Kurzer Nachtrag von dieser Woche. Es gab einen erfolgreichen Cyberangriff auf das Schweizer Bundesamts für Informatik (BIT). Angreifern ist es wohl gelungen, die SharePoint-Server erfolgreich anzugreifen und hunderte Benutzerkonten zu kompromittieren. Bekannt wurde dies am 4. August 2026, die Angreifer konnten Schwachstellen in SharePoint nutzen.
Blog-Leser Fred hatte im Diskussionsbereich des Blogs auf diesen Cyberangriff hingewiesen (danke). Fred schrieb: "Schweiz – Bundesamt für Informatik und Telekommunikation über Sharepoint gehackt" und verlinkte auf die Beiträge Cyberangriff auf Sharepoint-Server des Bundesamts für Informatik gemeldet (Watson) und Bundesamt für Informatik und Telekommunikation über Sharepoint gehackt (Golem).
Der Cyberangriff wurde in dieser Meldung vom 4. August 2026 bestätigt. Dort heißt es, das aufgrund eines erkannten Cyberangriffs auf die durch das Bundesamt für Informatik und Telekommunikation (BIT) betriebenen SharePoint-Server der Zugriff für bundesexterne Personen via Internet gesperrt wurde. Im Rahmen der Analyse des Vorfalls wurde festgestellt, dass rund 200 Konten kompromittiert wurden. Es gibt bislang keine Anzeichen dafür, dass Daten abgeflossen sind.
Schwachstellen in SharePoint
Bei SharePoint handelt es sich um eine Webanwendung von Microsoft, welche unter anderem zur Kollaboration und als Dateiablage verwendet wird. Das BIT setzt das Produkt ein und betreibt dazu mehrere SharePoint-Server in den eigenen Datenzentren des Bundes.
Mitte Juli 2026 hat Microsoft mehrere Schwachstellen in SharePoint bekannt gegeben. Ich hatte zum 16. Juli 2026 im Blog-Beitrag Patchday: Microsoft Office Updates (14. Juli 2026) über die Sicherheitsupdate für SharePoint berichtet. Das BIT schreibt, dass nach der Veröffentlichung der entsprechenden Sicherheits-Updates diese auf die eigenen Systeme installiert wurde.
Am Dienstag, den 28. Juli 2026, haben Sicherheitsspezialistinnen des BIT Auffälligkeiten auf den SharePoint-Servern bemerkt. Umgehend nach Bestätigung des Verdachts hat das BIT den Zugriff auf SharePoint über das Internet blockiert und die Schwachstellen geschlossen. Das liest sich für mich so, dass die SharePoint-Server des BIT nicht zeitnah gepatcht wurden.
Der Cyberangriff wurde durch bisher unbekannte Akteure ausgeführt, welche mutmaßlich durch die Ausnutzung dieser Schwachstellen in der SharePoint-Software ermöglicht wurde. Im Rahmen der Analysearbeiten wurde am Freitag, 31. Juli 2026, festgestellt, dass die Zugangsdaten von mehreren Konten kompromittiert wurden. Darunter befanden sich Benutzer- wie auch technische Konten. Das BIT hat die entsprechenden Passwörter umgehend zurückgesetzt. Gemäß aktuellem Stand sind rund 200 Konten betroffen.
Die bisherigen Analysen haben ergeben, dass es keine Anzeichen dafür gibt, dass neben der Kompromittierung der Zugangsdaten von 200 Konten weitere Daten abgeflossen sind. Bei den Analysen wird das BIT vom Bundesamt für Cybersicherheit (BACS) und Microsoft unterstützt.
Laut Meldung dürfen auf der SharePoint-Plattform keine vertraulichen Informationen oder besonders schützenswerte Personendaten gespeichert werden. Das BIT setzt die SharePoint-Server neu auf. Der Zugriff auf SharePoint für bundesexterne Benutzerinnen und Benutzer über das Internet bleibt bis zum Abschluss der Arbeiten gesperrt. Personen aus der Bundesverwaltung können weiterhin auf ihre Dokumente zugreifen und sie über alternative Wege mit den betroffenen Personen austauschen.
Im Rahmen der Meldepflicht gemäß Informationssicherheitsgesetz (ISG) hat das BIT innert der geforderten Frist das Bundesamt für Cybersicherheit (BACS) sowie das Staatssekretariat für Sicherheitspolitik (SEPOS) über den Cybersicherheitsvorfall informiert. Um Betreiberinnen kritischer Infrastrukturen in der Schweiz zu schützen, hat das BIT proaktiv alle relevanten technischen Indikatoren zum Cyberangriff über die Plattform des BACS mit den Betreiberinnen kritischer Infrastrukturen geteilt, heißt es.
MVP: 2013 – 2016
