SolarWinds-Hack: US-Senator greift nachlässiges Microsoft hart an

Während die Tech-Unternehmen beim SolarWinds-Hack das Bild eines überaus perfiden und fähigen Angreifers zeichnen, kommen offizielle Untersuchungen zu etwas anderen Ergebnissen. Vor allem Microsoft gerät dabei deutlich in die Kritik. Der Redmonder Konzern ist zwar nicht Schuld an dem massiven Angriff, begünstigte diesen mit seinen Nachlässigkeiten aber. So sieht zumindest das Ergebnis erster Untersuchungen aus, die das Senate Intelligence Committee über die Folgen der Attacke auf eine Reihe von US-Behörden anstellte. Immerhin neun Bundesbehörden der USA wurden durch die Attacke in Mitleidenschaft gezogen.

Senator Ron Wyden, der dem Committee vorsteht, verwies laut einem Bericht von ITNews unter anderem auf eine Schwachstelle, mit der Angreifer ihre Rechte in Microsofts Cloud-Diensten erweitern können. Ein Exploit gegen diese Lücke war auch ein Bestandteil des Arsenals, der bei dem SolarWinds-Hack zum Einsatz kam. Auf die fragliche Lücke hatten Sicherheitsforscher erstmals im Jahr 2017 hingewiesen, beseitigt wurde sie aber nicht oder nicht konsequent genug. Und auch die Nutzer wurden nicht hinreichend über das Problem informiert, so dass sie vielleicht hätten eigene Schutzmaßnahmen ergreifen können.

Microsoft windet sich

"Die Bundesregierung gibt Milliarden für Microsoft-Software aus", erklärte Wyden im Vorfeld einer Parlaments-Anhörung zum SolarWinds-Vorfall, die heute stattfinden soll. Bevor nicht klar sei, warum das Unternehmen nicht vor dem Problem warnte, das ihm seit Jahren bekannt ist, sollte man aus seiner Sicht erst einmal aufhören, weiter dort einzukaufen.

Microsoft-Vertreter wiesen die Anschuldigungen Wydens allerdings zurück. In einer schriftlichen Stellungnahme redet man sich damit heraus, dass die als "Golden SAML" bezeichnete Form des Angriffs zuvor niemals in freier Wildbahn beobachtet worden sei. Und weder die privatwirtschaftliche noch die staatliche Sicherheits-Community hätten in der Schwachstelle ein besonderes Risiko gesehen. Ob das allerdings reicht, um ein jahrelanges Nichtstun zu rechtfertigen, scheint fraglich. Hinzu kommt, dass Microsoft einräumte, auch keine zusätzlichen Schutzvorkehrungen getroffen zu haben, um einen Missbrauch von Zugangsrechten vielleicht besser erkennen zu können.

Siehe auch: