Das Bundesamt für Informatik und Telekommunikation (BIT) hat einen Angriff auf SharePoint-Server der Schweizer Bundesverwaltung bestätigt. Auslöser der Untersuchung waren ungewöhnliche Aktivitäten, die Sicherheitsspezialisten am 28. Juli auf den Systemen festgestellt hatten.

Nach Angaben des BIT wurde nach der Analyse am Freitag, dem 31. Juli, entdeckt, dass die Anmeldedaten mehrerer Konten kompromittiert worden waren. Insgesamt seien etwa 200 Konten betroffen. Als erste Reaktion kappte das Amt den externen Internetzugang zu SharePoint, schloss die mutmaßlich ausgenutzten Schwachstellen und setzte die Passwörter der betroffenen Konten zurück.

Das BIT geht davon aus, dass die Angreifer SharePoint-Schwachstellen ausgenutzt haben, die Microsoft Mitte Juli veröffentlicht und mit den Patch-Tuesday-Updates im Juli behoben hatte. Welche konkrete Lücke dabei eine Rolle spielte, ist weiter offen.

Als mögliche Ursache kommen laut den vorliegenden Informationen entweder CVE-2026-56164 oder CVE-2026-50522 in Betracht. Bei CVE-2026-56164 handelt es sich um eine SharePoint-Schwachstelle zur Rechteausweitung, die bereits aktiv ausgenutzt wurde. CVE-2026-50522 ist eine kritische Schwachstelle zur Remotecodeausführung, die später genutzt wurde, um SharePoint-Maschinenschlüssel zu stehlen und den Zugriff auch nach dem Einspielen von Patches aufrechtzuerhalten.

Beide Schwachstellen wurden mit den Patch-Tuesday-Updates im Juli 2026 behoben. Ob eine dieser beiden Lücken im Fall der Schweizer Bundesverwaltung tatsächlich ausgenutzt wurde oder ob die Angreifer eine andere mit denselben Updates geschlossene Schwachstelle missbrauchten, ist bislang unklar.

Das BIT untersucht den Vorfall gemeinsam mit dem Bundesamt für Cybersicherheit und Microsoft. Bislang habe die Behörde keine Belege dafür gefunden, dass außer den kompromittierten Zugangsdaten weitere Daten gestohlen wurden.

Nach Angaben des Amts dürfen vertrauliche Informationen und besonders schützenswerte Personendaten auf der betroffenen SharePoint-Plattform nicht gespeichert werden. Die kompromittierten Server werden vorsorglich neu installiert. Der externe Zugriff bleibt bis zum Abschluss dieser Arbeiten gesperrt.

Mitarbeiterinnen und Mitarbeiter der Bundesverwaltung können Dokumente weiterhin über alternative Wege abrufen und mit externen Personen teilen. Bislang hat zudem keine Ransomware- oder Datenerpressungsgruppe die Verantwortung für den Angriff beansprucht.