> ## Content Index > Fetch the complete content index at: https://www.schweiz.blog/llms.txt > Use this file to discover other available public pages before exploring further. # 200 Bundes-Konten kompromittiert: Was der SharePoint-Angriff wirklich zeigt - URL: https://www.schweiz.blog/sharepoint-angriff-bund-200-konten-analyse/ - Published: 2026-08-21T12:50:00.000Z - Updated: 2026-09-16T13:28:04.000Z - Description: Das BIT sperrte externen SharePoint-Zugriff und setzte Passwörter zurück. Eine Timeline erklärt, was über die 200 Konten und einen möglichen Datenabfluss belegt ist. - Author: schweizblog - Tags: Digital, Cybersicherheit, #Import 2026-09-14 17:38 Zwischen Sicherheitsupdate, Erkennung und Eindämmung liegen verschiedene Zeitpunkte. Der bestätigte Zwischenstand zeigt, weshalb technische Konten, Logs und Notfall-Patching besonders kritisch sind. ## Die gesicherte Timeline des Angriffs Am 4\. August 2026 informierte das Bundesamt für Informatik und Telekommunikation über einen Cyberangriff auf von ihm betriebene SharePoint-Server. Mitte Juli hatte Microsoft mehrere Schwachstellen in SharePoint bekanntgegeben und Sicherheitsupdates veröffentlicht. Das BIT begann nach eigenen Angaben umgehend mit dem Einspielen. Am Dienstag, 28\. Juli, bemerkten Sicherheitsspezialistinnen und -spezialisten Auffälligkeiten. Nach Bestätigung des Verdachts blockierte das Amt den externen Internetzugriff und schloss die Schwachstellen. Am 31\. Juli stellte die Analyse kompromittierte Zugangsdaten fest. Betroffen waren Benutzerkonten und technische Konten. Das BIT setzte die entsprechenden Passwörter zurück und nannte am 4\. August rund 200 kompromittierte Konten. BACS und Microsoft unterstützten die Untersuchung. Zu diesem Zeitpunkt liefen die Analysearbeiten weiter. | Zeitpunkt | Gesicherte Information | Was daraus nicht folgt | | ---------- | -------------------------------------------------------- | ----------------------------------------------------------------------------------- | | Mitte Juli | Microsoft veröffentlicht Schwachstellen und Updates. | Nicht jeder Server war in derselben Minute gepatcht. | | 28\. Juli | BIT erkennt Auffälligkeiten und sperrt externen Zugriff. | Das ist nicht zwingend der erste Zeitpunkt des Eindringens. | | 31\. Juli | Kompromittierte Zugangsdaten werden erkannt. | Konten kompromittiert heisst nicht automatisch, dass jedes aktiv missbraucht wurde. | | 4\. August | Rund 200 Konten, Analyse noch im Gang. | Eine Zwischenmeldung ist kein abgeschlossener Forensikbericht. | Diese Unterscheidungen sind wichtig. Ein Patchdatum, ein Erkennungsdatum und ein möglicher Erstzugriff sind drei verschiedene Zeitpunkte. Ohne veröffentlichten Abschlussbericht lässt sich das exakte Angriffsfenster nicht seriös beziffern. ## «Keine Anzeichen für Datenabfluss» richtig lesen Das BIT schrieb, die bisherigen Analysen hätten keine Anzeichen ergeben, dass neben den Zugangsdaten weitere Daten abgeflossen seien. Das ist eine fachlich vorsichtige Formulierung. Sie bedeutet: In den bis dahin untersuchten Spuren wurde kein zusätzlicher Abfluss festgestellt. Sie bedeutet nicht, dass mathematisch bewiesen wurde, dass kein einziges Byte kopiert worden ist. Forensik arbeitet mit vorhandenen Logs, Speicherabbildern, Netzwerkdaten und Zeitstempeln. Fehlen Protokolle, wurden sie verändert oder reicht ihre Aufbewahrungsdauer nicht zurück, bleibt Unsicherheit. Umgekehrt wäre es ebenso falsch, aus dieser Unsicherheit einen grossen geheimen Datenabfluss zu behaupten. Der belastbare Stand ist genau der publizierte Zwischenstand. Das Amt betonte zudem, vertrauliche und besonders schützenswerte Personendaten hätten auf dieser Plattform gemäss Vorgaben nicht abgelegt werden dürfen. Eine organisatorische Vorgabe reduziert mögliche Folgen, ist aber kein technischer Nachweis, dass sie immer eingehalten wurde. In einer seriösen Nachbearbeitung werden deshalb nicht nur Serverlogs, sondern auch Berechtigungen, Ablagepraxis und mögliche Schattenkopien geprüft. ## Warum technische Konten besonders relevant sind Ein Benutzerkonto ist einer Person zugeordnet. Ein technisches Konto dient häufig einem Dienst, einer Schnittstelle, einem geplanten Prozess oder einer Systemverbindung. Solche Konten können dauerhaft aktiv sein, benötigen manchmal weitreichende Rechte und melden sich ohne sichtbare menschliche Interaktion an. Genau deshalb ist ihre Kompromittierung sicherheitsrelevant. - Ein Dienstkonto kann auf mehrere Systeme oder Datenbestände zugreifen. - Sein normales Verhalten ist schwerer von automatisiertem Missbrauch zu unterscheiden. - Passwörter werden teilweise in Konfigurationen oder Skripten gespeichert. - Verantwortlichkeiten können bei alten Integrationen unklar werden. - Ein einfaches Zurücksetzen kann angeschlossene Dienste unterbrechen oder verborgene Schlüssel übersehen. Darum reicht ein Passwortwechsel nicht immer. Teams prüfen zusätzlich Tokens, Zertifikate, API-Schlüssel, aktive Sitzungen, hinterlegte Geheimnisse und nachgelagerte Systeme. Rechte werden auf das notwendige Minimum reduziert, nicht mehr benötigte Konten deaktiviert und jede technische Identität einer verantwortlichen Stelle zugeordnet. ## Was Microsofts Update belegt – und was nicht Microsoft veröffentlichte im Juli 2026 unter anderem das Sicherheitsupdate KB5002891 für SharePoint Server 2016\. Die Supportseite dokumentiert, welche Produktversion und Sicherheitskorrekturen betroffen sind. Daraus lässt sich aber nicht ohne weitere Angaben ableiten, welche konkrete Lücke beim Bund zuerst ausgenutzt wurde oder welche interne Patchreihenfolge galt. SharePoint existiert in mehreren Serverversionen, und Organisationen betreiben oft unterschiedliche Farmen und Abhängigkeiten. Die Formulierung «nach Veröffentlichung der Updates umgehend begonnen» ist ebenfalls nicht dasselbe wie «alle Systeme waren sofort aktualisiert». Bei einem komplexen Serververbund müssen Updates getestet, verteilt und teilweise mit einem Neustart oder Konfigurationsschritt abgeschlossen werden. Der zentrale Risikowert ist deshalb die Zeit bis zur wirksamen Absicherung jedes exponierten Systems. Ein belastbarer Bericht würde mindestens Versionen, Schwachstellenkennung, Angriffspfad, Zeitfenster, Erkennungslogik, Umfang der Zugangsdaten und Wiederherstellung beschreiben. Solange solche Details nicht vollständig öffentlich sind, sollte die Analyse bei den bestätigten Fakten bleiben. ## Fünf Lehren für Behörden und Unternehmen 1. **Exponierte Systeme kennen:** Eine laufend gepflegte Liste zeigt, welche Server aus dem Internet erreichbar sind, wer sie verantwortet und welche Version läuft. 2. **Notfall-Patching üben:** Kritische Updates brauchen einen vorab definierten Weg mit Tests, Freigabe, Rückfallplan und messbarer Frist. 3. **Technische Identitäten inventarisieren:** Konto, Zweck, Rechte, Geheimnis, letzte Nutzung und Eigentümer gehören in ein zentrales Verzeichnis. 4. **Logs ausreichend aufbewahren:** Ohne zentrale, manipulationsgeschützte Protokolle bleibt ein später Angriff leichter unsichtbar. 5. **Datenklassifikation technisch durchsetzen:** Sensible Daten sollten nicht nur per Weisung verboten, sondern durch Ablageorte, Rechte und Kontrollen geschützt werden. Für Nutzerinnen und Nutzer des Bundes ergeben sich aus der Meldung keine pauschalen Sofortmassnahmen über die Anweisungen der zuständigen Stellen hinaus. Mitarbeitende mit betroffenen Konten erhielten Passwortresets. Wer einen unerwarteten Login- oder Freigabelink erhält, prüft Absender und Ziel unabhängig und meldet Auffälligkeiten über den offiziellen Kanal. ## Wie eine Organisation in den ersten 24 Stunden handelt Der Bundesfall liefert keine universelle Schrittfolge, zeigt aber die Reihenfolge eines guten Notfalls: erkennen, eindämmen, Beweise sichern, Zugangsdaten rotieren und Systeme vertrauenswürdig wiederherstellen. Eine Firma mit eigenem SharePoint darf bei einer ähnlichen Warnung nicht bloss das sichtbare Passwort ändern und weiterarbeiten. Zuerst wird geklärt, welche Versionen und Server erreichbar sind und ob die gemeldete Schwachstelle tatsächlich geschlossen ist. Parallel werden Protokolle und Speicherinformationen gesichert, bevor Neuinstallationen Spuren überschreiben. Externer Zugriff kann vorübergehend blockiert werden, wenn das Risiko den Ausfall rechtfertigt. Danach werden Benutzer- und Dienstkonten nach Priorität behandelt, aktive Sitzungen beendet und Schlüssel erneuert. Bei möglichem Personendatenabfluss prüft die verantwortliche Stelle zudem Melde- und Informationspflichten. Ein Wiederanlauf erfolgt nicht nur nach Erreichbarkeit. Ein sauberes Systemabbild, verifizierte Konfiguration, aktuelle Updates und begrenzte Rechte sind Mindestbedingungen. Anschliessend beobachtet das Team neue Logins und Datenbewegungen besonders eng. Diese Vorbereitung gehört in ein geübtes Notfallhandbuch, damit Entscheidungen nicht erst während des Angriffs verteilt werden. ## Der Angriff ist kein Beweis für einen Totalschaden «200 Konten kompromittiert» klingt dramatisch, ist aber ohne Kontext weder Zahl der betroffenen Menschen noch Zahl gestohlener Dokumente. Ein technisches Konto kann viele Prozesse berühren; umgekehrt kann ein kompromittiertes Passwort ungenutzt geblieben sein. Die angemessene Bewertung benötigt Reichweite, Rechte und beobachtete Aktionen. Ebenso wäre es voreilig, den Vorfall als erledigt abzuhaken, nur weil zunächst kein weiterer Datenabfluss sichtbar war. Der Wiederaufbau betroffener Systeme, die Rotation aller Geheimnisse und die Suche nach Persistenz entscheiden, ob ein Angreifer wirklich entfernt wurde. Transparenz über spätere Erkenntnisse ist deshalb wichtiger als eine schnelle Entwarnung. Was der Fall bereits zeigt: Zwischen der Veröffentlichung einer kritischen Lücke und ihrer vollständigen Schliessung kann ein gefährliches Zeitfenster entstehen. Gute Sicherheit misst nicht nur, ob ein Update existiert, sondern wie schnell exponierte Systeme, technische Konten und Nachbarsysteme überprüft werden. Das ist die nüchterne Lehre aus dem bestätigten Zwischenstand. ## Passend dazu weiterlesen - [Apertus 1.5 ist offen – aber wie souverän ist die Schweizer KI wirklich?](https://www.schweiz.blog/apertus-1-5-offene-schweizer-ki-souveraenitaet/) - [KI gegen Typ-2-Diabetes: Was PreDiabeTx kann – und erst noch beweisen muss](https://www.schweiz.blog/prediabetx-ki-typ-2-diabetes-praevention/) - [ÖV-Tarife 2027: Wer beim GA spart und wer die 3,6 Prozent trotzdem spürt](https://www.schweiz.blog/oev-tarife-2027-ga-sparbillette-kosten/) ## Quellen - [Bundesamt für Informatik und Telekommunikation BIT: Cyberangriff auf SharePoint-Server des Bundes](https://www.bit.admin.ch/de/newnsb/1CjmpBBHQaMV82PjKEpcL?ref=schweiz.blog) - [Microsoft: SharePoint Server 2016 Sicherheitsupdate KB5002891 vom Juli 2026](https://support.microsoft.com/en-us/servicing/office/update/2026/5002891?ref=schweiz.blog) - [Bundesamt für Informatik und Telekommunikation BIT: Bericht Informationssicherheit Bund 2025](https://www.bit.admin.ch/de/newnsb/Ab4VStoSr7TCE9yPZDbCs?ref=schweiz.blog)