Swiss Federal SharePoint Breach: 200 Konten betroffen

Die Swiss Federal SharePoint Breach hat rund 200 Konten beim Schweizer Bundesamt für Informatik, Systeme und Telekommunikation (BIT/FOITT) kompromittiert, wie die Behörde Anfang August 2026 bestätigte. Es ist das erste Mal, dass DIESECs laufende Berichterstattung zu SharePoint-Schwachstellen sich mit einem bestätigten, namentlich genannten Sicherheitsvorfall innerhalb einer DACH-Regierungsbehörde verbindet — nicht nur mit einer Herstellerwarnung.

Was ist passiert

BIT/FOITT stellte am Dienstag, dem 28. Juli 2026, ungewöhnliche Aktivitäten in seiner On-Premises-SharePoint-Umgebung fest. Die Untersuchung bestätigte, dass rund 200 Konten kompromittiert wurden. Die Behörde erklärt, der Angriff sei „vermutlich“ von bislang unbekannten Akteuren durchgeführt worden, die eine der Schwachstellen ausnutzten, die im Rahmen von Microsofts Juli-2026-Patch-Tuesday geschlossen wurden — demselben Release, über das DIESEC am 16. Juli berichtete und das zwei SharePoint-/AD-FS-Zero-Days enthielt, die bereits vor der Patch-Veröffentlichung aktiv ausgenutzt wurden. Welche konkrete CVE gegen die Schweizer Server verwendet wurde, ist bislang durch keine Quelle unabhängig bestätigt worden — dieser Artikel spekuliert bewusst nicht über die Aussage der Behörde hinaus.

BIT/FOITT erklärt, dass gemäß interner Richtlinie keine vertraulichen Informationen oder besonders sensiblen personenbezogenen Daten auf der betroffenen SharePoint-Plattform gespeichert werden dürfen und dass derzeit keine Hinweise auf einen Datenabfluss über die kompromittierten Anmeldedaten hinaus vorliegen. Als Vorsichtsmaßnahme werden die betroffenen Server komplett neu aufgesetzt; der externe Zugriff bleibt gesperrt, bis diese Arbeiten abgeschlossen sind. Das Schweizer Informationssicherheitsgesetz (ISG) verlangt eine zeitnahe Meldung von Vorfällen; BIT/FOITT bestätigt, den Vorfall fristgerecht an die nationale Cybersicherheitsbehörde und das Staatssekretariat für Sicherheitspolitik gemeldet zu haben.

Warum das wichtig ist

Dies ist der vierte Eintrag in einem SharePoint-Ausnutzungsmuster, das DIESEC seit Anfang Juli 2026 verfolgt: eine Lücke in der Vollständigkeit einer Sicherheitsmitteilung (CVE-2026-45659, 6. Juli), zwei Zero-Days, die bereits vor Microsofts rekordverdächtigem Juli-Patch-Tuesday ausgenutzt wurden (16. Juli), und ein Diebstahl von Machine Keys, der ein Patchen übersteht (CVE-2026-50522, 23. Juli). Neu an diesem Vorfall ist das Opferprofil — eine nationale Regierungsbehörde, keine Herstellerwarnung und keine anonymisierte Statistik. Für jede DACH-Organisation, die noch On-Premises-SharePoint betreibt, entfällt damit die Annahme „uns als Organisation dieser Größe trifft es nicht“ vollständig.

Die Parallele zu NIS2 liegt auf der Hand. Die Meldepflicht des Schweizer ISG spiegelt die Vorfallsmeldepflichten, die inzwischen rund 29.500 Unternehmen in Deutschland unter dem NIS2-Umsetzungsgesetz binden. Betroffene Organisationen sollten diesen Vorfall als praxisnahes Beispiel für eine konforme, fristgerechte Offenlegung betrachten — und als Erinnerung daran, dass „wir haben den Patch Tuesday eingespielt“ nicht dasselbe bedeutet wie „wir haben bestätigt, dass im Zeitfenster vor dem Patchen keine Ausnutzung stattgefunden hat“.

Was Sie jetzt tun sollten

1. Bestätigen Sie, dass Ihre On-Premises-SharePoint-Server vollständig auf dem kumulativen Update des Juli-2026-Patch-Tuesday sind — nicht nur dafür eingeplant.
2. Prüfen: Kontrollieren Sie SharePoint- und AD-FS-Authentifizierungslogs von Mitte Juli bis heute auf ungewöhnliche Kontoaktivitäten, insbesondere Logins aus unerwarteten Regionen oder Sitzungstoken außerhalb der üblichen Geschäftszeiten.
3. Falls Sie nicht bestätigen können, dass der Patch vor einem möglichen Ausnutzungsfenster eingespielt wurde: Rotieren Sie die SharePoint-Machine-Keys vorsorglich — Patchen allein entwertet keine bereits vor dem Update gestohlenen Schlüssel, wie DIESECs Berichterstattung vom 23. Juli zu CVE-2026-50522 zeigt.
4. Überprüfen Sie, ob Ihr Meldeprozess nach NIS2 (beziehungsweise, für Schweizer Organisationen, nach dem ISG) tatsächlich eingeübt und nicht nur dokumentiert ist — BIT/FOITTs klare, fristgerechte Offenlegung ist der Maßstab, an dem sich das messen lassen sollte.

DIESEC Einschätzung

Bemerkenswert ist hier nicht die Schwachstellenklasse — der SharePoint-Juli hatte das bereits dreifach belegt —, sondern die Offenlegung. BIT/FOITT veröffentlichte konkrete Details (Erkennungsdatum, Anzahl betroffener Konten, Gegenmaßnahmen, Meldepflicht-Compliance) innerhalb weniger Tage, während vergleichbare Vorfälle im Privatsektor oft wochenlang unbestätigt bleiben, wenn überhaupt. Das verdient es, als Governance-Maßstab benannt zu werden, nicht nur als Warnbeispiel.

Nicht sicher, ob der Patch-Status und die Key-Rotations-Historie Ihrer SharePoint-Umgebung derselben Prüfung standhalten würden? Kontaktieren Sie DIESEC für eine schnelle SharePoint-Expositions- und Patch-Verifizierungsprüfung.

Quellen: BleepingComputer | The Record
Veröffentlicht: 2026-08-12 | Kategorie: Tägliche News | ~4 Min. Lesezeit