Krasse Geschichte, die mir die Nacht untergekommen ist. Ein interner Bericht der US-Bundesregierung enthüllt, dass deren Cyber-Experten die Cloud von Microsoft geprüft haben. Da (mangels Unterlagen) kaum etwas geprüft werden konnte, bezeichneten die Experten die Microsoft Cloud als "einen Haufen Mist" ( "a pile of shit"). Trotzdem wurde die Microsoft Cloud für den Einsatz zugelassen.
Federal Cyber Experts Thought Microsoft's Cloud Was "a Pile of Shit." They Approved It Anyway. veröffentlicht. Von Arstechnica gibt es diesen Beitrag dazu.
Das Ganze geht wohl bereits auf das Jahr 2024 zurück – in der Zeit geriet Microsoft mit seiner Cloud ja in wildes Fahrwasser, weil diese mehrfach von chinesischen und russischen Angreifern gehackt werden konnte. Ich hatte die Vorfälle hier im Blog aufgegriffen, siehe die Links am Artikelende.
Ende des Jahres 2024 legen die Experten für Cybersicherheit der US-Bundesregierung ein beunruhigendes Urteil über die Cloud-Computing-Angebote von Microsoft vor und fällten ein vernichtendes Urteil. Seit Jahren, schreiben die Prüfer, versuchte Microsoft vergeblich, vollständig zu erklären, wie sensible Daten in der Cloud geschützt werden, während diese in der Microsoft Cloud von Server zu Server weitergeleitet werden. Angesichts dieser und anderer Unklarheiten konnten Regierungsexperten nicht für die Sicherheit der Technologie bürgen.
ProPublica zitiert aus dem von ihnen eingesehenen internen Regierungsbericht, dass die Prüfer wegen des "Fehlens einer angemessenen, detaillierten Sicherheitsdokumentation kein Vertrauen in die Bewertung der allgemeinen Sicherheitslage des Systems" hatten. Oder platt ausgedrückt: Weil Microsoft auf Anforderung keine detaillierte Sicherheitsdokumentation vorlegen konnte, ließ sich keine Einstufung der Sicherheit vornehmen.
Einer der Prüfer wird mit der Einschätzung, dass die Microsoft Cloud "ein Haufen Mist sei" zitiert. Ein solches Urteile wären eigentlich für jedes Unternehmen ein Todesurteil, wenn es seine Produkte bei der US-Regierung unterbringen möchte. Aber es sieht so aus, dass die Microsoft Cloud dann doch "alternativlos" angesehen und für den Einsatz freigegeben wurde. Das Ganze zeigt, wie wackelig die Microsoft-Cloud und die darauf aufbauende Infrastruktur im Grunde ist.
Ähnliche Artikel:
China-Hacker (Storm-0558) in Microsofts Cloud, Outlook Online-Konten gehackt
Nachlese zum Storm-0558 Cloud-Hack: Microsoft tappt noch im Dunkeln
Nach CISA-Bericht zum Storm-0558-Hack stellt Microsoft Kunden erweitertes Cloud-Logging bereit
GAU: Geklauter AAD-Schlüssel ermöglichte (Storm-0558) weitreichenden Zugang zu Microsoft Cloud-Diensten
Microsofts Cloud-Hack: Überprüfung durch US Cyber Safety Review Board
Microsoft Cloud-Hack durch Storm-0548: US-Senatoren unter den Opfern; Prüfpflicht für europäische Verantwortliche
Nachgehakt: Storm-0558 Cloud-Hack und Microsofts Schweigen
Microsofts Storm-0558 Cloud-Hack: Schlüssel stammt aus Windows Crash Dump eines PCs
Interview: Der kleingeredete Storm-0558 Hack der Microsoft Cloud
Mehr als 60.000 E-Mails des US-Außenministeriums beim Microsofts Storm-0558 Cloud-Hack abgegriffen
Storm-0558 Hack: Microsoft hat Purview Audit generell für US-Behörden seit Feb. 2024 freigegeben
Microsoft bereinigt Millionen Cloud-Tenants nach Storm-0558-Angriff
Sicherheitsrisiko Microsoft? Feuer von der US-Politik nach Microsofts Azure Cloud-GAU und Forderung zum Microsoft Exit – Teil 1
Sicherheitsrisiko Microsoft? Azure-Schwachstelle seit März 2023 ungepatcht, schwere Kritik von Tenable – Teil 2
MVP: 2013 – 2016
Wer hätte gedacht, dass der Film "Human Centipede" mal als visionärer Endzeitfilm herhält ;)
Ist hier in der EU/DE auch nicht anders. Die einen sch***, die anderen fressen. Und manchen schmeckt es auch noch.
Das ist im Wesentlichen nichts neues. Jeder technisch versierte Ingenieur, der Microsoft kennt und sich nicht zu den MS Jüngern zählt, wußte das bereits. Ob das bei anderen Hyperscalern wie AWS oder Google besser ist, kann bezweifelt werden. Um so unverständlicher, daß Organisationen ihren ganzen Betrieb auf einen "pile of shit" abstützen. IMHO ein nicht vertretbares Risiko. Das taucht aber bei den Risiken, die Wirtschaftsprüfer in ihren Bericht schreiben nie auf. Das läßt sich eben nur mit der These von Archibald Putt erklären: Technology is dominated by those who manage what they do not understand.
Das interessanteste ist ja, dass MS bis heute nicht ganz genau weiß, wie deren Systeme gehackt wurden und ob es nicht noch weitere "Backdoors" gibt, bzw. ob noch immer von außen auf deren "Cloud" zugegriffen werden kann.
Jeder, absolut jeder, des deren Cloud nutzt, ist in meinen Augen, ein Dummkopf!
Da kann derjenige auch all seinen Scheiß in Tüten packen und am Straßenrand lagern.
Ich frage mich eher immer wie es Microsoft geschafft hat so lange mit seiner Software am Leben zu bleiben und wie das BSI immer Microsoft noch als Sichere Software einstuft, wer schmiert da wen.
Ich bin da zum Glück privat längst raus, hänge gerade auf Linux Mint ab, ich glaube zwar das es dort auch nicht ganz so Rosig ausschaut, aber es ist nicht so ganz weit verbreitet wie Microsoft und deren Cloud.
Das bestätigt meine Einschätzung.
Wir führen gerade eine Grundsatzdiskussion, ob wir als IT-Dienstleister uns mehr mit der M365 Cloud beschäftigen sollen. Das alles kam ins Rollen, weil ein Kunde eigentlich alles in der Cloud haben möchte. Ich bin da noch sehr gespalten. Ein Gesellschafter von uns ist der Meinung, dass wir in Gefahr laufen, wenn wir uns nicht damit beschäftigen. Laut seiner Aussage scheinen ja auch Dienstleister, die Cloud only machen, keine Probleme zu haben und gut Kohle zu verdienen. Ich als Admin sehe das etwas anders, habe aber nicht wirklich einen Fahrplan wie aktuell die Lage ist und leider keine Glaskugel wie es in Zukunft aussieht. Ich sehe immer nur Abhängigkeiten – digitale Souveränität, große Komplexität und am Ende doch recht unberechenbare Kosten. Dennoch bekomme ich mit wie immer mehr Firmen in die Cloud wollen oder zumindest mehr damit zu tun haben wollen, weil z.B. das ERP-System ein Plugin anbietet, was aber nur mit M365 funktioniert. Ich bin tatsächlich in gewisser Hinsicht etwas verzweifelt.