Der Bund als Ziel: was der SharePoint-Hack zeigt

Am Dienstag dieser Woche hat das Bundesamt für Informatik und Telekommunikation etwas mitgeteilt, was in seiner Sprache trocken klingt und trotzdem an die Substanz geht: Unbekannte haben SharePoint-Server des Bundes angegriffen. Aufgrund eines erkannten Cyberangriffs auf die durch das BIT betriebenen SharePoint-Server wurde der Zugriff für bundesexterne Personen via Internet gesperrt, rund 200 Konten wurden kompromittiert, bislang gibt es keine Anzeichen dafür, dass Daten abgeflossen sind. Aufgefallen war der Vorfall nicht sofort. Mitte Juli hatte Microsoft mehrere Schwachstellen in SharePoint bekannt gegeben, und am 29. Juli haben Sicherheitsspezialistinnen und -spezialisten Auffälligkeiten auf den Servern bemerkt. Am 31. Juli wurde durch die Analysearbeiten festgestellt, dass die Zugangsdaten von mehreren Konten kompromittiert wurden, darunter Benutzer- wie auch technische Konten.

Das ist die Chronologie. Die eigentliche Frage liegt eine Ebene tiefer: Was heisst es für einen Staat, der zunehmend auf digitale Infrastruktur baut, wenn genau diese Infrastruktur fast täglich zum Angriffsziel wird.

Ein Einzelfall ist es nicht

Seit gut einem Jahr gibt es in der Schweiz eine gesetzliche Pflicht, solche Vorfälle zu melden. Seit dem 1. April 2025 gilt in der Schweiz eine gesetzliche Meldepflicht für Cyberangriffe auf kritische Infrastrukturen, dazu zählen Kraftwerke, Wasserwerke, Spitäler, Bahnbetriebe und Behörden. Der aktuelle SharePoint-Vorfall reiht sich in eine Statistik ein, die für sich spricht. Das BACS registrierte allein im vergangenen Jahr 28 Cyberangriffe auf die Bundesverwaltung, insgesamt wurden letztes Jahr 325 Angriffe auf kritische Infrastrukturen gemeldet, und bei rund jeder vierten Meldung war eine öffentliche Verwaltung, die Bundesverwaltung oder eine Kantons- und Gemeindeverwaltung betroffen. Noch eindrücklicher ist die Zahl der Schadsoftware-Meldungen insgesamt. Alarmierend ist die Zahl der Meldungen zu mit Schadsoftware infizierten Geräten, mit 2’347’618 Fällen hat sich die Zahl im Vergleich zum Vorjahr mehr als verdoppelt. Für den Direktor des Bundesamts für Cybersicherheit liegt das grösste Risiko ohnehin nicht im einzelnen spektakulären Angriff. «Das grösste Risiko für die Schweiz sind die zunehmenden ökonomischen Schäden durch die schleichende Häufung solcher Vorfälle, nicht der einzelne Coup.

Der Bund reagiert mit mehr Ressourcen. Das BACS hat im letzten Jahr 18,4 Millionen Franken ausgegeben, 38 Prozent mehr als im Vorjahr, beschäftigt 71 Mitarbeitende, und für 2026 wurden zusätzliche 10 Millionen Franken bewilligt, ab 2027 weitere 5 Millionen jährlich. Das ist eine Verstärkung, keine Lösung. Die Zahl der Vorfälle wächst schneller als das Budget.

Xplain als Blaupause

Wer sich fragt, wie ein einzelner Vorfall aus einer scheinbar beherrschbaren IT-Störung zu einer politischen Krise werden kann, findet die Antwort im Fall Xplain. 2023 traf es die Berner Firma, die für Bund und Kantone Sicherheitssoftware entwickelt. Der Cyberangriff auf den IT-Dienstleister Xplain war am 23. Mai 2023 bekannt geworden, Hacker hatten eine Schwachstelle auf den Servern von Xplain mit Ransomware angegriffen und dort Daten der Bundesverwaltung gestohlen, weil sie kein Lösegeld erhielten, veröffentlichten sie die Daten im Darknet. Das Ausmass war grösser, als zunächst kommuniziert wurde. Bei dem Cyberangriff auf die Firma Xplain im Mai 2023 sind über 9000 Datenobjekte der Bundesverwaltung gestohlen und im Darknet veröffentlicht worden, mehr als die Hälfte enthielten sensitive Informationen. Zu den Betroffenen gehörten hochsensible Bereiche. Hochsensible Daten wie etwa Namen von Mitgliedern einer Spezialeinheit der Armee, Namen von Betroffenen aus der Hooligan-Datenbank des Fedpol, Privatadressen von Bundesräten oder Daten aus Strafverfahren landeten im Darknet.

Die Aufarbeitung dauerte Jahre und legte ein strukturelles Problem offen, das über den Einzelfall hinausreicht. Xplain ist ein Klumpenrisiko für den Bund, das legt der Hackerangriff offen. Der Grund dafür ist banal und schwer zu ändern. Der Bund werde die Zusammenarbeit mit Xplain kaum aufgeben, sagt ein Experte für Cybersicherheit, die Software muss weiterlaufen, sie muss auch von der Firma, die sie erstellt hat, weiter supportet werden. Genau dieses Muster, Abhängigkeit von wenigen Anbietern, verzögerte Erkennung, anfänglich beschwichtigende Kommunikation, wiederholt sich jetzt beim SharePoint-Fall, nur in kleinerem Massstab und mit schnellerer Reaktion.

Was diesmal anders ist, und was nicht

Der Unterschied zu 2023 liegt in der Geschwindigkeit und in der Institution, die inzwischen existiert. Das BIT hat den Vorfall innerhalb weniger Tage öffentlich gemacht und die Serverumgebung isoliert, statt wie bei Xplain Wochen zu warten. Die Aufarbeitung des Vorfalls erfolgt in enger Zusammenarbeit mit dem Nationalen Zentrum für Cybersicherheit sowie dem Softwarehersteller Microsoft, und das BIT hat die gewonnenen technischen Erkenntnisse und Indikatoren bereits mit dem Bundesamt für Cybersicherheit sowie den Betreibern kritischer Infrastrukturen in der Schweiz geteilt. Das Bundesamt für Cybersicherheit, das es 2023 in dieser Form noch nicht gab, existiert jetzt als zentrale Meldestelle. Das ist ein echter Fortschritt in der Reaktionsfähigkeit.

Was gleich geblieben ist: die erste Einschätzung, wie viel Schaden entstanden ist, kommt vom Betroffenen selbst, bevor eine unabhängige Prüfung möglich war. Bei Xplain stellte sich später heraus, dass das Ausmass grösser war als zunächst gemeldet. Ob das beim SharePoint-Fall auch so sein wird, weiss heute niemand, auch ich nicht. Die Aussage, es gebe keine Anzeichen für einen Datenabfluss, ist eine ehrliche Momentaufnahme, keine Garantie.

Diese Unsicherheit über die eigene digitale Identität und darüber, wem man welche Daten anvertraut, ist kein neues Thema für diesen Blog. Ich habe es bereits bei der E-ID diskutiert, dort ging es um die Frage, wie der Staat Vertrauen in digitale Nachweise aufbauen will, während gleichzeitig die Systeme, die dieses Vertrauen tragen sollen, selbst angreifbar sind. Der SharePoint-Fall zeigt dieselbe Spannung von der anderen Seite: nicht die Bürgerin, die dem Staat digital vertrauen soll, sondern der Staat, der seine eigene Infrastruktur nicht vollständig unter Kontrolle hat, obwohl er sie selbst betreibt, in eigenen Rechenzentren, mit eigenem Personal.

Die Schweiz hat seit Xplain eine Meldepflicht, eine neue Behörde und mehr Geld für Cybersicherheit. Was sie nicht hat, ist eine Antwort auf die Grundfrage, wie ein föderal organisierter, chronisch unterbesetzter Staatsapparat mit einer Bedrohung mithalten soll, die sich fast täglich wiederholt und jedes Jahr professioneller wird. Der nächste Vorfall wird kommen. Ob er dann besser gemanagt wird als dieser, zeigt sich erst im Nachhinein.

Quellen

• Bundesverwaltung, Medienmitteilung vom 4. August 2026: admin.ch, «Cyberangriff auf SharePoint-Server»
• 20 Minuten, 4. August 2026: «SharePoint-Angriff beim Bund: 200 Konten betroffen»
• inside-it.ch, 4. August 2026: «Bundesamt für Informatik sperrt Server-Zugriff nach Cyberangriff»
• watson.ch: «Cyberangriff auf Sharepoint-Server des Bundesamts für Informatik gemeldet»
• Blick, 18./26. Februar 2026: «Bund zieht Cyber-Bilanz: Fast jeden Tag trifft es kritische Infrastruktur»
• SRF, «Nach Hackerangriff auf XPlain: Bund soll IT-Sicherheit verbessern»
• SRF, «Cyberangriff auf Xplain: Über die Hälfte der beim Bund gestohlenen Daten waren sensitiv»
• watson.ch: «Xplain-Leak: Hacker stehlen heikle Daten zu Bundesräten und Botschaften»