Der SharePoint-Angriff auf die Schweizer Bundesverwaltung hat Zugangsdaten von rund 200 Benutzer- und technischen Konten kompromittiert. Das Bundesamt für Informatik und Telekommunikation, kurz BIT, entdeckte am 28. Juli 2026 auffällige Aktivitäten auf eigenen SharePoint-Servern und sperrte nach der Bestätigung des Angriffs den externen Internetzugriff. Nach aktuellem Stand gibt es keine Hinweise auf einen zusätzlichen Datenabfluss.
Der Vorfall betrifft SharePoint-Server in den Rechenzentren des Bundes. Das BIT nutzt Microsoft SharePoint dort für Zusammenarbeit und Dateiablage. Damit rückt erneut die Absicherung lokal betriebener Unternehmenssoftware in den Mittelpunkt. Besonders relevant ist der Zeitpunkt: Microsoft hatte Mitte Juli mehrere SharePoint-Schwachstellen veröffentlicht und Sicherheitsupdates bereitgestellt. Das BIT begann nach eigenen Angaben unmittelbar mit der Installation.
BIT entdeckt Angriff am 28. Juli und setzt rund 200 Passwörter zurück
Die ersten Auffälligkeiten bemerkten die Sicherheitsteams des BIT am 28. Juli 2026. Nach der Bestätigung des Verdachts blockierte das Amt den Zugriff auf die SharePoint-Systeme aus dem Internet. Gleichzeitig wurden die bekannten Schwachstellen geschlossen. Der Zugriff für externe Personen bleibt bis zum Abschluss der Wiederherstellungsarbeiten gesperrt.
Bei der weiteren Analyse stellte das BIT am 31. Juli kompromittierte Zugangsdaten fest. Betroffen waren normale Benutzerkonten und technische Konten. Insgesamt nennt die Behörde rund 200 Zugänge. Die zugehörigen Passwörter wurden zurückgesetzt. Die Identität der Angreifer ist bislang unbekannt.
| Datum | Ereignis | Maßnahme des BIT |
|---|---|---|
| Mitte Juli 2026 | Microsoft veröffentlicht SharePoint-Sicherheitsupdates | Installation der Updates beginnt |
| 28. Juli 2026 | Auffällige Aktivitäten auf BIT-SharePoint-Servern | Externer Internetzugriff wird blockiert |
| 31. Juli 2026 | Rund 200 kompromittierte Konten festgestellt | Passwörter werden zurückgesetzt |
| 4. August 2026 | Bund informiert öffentlich über den Cyberangriff | Server werden vorsorglich neu aufgesetzt |
Das BIT geht davon aus, dass der Angriff wahrscheinlich mit im Juli bekannt gewordenen SharePoint-Schwachstellen zusammenhängt. Eine konkrete Sicherheitslücke nennt die Behörde nicht. Genau diese Einschränkung ist für die technische Einordnung wichtig. Unter den von Microsoft im Juli geschlossenen Problemen befanden sich mehrere Schwachstellen für Remote Code Execution, Rechteausweitung, Spoofing und Informationsabfluss. Microsoft veröffentlichte die Patches am 14. Juli im selben Update-Zyklus wie den umfangreichen Juli-Patchday mit rund 600 behobenen Schwachstellen.
Zu den im Juli geschlossenen SharePoint-Lücken zählen unter anderem CVE-2026-50522 und CVE-2026-56164. Für CVE-2026-50522 wurde nach der Veröffentlichung eines Proof of Concept aktive Ausnutzung gegen verwundbare SharePoint-Installationen beobachtet. Angreifer konnten dabei unter anderem sogenannte Machine Keys erbeuten. Solche Schlüssel können für gefälschte Authentifizierungstoken und anhaltenden Zugriff missbraucht werden. Für den Angriff auf die Schweizer Bundesverwaltung gibt es jedoch keine bestätigte Zuordnung zu CVE-2026-50522, CVE-2026-56164 oder einer anderen einzelnen Lücke.
Die zeitliche Abfolge zeigt zugleich die Schwierigkeit bei großen Serverumgebungen. Microsoft veröffentlichte die Juli-Updates am 14. Juli, das BIT startete nach eigenen Angaben umgehend mit der Installation und entdeckte die Auffälligkeiten zwei Wochen später. Die Behörde nennt weder den Zeitpunkt des ersten erfolgreichen Zugriffs noch den Patchstand jedes betroffenen Servers zum Angriffszeitpunkt. Deshalb lässt sich aus dem Vorfall nicht ableiten, dass bereits vollständig aktualisierte SharePoint-Systeme über dieselben Lücken kompromittiert wurden. Ebenso ist offen, wie lange die Angreifer vor der Entdeckung Zugriff hatten.
Keine Hinweise auf weiteren Datenabfluss, Server werden komplett neu aufgesetzt
Die bisherigen Untersuchungen liefern laut BIT keine Hinweise auf einen weiteren Abfluss von Daten. Die kompromittierten Zugangsdaten bleiben trotzdem ein erheblicher Sicherheitsvorfall. Technische Konten besitzen häufig Berechtigungen für Dienste, automatisierte Abläufe oder Schnittstellen. Ein gestohlener Zugang kann deshalb mehr Auswirkungen haben als der Verlust eines einzelnen Benutzerpassworts.
Auf der betroffenen SharePoint-Umgebung dürfen laut Bundesverwaltung keine vertraulichen Informationen und keine besonders schützenswerten Personendaten gespeichert werden. Das begrenzt das potenzielle Schadensbild. Es schließt einen Zugriff auf reguläre Dokumente oder interne Arbeitsdaten jedoch nicht automatisch aus. Das BIT untersucht den Vorfall weiter zusammen mit dem Bundesamt für Cybersicherheit BACS und Microsoft.
- Rund 200 Konten betroffen: Darunter befinden sich Benutzerkonten und technische Konten.
- Keine bestätigten weiteren Datenabflüsse: Die Analyse läuft weiter.
- Externer Zugriff gesperrt: Bundesexterne Personen können SharePoint derzeit nicht direkt über das Internet erreichen.
- Server werden neu installiert: Das BIT setzt die betroffenen Systeme vorsorglich vollständig neu auf.
- Technische Indikatoren geteilt: Betreiber kritischer Infrastrukturen in der Schweiz erhielten relevante Angriffsinformationen über das BACS.
Beschäftigte der Bundesverwaltung können weiterhin auf ihre Dokumente zugreifen. Für den Austausch mit externen Personen stehen alternative Wege bereit. Das BIT hat den Vorfall außerdem im Rahmen der Meldepflicht nach dem Informationssicherheitsgesetz an das BACS und das Staatssekretariat für Sicherheitspolitik gemeldet.
Der Angriff fällt zusätzlich in eine sensible Phase für lokal betriebene Microsoft-Systeme. Am 14. Juli 2026 endete der reguläre Support für SharePoint Server 2016 und SharePoint Server 2019. Auch SQL Server 2016 erreichte an diesem Tag sein Supportende. Der Supportwechsel bei SharePoint und SQL Server erhöht den Migrationsdruck für Unternehmen und Behörden mit älteren Installationen. Das BIT hat nicht veröffentlicht, welche SharePoint-Versionen von dem aktuellen Angriff betroffen waren.
Für die Schweizer Bundesverwaltung steht deshalb nicht nur das Schließen einzelner Sicherheitslücken im Vordergrund. Die Neuinstallation der Server, der Passwortwechsel und die weitere forensische Prüfung sollen sicherstellen, dass keine versteckten Zugänge bestehen bleiben. Der externe SharePoint-Zugriff soll erst nach Abschluss dieser Arbeiten wieder freigegeben werden.