Schwere Vorwürfe: Microsoft doch (Mit-)Schuld am SolarWinds-Hack

Gegen Microsoft werden jetzt schwere Vorwürfe erhoben: Um die Be­wer­bung zu einem großen staatlichen Cloud-Auftrag nicht zu gefährden, soll ein Sicherheitsproblem unter den Teppich gekehrt worden sein - mit schwerwiegenden Folgen.

Geschäft geht vor

Die Investigativ-Plattform ProPublica berichtet heute über den Fall Andrew Harris. Bei diesem handelt es sich um einen Hacker und Sicherheits-Experten, den Microsoft in sein Team holte, nachdem dieser mehrere Jahre für das US-Verteidigungsministerium gearbeitet hatte.

Bereits 2016 soll er in seiner neuen Aufgabe mit einem kniffligen Fall betraut worden sein. Angreifer hatten es geschafft, in das Netzwerk eines großen Konzerns einzudringen, fast ohne Spuren zu hinterlassen. Nach monatelanger Arbeit kristallisierte sich heraus, dass die Schwachstelle wohl bei einer Microsoft-Software zu finden war, die Zugriffsberechtigungen bei Cloud-Anwendungen steuerte. Eindringlinge konnten sich über die Lücke mit Rechten eines legitimen Anwenders versehen und so auf sensible Informationen zugreifen.

Harris blitzt ab

Harris habe seinen Fund gemeldet und seine Sorgen zum Ausdruck gebracht - immerhin betraf das Problem nicht nur Firmenkunden, sondern auch die IT-Infrastrukturen verschiedener US-Behörden. Seine Kollegen in Microsofts Cloud-Abteilung sollen ihn aber ignoriert und die Schwachstelle heruntergespielt haben.

Das habe seinen Grund vor allem darin gehabt, dass die US-Regierung einen großen Cloud-Auftrag mit Microsoft abschließen wollte. Die Anerkennung dieses Sicherheitsmangels könnte die Chancen des Unternehmens gefährden, habe ein Produktleiter gesagt, erinnerte sich Harris später. Später sei er immer wieder damit vertröstet worden, dass längst an einer grundlegenden Alternative zu dem fehlerhaften Produkt gearbeitet werde. Frustriert habe er Microsoft dann im August 2020 verlassen, hieß es.

Es kam, wie es kommen musste

Harris' Befürchtungen wurden dann Realität: Im Zuge des SolarWinds-Hacks drangen russische Hacker in die Netzwerke zahlreicher US-Unternehmen und Behörden ein. Es handelte sich um einen der schlimmsten Cybersecurity-Vorfälle überhaupt. Microsoft wies in dieser Sache die Schuld von sich und auch Microsoft-Präsident Brad Smith versicherte dem US-Kongress im Jahr 2021, dass "es in keinem Microsoft-Produkt oder -Dienst eine Schwachstelle gab, die bei SolarWinds ausgenutzt wurde".

Laut Harris spielte die von ihm gefundene Schwachstelle aber sehr wohl eine entscheidende Rolle bei dem Hack. Microsoft äußerte sich dazu auf Nachfrage nicht näher und erklärte lediglich, dass man Sicherheitsprobleme ernst nehme und jedem Fall mit der gebotenen Sorgfalt nachgehe. "Unsere Einschätzung dieses Problems wurde mehrfach überprüft und mit dem Branchenkonsens abgeglichen", so ein Konzernsprecher. Die Darstellung im ProPublica-Bericht wurde allerdings auch nicht bestritten.


Siehe auch: