Ex-US-Sicherheitsberater: Microsoft ist gravierendes Sicherheitsrisiko

Der frühere Cybersicherheits- und Anti-Terror-Berater zweier US-Präsidenten, Roger Cressey, schlägt Alarm: Die anhaltenden Sicher­heits­probleme bei Microsoft gefährden aus seiner Sicht massiv die nationale Sicherheit der USA.

Chinesen sind vorbereitet

In den vergangenen Wochen musste der Konzern aus Redmond gleich zwei schwerwiegende Schwachstellen offenlegen - eine, in der Kollaborationsplattform SharePoint, wurde bereits als Zero-Day von Angreifern ausgenutzt. Eine weitere Lücke betrifft Exchange-Server, seit Jahren ein beliebtes Ziel russischer und chinesischer Geheimdienste.

Cressey, heute Partner bei Liberty Group Ventures, sprach gegenüber dem britischen Magazin The Register von einem "vier Billionen Dollar schweren Monster". Seine Sorge: "Die Chinesen sind so gut auf Microsoft-Produkte vorbereitet, dass sie im Konfliktfall gezielt unsere kritische Infrastruktur angreifen werden. Diese Produkte sind allgegenwärtig - und ihre Anfälligkeit ist den Chinesen bestens bekannt."


Die Kritik an Microsoft ist nicht grundsätzlich neu, in dieser Schärfe jedoch selten. Sicherheitslücken in Produkten aus Redmond wurden wiederholt mit Cyberangriffen in Verbindung gebracht, etwa beim SolarWinds-Hack oder bei der Kompromittierung von E-Mail-Konten hochrangiger US-Regierungsbeamter. Ein Bericht des Heimatschutzministeriums bescheinigte Microsoft zuletzt "vermeidbare Fehler", die es chinesischen staatlich unterstützten Hackern ermöglichten, zehntausende vertrauliche Nachrichten zu stehlen.

Auch US-Senator Ron Wyden wirft Microsoft vor, von den eigenen Schwachstellen zu profitieren: Jedes sicherheitsbedingte Datenleck führe zu neuen Verträgen für zusätzliche Microsoft-Sicherheitsdienste - bezahlt vom Steuerzahler. Selbst sicherheitskritische Einrichtungen wie die Nationale nukleare Sicherheitsbehörde (NNSA) seien von den jüngsten Angriffen betroffen gewesen.

Unfähig oder unwillig

Medienberichte deckten außerdem auf, dass chinesische Entwickler über Jahre hinweg an sensiblen Projekten wie SharePoint und Cloud-Diensten des US-Verteidigungsministeriums mitarbeiteten. Für Cressey ist das "völlig unverständlich" und ein Risiko, das man sich in sicherheitsrelevanten Bereichen nicht leisten könne. Microsoft sei derzeit "entweder unfähig oder unwillig, wirksame Gegenmaßnahmen zu ergreifen", führte er aus.

Trotz wiederholter Kritik erhält der Konzern aber eben auch weiterhin milliardenschwere Regierungsaufträge. Cressey fordert einen Stopp neuer Vergaben, bis Microsoft umfassend nachweisen kann, dass seine Sicherheitsstandards den Anforderungen entsprechen. Doch ob die US-Regierung diesen Kurs einschlägt, bleibt fraglich - denn, so Cressey: "So sicher wie die Sonne im Osten aufgeht, wird es bald die nächste Microsoft-Sicherheitsgeschichte geben." Und Alternativen werden nur in seltenen Fällen erwogen.


Siehe auch: