Das Schweizer Bundesamt für Informatik und Telekommunikation erklärt, dass Angreifer in seine Microsoft-SharePoint-Server eingedrungen sind und rund 200 Benutzerkonten kompromittiert haben.
Das Bundesamt für Informatik und Telekommunikation, kurz BIT, entdeckte am 28. Juli ungewöhnliche Aktivitäten in seiner SharePoint-Umgebung. Nachdem die Behörde den Vorfall bestätigt hatte, sperrte sie den externen Internetzugang, behob mutmaßliche Schwachstellen und setzte die Passwörter der betroffenen Nutzer zurück.
Nach Angaben der Behörden haben die Ermittler keine Hinweise darauf gefunden, dass die Angreifer neben den kompromittierten Anmeldedaten weitere Daten gestohlen haben.
Sicherheitsteams fanden kompromittierte Zugangsdaten
Das BIT erklärte, dass seine Sicherheitsspezialisten während ihrer Untersuchung am 31. Juli mehrere kompromittierte Zugangsdaten identifiziert hätten.
Die Behörde geht davon aus, dass die Angreifer eine oder mehrere Schwachstellen in Microsoft SharePoint ausnutzten, die Microsoft Mitte Juli offengelegt hatte. Microsoft stellte im Rahmen seiner Patch-Tuesday-Updates für Juli 2026 Korrekturen für diese Sicherheitslücken bereit.
Das BIT hat jedoch noch nicht festgestellt, welche konkrete Schwachstelle für den Angriff auf die SharePoint-Systeme der Schweizer Regierung verantwortlich war.
Die Ermittler prüfen, ob die Angreifer CVE-2026-56164 ausnutzten, eine aktiv ausgenutzte SharePoint-Schwachstelle zur Ausweitung von Berechtigungen. Sie untersuchen außerdem CVE-2026-50522, eine kritische Schwachstelle zur Remote-Codeausführung, die Angreifer später nutzten, um SharePoint-Maschinenschlüssel zu stehlen und ihren Zugriff auch nach der Installation von Patches aufrechtzuerhalten.
Keine der beiden Möglichkeiten wurde bislang bestätigt. Die Angreifer könnten eine andere Schwachstelle ausgenutzt haben, die Microsoft in derselben Update-Runde behoben hatte.
Schweiz blockiert externen Zugriff
Als Teil seiner Reaktion auf den Vorfall blockierte das BIT den externen Zugriff auf die betroffenen SharePoint-Server. Die Behörde wird diese Einschränkung aufrechterhalten, während sie die kompromittierten Systeme neu aufsetzt.
Durch die Neuinstallation der Server kann das IT-Amt potenzielle Mechanismen für dauerhaften Zugriff zuverlässiger entfernen und die Plattform wiederherstellen. Angreifer verwenden manchmal gestohlene Maschinenschlüssel, Hintertüren oder veränderte Konfigurationen, um erneut Zugriff zu erhalten, nachdem Administratoren Sicherheitsupdates installiert haben.
Bundesangestellte können weiterhin über alternative Methoden auf Dokumente zugreifen und Dateien mit externen Kontakten teilen.
Das BIT erklärte außerdem, dass seine Vorschriften Mitarbeitern verbieten, vertrauliche Informationen und besonders sensible personenbezogene Daten auf der betroffenen SharePoint-Plattform zu speichern. Diese Richtlinie könnte die möglichen Auswirkungen einer Datenoffenlegung begrenzen.
Behörden und Microsoft setzen Untersuchung fort
Das Schweizer Bundesamt für Cybersicherheit und Microsoft unterstützen das BIT bei der Untersuchung des Angriffs.
Bislang hat sich keine Ransomware-Gruppe oder Erpresserorganisation öffentlich zu dem Angriff bekannt. Die Behörden haben den Vorfall außerdem keinem bestimmten Bedrohungsakteur zugeordnet.
Der Sicherheitsvorfall verdeutlicht die Risiken für Organisationen, wenn Angreifer weit verbreitete Kollaborationsplattformen ins Visier nehmen. SharePoint-Server speichern häufig interne Dokumente, Benutzerzugangsdaten und Verbindungen zu anderen Geschäftssystemen, wodurch sie zu attraktiven Zielen werden.
Organisationen, die lokale SharePoint-Server betreiben, sollten die Sicherheitsupdates von Microsoft aus dem Juli überprüfen, nach ungewöhnlichen Aktivitäten suchen und Zugangsdaten zurücksetzen, wenn eine Kompromittierung möglich ist. Sie sollten außerdem erwägen, den externen Zugriff einzuschränken, während sie mutmaßliche Angriffe untersuchen.
0 Kommentare zu „SharePoint-Sicherheitsvorfall bei Schweizer Regierung kompromittiert rund 200 Konten“