seien.

Aufgefallen war der Angriff, weil das US-Außenministerium im Juni 2023 unzulässige Zugriffe auf die eigenen E-Mails festgestellt hatte. Erst dann wurde Microsoft darauf aufmerksam und stellte schließlich fest, dass 21 Organisationen und 503 Accounts ebenfalls von der Attacke betroffen waren. Die Ermittlungen ergaben, dass die Angreifer der Gruppe namens Storm-0558 Zugriff auf einen Sicherheitscode erbeutet hatten, der es ermöglichte, sich in beliebige E-Mail-Konten einzuloggen.

Kein Schutz gegen »Cyberarmeen«?

Microsoft räumte den Vorfall im Juli 2023 öffentlich ein, betonte aber gleichzeitig, dass »keine Organisation immun sei« gegen Angreifer mit ausreichenden Ressourcen und dass man sich mit besten Kräften gegen die »Cyberarmeen« der Widersacher Amerikas wehre. Das mit hochkarätigen Sicherheitsexpertinnen und -experten aus Regierung und Privatwirtschaft besetzte Cyber Safety Review Board kommt zu einem anderen Ergebnis. In seinem Abschlussbericht stellt das Gremium etwa fest, dass der zum Einbruch genutzte Schlüssel bereits 2021 deaktiviert werden sollte und ohnehin nicht Zugriff auf E-Mails von Kunden wie dem Außenministerium ermöglichen durfte. Wie die Angreifer an diesen Schlüssel gelangen konnten, ist bis heute unklar.

Die Untersuchungskommission sieht darin keinen Einzelfall, sondern ein systematisches Problem bei Microsoft. Um künftige Vorfälle dieser Art zu vermeiden, sei es notwendig, die Sicherheitskultur von Microsoft zu überarbeiten. Dabei greift das Gremium auch in ungewöhnlich scharfen Worten die Führung des Konzerns an. »Kunden von Microsoft würden davon profitieren, wenn sich der CEO und der Vorstand direkt auf die Sicherheitskultur des Unternehmens konzentrieren«, heißt es in dem Abschlussbericht.

Dabei belassen es die Mitglieder nicht bei allgemeinen Ratschlägen. »In der Zwischenzeit sollte die Microsoft-Führung erwägen, die internen Microsoft-Teams anzuweisen, Funktionsentwicklungen in der gesamten Cloudinfrastruktur und Produktpalette des Unternehmens zurückzustellen, bis wesentliche Sicherheitsverbesserungen vorgenommen worden sind.« Für den Konzern, der derzeit daran arbeitet, künstliche Intelligenz in seiner Infrastruktur zu verankern, ist dies eine harte Zurechtweisung.

Quelle: spiegel.de