Cyberangriff auf Schweizer Bundesverwaltung: 200 Konten nach SharePoint-Lücke kompromittiert

Dieser Artikel wurde bereits 21x gelesen...

Ein aktueller Sicherheitsvorfall beim Schweizer Bundesamt für Informatik und Telekommunikation (BIT) zeigt einmal mehr, wie verwundbar On-Premise-Infrastrukturen bei verzögerten oder komplexen Patch-Zyklen sein können.

Der Cyberangriff ereignete sich auf die lokal betriebenen SharePoint-Server, betroffen sind dabei rund 200 Benutzer- und technische Konten, welche kompromittiert wurden. Ursache war die Ausnutzung von Sicherheitslücken in Microsoft SharePoint, die Mitte Juli bekannt wurden.

Was war genau passiert?
Ende Juli 2026 stießen IT-Sicherheitsexperten des BIT bei Routineanalysen auf Unregelmäßigkeiten in ihren SharePoint-Umgebungen. Am 31. Juli folgte die Gewissheit: Unbekannte Angreifer hatten sich über bekannte Schwachstellen in der Microsoft SharePoint-Software Zugriff verschafft und die Zugangsdaten von etwa 200 Konten – darunter sowohl Benutzer- als auch technische Systemkonten – abgegriffen.

Obwohl Microsoft bereits Mitte Juli Sicherheits-Updates für die betroffenen Lücken bereitgestellt hatte und das BIT nach eigenen Angaben umgehend mit dem Einspielen begann, reichte das Zeitfenster für die Angreifer aus.

Nach der Entdeckung reagierte die Schweizer Bundesverwaltung schnell mit einem mehrstufigen Notfallprotokoll:

• Gesperrter External-Access: Der Zugriff auf die SharePoint-Server für externe Personen über das Internet wurde sofort vollständig blockiert.
• Account-Hardening: Sämtliche Passwörter der ~200 betroffenen Konten wurden umgehend zurückgesetzt.
• Rebuild der Infrastruktur: Die betroffenen SharePoint-Server werden nicht nur gepatcht, sondern präventiv komplett neu aufgesetzt, um persistent verankerte Malware oder Webshells auszuschließen.
• Forensik: Zusammen mit dem Bundesamt für Cybersicherheit (BACS) und Microsoft-Spezialisten wird die Serverumgebung forensisch untersucht.

Der Vorfall reiht sich in eine wachsende Serie von Angriffen auf kritische Infrastrukturen und öffentliche Verwaltungen ein. Allein im Jahr 2025 registrierte das BACS 325 Angriffe auf kritische Infrastrukturen in der Schweiz – davon betraf nahezu jeder vierte Fall die öffentliche Verwaltung auf Bundes-, Kantons- oder Gemeindeebene.

Erinnerungen werden wach an den aufsehenerregenden Ransomware-Angriff der Akira-Gruppe Ende 2025 auf eine US-Tochtergesellschaft des Rüstungskonzerns Ruag, der die Notwendigkeit robuster IT-Resilienz drastisch verdeutlichte.

Der Vorfall beim BIT bietet wichtige Lektionen für Unternehmen und IT-Verantwortliche:
Das „Patch-Window“ schrumpft dramatisch: Zwischen der Veröffentlichung eines Patches und den ersten automatisierten Exploits verstreichen oft nur noch Tage oder Stunden. Das Einspielen kritischer Sicherheitsupdates muss in Notfall-Prozessen priorisiert werden.

Diskussion für die Community

Wie handhabt ihr in eurer Organisation das Patch-Management bei kritischen On-Premise-Anwendungen wie SharePoint oder Exchange? Habt ihr automatisierte Notfall-Prozesse für Zero-Day-Lücken?

Schreibt eure Erfahrungen und Meinungen gerne in die Kommentare!