Bund muss bei der Datensicherung von Microsoft 365 nachbessern

(Source: IB Photography / stock.adobe.com)

(Source: IB Photography / stock.adobe.com)

Das Sicherheitsniveau von Microsoft 365 (M365) in der Bundesverwaltung ist noch ausbaufähig. Dies geht aus einem von der Eidgenössischen Finanzkontrolle (EFK) veröffentlichten Prüfbericht hervor. Die Prüfstelle untersuchte, ob der Bund die Sicherheit der Daten und Informationen bei der Nutzung gewährleistet und ob die in M365 enthaltenen zusätzlichen Funktionen auch effektiv genutzt werden können.

Die Prüfung erfolgte zwischen Februar und April 2026, also nur wenige Monate nachdem die Bundesverwaltung die Migration von insgesamt 54'000 Arbeitsplätzen auf Microsofts Online-Bürosoftware abgeschlossen hatte.

Solide Plattform, (vorerst) angemessener Schutz

Den Lead für M365 in der Bundesverwaltung hat der Bereich Digitale Transformation und IKT-Lenkung der Bundeskanzlei (BK-DTI). Für den technischen Betrieb ist das Bundesamt für Informatik und Telekommunikation (BIT) verantwortlich. Dieses habe "die Plattform gemäss den Architekturrichtlinien der Bundeskanzlei und nach bewährten Methoden von Microsoft aufgebaut", lobt die EFK. Ebenfalls positiv hebt die Finanzkontrolle das Change Management hervor, also zum Beispiel die Prozesse zum Einspielen von Sicherheitsupdates oder zum Einführen neuer Funktionen. Zum Change Management gehören Fachteams, die anstehende Änderungen bewerten. Ebenfalls etabliert ist ein "breit aufgestelltes Steering Commitee", welches besonders riskante Änderungen bewilligen muss und weniger riskante Changes per Veto stoppen kann.

Die EFK weist aber auch auf "gewisse Einschränkungen" hin: Es gebe keine hundertprozentige Kontrolle über sämtliche Feature-Updates. Microsoft könne gewisse Updates ohne vorherigen Eintrag im Message Center ausrollen. "Diese Restrisiken sind systembedingt und sollten im Rahmen der kontinuierlichen Verbesserung weiterhin beobachtet werden", kommentiert die EFK, ohne jedoch eine diesbezügliche Empfehlung auszusprechen.

Zum Sicherheitsniveau stellt die Prüfbehörde fest, es entspreche "dem vorerst restriktiven Einsatzbereich". Demnach dürfen Bundesangestellte aktuell nur nicht klassifizierte Informationen mit M365 bearbeiten. Bereits eingeführt hat der Bund sogenanntes Labelling (Klassifizierung und Schutzkennzeichnung von Daten) und Massnahmen zur Data Loss Prevention (Richtlinien zur Verhinderung unerlaubter Datenweitergabe).

Die EFK stellt zudem fest, dass der Zugriff von Microsoft auf die Bundesdaten "eingeschränkt und protokolliert" sei. Mitarbeitende des Tech-Konzerns dürften demnach "nur in absoluten Ausnahmefällen" auf Kundendaten zugreifen. Diese Zugriffe müssten zuvor vom BIT freigegeben werden.

In der Beurteilung stellt die EFK allerdings auch klar, dass Microsoft als Cloud Service Provider "rein technisch betrachtet" auf Daten seiner Kunden zugreifen könne. Das Unternehmen verpflichte sich jedoch vertraglich, "Daten nur für definierte Zwecke wie Betrieb, Support und Sicherheit zu verarbeiten".

Teurere Lizenzen für mehr Sicherheit

In einem separaten Kapitel befasst sich die EFK mit den vom Bund gewählten M365-Lizenzen. Die Verwaltung habe sich bewusst für E5-Lizenzen entschieden. Sie sind teurer als die von Microsoft ebenfalls angebotenen E3-Lizenzen. Allerdings seien in E5-Lizenzen zusätzliche Sicherheitsfunktionen enthalten, darunter "erweiterter Endgeräteschutz, cloudbasiertes Bedrohungsmanagement, risikobasierte Zugriffskontrollen sowie erweiterte Möglichkeiten zur Überwachung und zum Schutz sensibler Daten", wie die EFK aufzählt. Der Bund habe mehrere zentrale E5-Komponenten bereits implementiert. Somit erziele man "einen nachweisbaren Sicherheitsgewinn, der das Cyberrisiko der Organisation wirksam reduziert".

Compliance, Back-ups, Schlüssel

Abgesehen von den positiven Befunden weist die EFK auf eine Reihe anstehender oder möglicher Verbesserungen hin. So empfiehlt sie dem Bereich DTI, zusammen mit dem BIT das Compliance-Management auszubauen. Namentlich sollte der Bund das von Microsoft bereitgestellte Service Trust Portal (STP) besser nutzen. Auf dem Portal dokumentiert Microsoft interne Prozesse zu Auditzwecken und stellt Berichte aus Überprüfungen zur Verfügung. Der Bund werte diese Ressourcen nicht systematisch aus, bemängelt die EFK. Sie rät, zu definieren, "welche Inhalte des STP durch wen und wie (Umfang, Periodizität, verantwortlichen Stellen) überwacht werden sollen".

Weiter ausbauen sollte das BIT laut einer weiteren EFK-Empfehlung die Automatisierung der Tenantkonfiguration. Aktuell verwalte das BIT Tenants nur teilweise automatisiert, schreibt die Prüfstelle. Namentlich empfiehlt sie, stärker auf das von Microsoft angebotene "Desired State Configuration" (DSC) zu setzen. Diese Funktion prüft M365-Konfigurationen gegen einen definierten Soll-Zustand und passt die Einstellungen bei Abweichungen gegebenenfalls an.

Im gleichen Kapitel empfiehlt die EFK dem BIT, zu definieren, in welchem Rhythmus Abweichungen von definierten Sicherheitsstandards ausgewertet werden und wie darauf zu reagieren ist.

Als "noch nicht auf dem gewünschten Stand" beurteilt die EFK die Datensicherung. Zwar hat der Bund ein mehrstufiges System eingeführt: Es kombiniert das in M365 enthaltene Papierkorb-System mit einer vollständigen Datensicherung mit Datenhaltung in Rechenzentren des Bundes. Allerdings werde die Administrationskonsole dieser Lösung in den USA gehostet und stehe damit im Widerspruch zu den bundeseigenen Vorgaben, schreibt die EFK.

Wie aus dem Bericht hervorgeht, hat der Bund bereits reagiert. Als Zwischenlösung ersetze man die vollständige Sicherung durch den M365-Backup-Dienst. Längerfristig soll eine neue, in Europa gehostete Lösung eingeführt werden.

Das entsprechende Projekt befinde sich in der Umsetzung, erklärt die EFK. Mit der Zwischenlösung bestehe jedoch eine Abhängigkeit von Microsoft als Cloud Service Provider. Bei einem allfälligen Verlust der Verbindung zu M365 wäre kein Back-up mehr verfügbar, erklärt die Behörde. Deshalb müsse das BIT in Absprache mit dem Bereich DTI ein lokales Back-up so schnell wie möglich erstellen und danach die Wiederherstellung regelmässig testen. In seiner nach der Prüfung verfassten Stellungnahme kommentiert das BIT, man habe eine entsprechende Lösung inzwischen aufgebaut und in den produktiven Betrieb überführt.

Ebenfalls bereits gestartet sind die Ausbauarbeiten des Schlüsselmanagements. Der Bund plant laut der EFK, selbstverwaltete Verschlüsselungsschlüssel (Customer Managed Keys, CMK) einzuführen. Damit erhalten zumindest ruhende Daten eine zusätzliche Schutzschicht. In einer dritten Phase strebe man eine zusätzliche Objektverschlüsselung mittels Microsoft Information Protection an. Laut der EFK eröffnen diese Massnahmen zusätzliche Möglichkeiten, den Datenzugriff seitens Microsoft weiter einzuschränken. Die EFK nimmt zur Kenntnis, dass der Bund damit anstrebe, dereinst auch als Intern klassifizierte Daten mit M365 zu bearbeiten.

Ausbaufähige Schulungen

Was das effiziente Arbeiten mit M365 angeht, ist das Bild durchzogen: Laut der EFK nutzen einige Verwaltungseinheiten etwa die neuen Kollaborationsfunktionen umfassend, andere nur selektiv. Das liege nicht primär an technischen Defiziten, sondern hänge mit organisatorischen Faktoren zusammen, schreibt die Prüfstelle. Für Endanwender stelle etwa das mit M365 eingeführte Kennzeichnungsschema für Dokumente "eine substanzielle Verhaltensänderung dar". Dass in der Cloud ohne zusätzliche Schutzmassnahmen keine als INTERN oder höher klassifizierten Daten gespeichert werden dürften, sei eine weitere Hürde für die Nutzung der M365 Dienste, zumal die entsprechenden Bearbeitungsvorschriften von der entsprechenden Behörde noch überarbeitet würden.

"Ohne gezielte Begleitung und konkrete Handlungsanleitungen greifen Mitarbeitende auf bekannte Arbeitsweisen zurück", konstatiert die EFK. Die Prüfstelle verweist auf ein vorhandenes Schulungsangebot und eine Lernbibliothek und erklärt, es liege primär in der Verantwortung der Verwaltungseinheiten, ihre Mitarbeitenden zu schulen, damit die Kollaborationsfunktionen in Zukunft vermehrt genutzt werden. Dem BIT empfiehlt die Finanzkontrolle, die von M365 generierten Usage Reports regelmässig auszuwerten und als Steuerungsmassnahme für die Adoption zu nutzen.

Übrigens: Viele Schweizer Verwaltungen setzen inzwischen M365 ein. Unumstritten ist der Einsatz der US-amerikanischen Lösung nicht. Hier zum Beispiel lesen Sie mehr zur Diskussion um M365 in Luzern.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.