Wenn die Cloud ausfällt, kann auch die Verwaltung der Cybersicherheitsvorkehrungen eines Unternehmens schwieriger werden.
Der weitreichende Ausfall von Microsoft am 12. November beeinträchtigte Outlook, Exchange Online und weitere Microsoft-365-Dienste. Unternehmen hatten dadurch Schwierigkeiten, auf E-Mails und wichtige Anwendungen zuzugreifen. Die Störung betraf jedoch auch Teile des Cybersicherheitsökosystems von Microsoft und schränkte den Zugriff auf bestimmte Funktionen zur Sicherheitsüberwachung, zum Phishing-Schutz, zur Geräteverwaltung und zum Datenschutz ein, auf die Unternehmen zum Schutz ihrer Systeme angewiesen sind.
Der Vorfall wirft für Unternehmen, die zunehmend von Cloud-Infrastrukturen abhängig sind, eine grundsätzliche Frage auf: Was geschieht, wenn die zur Verwaltung und Überwachung der Cybersicherheit eingesetzten Tools nicht verfügbar sind, während die Systeme, die sie schützen sollen, weiterhin online bleiben?
Microsoft-Ausfall beeinträchtigt wichtige Geschäfts- und Sicherheitsdienste
Die Störung begann am Donnerstag, dem 12. November, als Nutzer Probleme beim Zugriff auf Outlook und andere Microsoft-Dienste meldeten. Laut der Associated Press verzeichnete der Ausfall-Tracker Downdetector kurz nach 13 Uhr ET fast 130.000 Meldungen zu Outlook-Problemen. Diese Zahl stellt von Nutzern eingereichte Ausfallmeldungen dar und ist keine verifizierte Zahl der betroffenen Personen.
Die Probleme gingen über E-Mail-Dienste hinaus und betrafen Funktionen von Microsoft Teams, SharePoint-Integrationen, Copilot sowie mehrere sicherheitsrelevante Plattformen. Microsoft betonte, dass die Störung hauptsächlich Funktionen betraf, die von Exchange Online und E-Mail-Diensten abhängen, während andere Funktionen innerhalb derselben Plattformen weiterhin arbeiteten, darunter die meisten zentralen Messaging- und Besprechungsfunktionen von Teams.
In den Vorfallmitteilungen von Microsoft, die über das Microsoft-365-Service-Dashboard der University of Pennsylvania veröffentlicht wurden, nannte das Unternehmen folgende Störungen:
- Microsoft Defender XDR: Einige Administratoren konnten Sicherheitsportal-Seiten oder Lösungsregisterkarten nicht laden.
- Microsoft Defender for Office 365: Probleme betrafen Safe Links, Safe Attachments, die Quarantäneverwaltung und Funktionen zur Untersuchung von Bedrohungen.
- Microsoft Purview: Funktionen zur Verhinderung von Datenverlust, zum Schutz von Informationen, zur Autorisierung, Klassifizierung und Compliance waren beeinträchtigt.
- Microsoft Intune: Die Geräteregistrierung, Geräte-Check-ins und Abläufe für Compliance-Richtlinien waren möglicherweise zeitweise beeinträchtigt.
Microsoft machte zunächst Serverinstabilität und Probleme mit der Infrastruktur verantwortlich, die für den Aufbau sicherer Verbindungen zuständig ist. Anschließend meldete das Unternehmen eine verbesserte Stabilität, nachdem es einen Patch auf eine vorgelagerte Komponente für Authentifizierung und Routing angewendet hatte.
In seinen Updates zum Vorfall vom 13. November erklärte Microsoft, dass das Unternehmen noch bestehende Störungen behebe, die Wiederherstellung über verschiedene Verbindungsmethoden prüfe und die Stabilität des Dienstes überwache. Zum Update um 11:23 Uhr ET war der Vorfall weiterhin als Dienstbeeinträchtigung eingestuft; eine abschließende Ursachenanalyse hatte Microsoft noch nicht veröffentlicht.
Wichtig ist, dass Microsoft nach eigenen Angaben keine Hinweise auf eine böswillige Aktivität als Ursache des Vorfalls hatte und keinen Cyberangriff als Ursache identifizierte. Dennoch zeigt die Störung, wie ein Infrastrukturausfall zu Cybersicherheitsproblemen führen kann, selbst wenn kein Angreifer dafür verantwortlich ist.
5 Cybersicherheitsrisiken, die der Microsoft-Ausfall sichtbar macht
1. Sicherheitsteams könnten den Überblick über potenzielle Bedrohungen verlieren
Die Sicherheitsüberwachung ist auf den zeitnahen Zugriff auf Warnmeldungen, Dashboards und Untersuchungstools angewiesen. Während des Microsoft-Ausfalls konnten einige Administratoren nicht auf Portal-Seiten und Lösungsregisterkarten von Microsoft Defender XDR zugreifen, was ihre Fähigkeit zur Untersuchung verdächtiger Aktivitäten möglicherweise erschwerte.
Das bedeutet nicht zwangsläufig, dass der Endpoint-Schutz nicht mehr funktionierte oder Microsoft keine Sicherheits-Telemetriedaten mehr sammelte. Der Verlust des Zugriffs auf Untersuchungsoberflächen kann es Sicherheitsteams jedoch erschweren festzustellen, ob eine Warnmeldung sofortige Aufmerksamkeit erfordert – insbesondere in Unternehmen, die Tausende Geräte verwalten.
Schon kurzzeitige Unterbrechungen der zentralisierten Sicherheitsverwaltung können operative Herausforderungen verursachen. Um dieses Risiko zu verringern, sollten Sicherheitsteams nach Möglichkeit alternative Überwachungsmöglichkeiten vorhalten und Verfahren für den Umgang mit kritischen Warnmeldungen einrichten, wenn ihre primäre Sicherheitsplattform nicht verfügbar ist.
2. Phishing-Schutz und Abläufe der E-Mail-Sicherheit können beeinträchtigt werden
E-Mail bleibt ein wichtiger Angriffsvektor, weshalb Unterbrechungen beim Phishing-Schutz besonders bedenklich sind. Microsoft meldete Probleme mit Defender for Office 365, darunter Safe Links, Safe Attachments, Quarantäneprozesse und Tools zur Untersuchung von Bedrohungen.
Safe Links bewertet normalerweise URLs, um Nutzer vor schädlichen Zielseiten zu schützen. Während des Vorfalls meldete Microsoft, dass Verarbeitungsfehler Nutzer daran hindern konnten, umgeschriebene URLs in Outlook und Teams zu öffnen. Administratoren, die erfolgreich auf das Quarantäneportal zugreifen konnten, stießen beim Versuch, unter Quarantäne gestellte Elemente freizugeben, möglicherweise ebenfalls auf Fehler.
Diese Störungen konnten legitime Kommunikation verzögern und Untersuchungen zu Phishing erschweren. Microsoft konnte jedoch nicht feststellen, ob schädliche Links die Sicherheitsvorkehrungen umgingen oder Angreifer den Ausfall ausnutzten. Unternehmen sollten nach der Wiederherstellung des Dienstes überprüfen, ob ihre E-Mail-Sicherheitskontrollen normal funktionieren, und während der Störung gemeldete verdächtige Aktivitäten untersuchen.
3. Störungen der Geräteverwaltung können Sicherheitsprozesse erschweren
Cloudbasierte Geräteverwaltungssysteme helfen Unternehmen, die Compliance von Endpoints zu überwachen, Geräte zu registrieren und Sicherheitsrichtlinien zu verwalten. Microsoft meldete, dass der Ausfall die Intune-Geräteregistrierung, Geräte-Check-ins und Abläufe für Compliance-Richtlinien zeitweise beeinträchtigt haben könnte.
Diese Störungen konnten Administratoren dabei behindern, Endpoints zu registrieren, die Geräte-Compliance zu überprüfen oder festzustellen, ob verwaltete Geräte die Sicherheitsanforderungen des Unternehmens erfüllen. Unterbrechungen der Geräteverwaltung bedeuten jedoch nicht zwangsläufig, dass bestehender Endpoint-Schutz oder Sicherheitsrichtlinien nicht mehr funktionierten.
Das größere Problem besteht darin, dass Unternehmen, die stark auf eine zentrale Cloudverwaltung angewiesen sind, möglicherweise weniger Optionen haben, wenn Verwaltungsdienste vorübergehend nicht zugänglich sind. Unternehmen sollten daher dokumentieren, welcher Geräteschutz während Dienstunterbrechungen wirksam bleibt, und alternative Verfahren für dringende Sicherheitsadministration einrichten.
4. Datenschutz- und Compliance-Prozesse können unterbrochen werden
Microsoft Purview war eine weitere sicherheitsrelevante Plattform, die vom Ausfall betroffen war. Laut den Updates von Microsoft zum Vorfall betrafen die Störungen die Verhinderung von Datenverlust, den Informationsschutz, die Autorisierung, die automatische Kennzeichnung, die Kommunikations-Compliance, die Datenklassifizierung, Audit-Suchen und bestimmte eDiscovery-Vorgänge.
Diese Funktionen helfen Unternehmen dabei, sensible Informationen zu identifizieren, Richtlinien für den Umgang mit Daten durchzusetzen, Aktivitäten zu untersuchen und die Einhaltung gesetzlicher Vorgaben zu unterstützen. Wenn sie nicht verfügbar sind, können Sicherheits- und Compliance-Teams Schwierigkeiten haben, Aktivitäten zu überprüfen, Untersuchungen abzuschließen oder festzustellen, ob bestimmte Schutzmaßnahmen wie erwartet funktioniert haben.
Der Vorfallbericht von Microsoft warnte außerdem, dass bestimmte Funktionen von Defender for Office 365, die auf Signale zur Verhinderung von Datenverlust und zum Informationsschutz aus Purview angewiesen sind, Verzögerungen oder Fehler bei der Richtlinienauswertung und der Durchsetzung von Governance-Vorgaben aufweisen könnten. Diese Probleme konnten die Fähigkeit von Unternehmen erschweren, betroffene Sicherheitsrichtlinien anzuwenden oder zu überprüfen. Microsoft stellte jedoch nicht fest, dass alle Schutzmaßnahmen nicht mehr funktionierten oder sensible Informationen offengelegt wurden.
Unternehmen sollten nach der Wiederherstellung der Dienste relevante Protokolle, den Richtlinienstatus und Audit-Aufzeichnungen überprüfen und dabei besonders auf Lücken bei der Überwachung oder verzögerte administrative Aktionen achten. Weitere Hinweise bietet der Leitfaden zur Cloud-Sicherheitsstrategie von eSecurity Planet, der erläutert, wie Unternehmen Überwachung, Konfigurationsmanagement und Resilienzplanung angehen können.
5. Die Abhängigkeit von einem Cloud-Anbieter kann konzentrierte Sicherheitsrisiken schaffen
Die vielleicht wichtigste Erkenntnis aus dem Microsoft-Ausfall betrifft die zunehmende gegenseitige Abhängigkeit von Geschäftsanwendungen und Cybersicherheitsdiensten. Unternehmen nutzen dasselbe Cloudökosystem immer häufiger für E-Mail, Zusammenarbeit, Endpoint-Management, Bedrohungserkennung und Datenschutz.
Diese Integration kann die Verwaltung vereinfachen und die Koordination zwischen Sicherheitstools verbessern. Sie schafft jedoch auch Abhängigkeiten, die bei weitreichenden Dienstunterbrechungen besonders wichtig werden. Ein Ausfall, der gemeinsame Infrastruktur betrifft, kann mehrere Dienste gleichzeitig unterbrechen und dadurch möglicherweise die Fähigkeit eines Unternehmens einschränken, zu kommunizieren, Bedrohungen zu untersuchen und Sicherheitskontrollen zu verwalten.
Das bedeutet nicht, dass Unternehmen integrierte Sicherheitsplattformen aufgeben sollten. Stattdessen sollten sie kritische Abhängigkeiten identifizieren und feststellen, welche Funktionen unabhängig verfügbar bleiben müssen. Wie eSecurity Planet in seinem Leitfaden zu Cloud-Sicherheitsrichtlinien erläutert, erfordert ein wirksamer Cloud-Schutz klare Verfahren zur Wiederherstellung, Zugriffskontrollen und eine Notfallplanung.
Was Unternehmen nach dem Microsoft-Ausfall tun sollten
Für Sicherheitsteams besteht die unmittelbare Priorität darin festzustellen, ob die Störung ihre eigenen Sicherheitsprozesse beeinträchtigt hat und ob diese Funktionen vollständig wiederhergestellt sind. Selbst wenn die Dienste normal zu funktionieren scheinen, sollten Unternehmen mögliche Lücken bei Überwachung, Richtliniendurchsetzung und administrativen Aktivitäten während des Vorfalls überprüfen.
Unternehmen sollten die folgenden Schritte in Betracht ziehen:
- Status der Sicherheitsdienste prüfen: Überprüfen Sie das Service-Health-Dashboard von Microsoft und bestätigen Sie, dass die betroffenen Funktionen von Defender, Purview, Intune und der Administration normal arbeiten.
- Verzögerte Warnmeldungen und Untersuchungen überprüfen: Identifizieren Sie Sicherheitsereignisse, Quarantäneaktionen oder Untersuchungsaufgaben, die während des Ausfalls verzögert worden sein könnten.
- Phishing-Schutz überprüfen: Bestätigen Sie, dass Safe Links, Safe Attachments, E-Mail-Sicherheitsrichtlinien und zugehörige Untersuchungstools wie erwartet funktionieren.
- Geräte-Compliance prüfen: Überprüfen Sie während der Störung erfolgte Intune-Geräte-Check-ins, fehlgeschlagene Registrierungen und Compliance-Bewertungen.
- Datenschutzkontrollen validieren: Bestätigen Sie, dass betroffene Purview-Richtlinien, Kennzeichnungsvorgänge und Compliance-Funktionen den normalen Betrieb wieder aufgenommen haben.
- Backup-Kommunikation testen: Stellen Sie sicher, dass Incident-Response-Teams über Kanäle kommunizieren können, die nicht vollständig vom betroffenen Anbieter abhängen.
- Cloud-Abhängigkeiten überprüfen: Identifizieren Sie Sicherheitsfunktionen, die Infrastruktur mit geschäftskritischen Anwendungen teilen, und bewerten Sie verfügbare Ausweichoptionen.
Unternehmen sollten außerdem Sicherheits-Einstellungen nicht einfach abschwächen, um einen Ausfall zu umgehen, da vorübergehende Ausnahmen zusätzliche Angriffsflächen schaffen können, wenn sie nach der Wiederherstellung der Dienste bestehen bleiben. Für Unternehmen, die ihre Verfahren aktualisieren, bietet der Leitfaden zur Planung der Incident Response von eSecurity Planet zusätzlichen Kontext zur Festlegung von Zuständigkeiten, zum Testen von Reaktionsverfahren und zur Vorbereitung auf unerwartete Störungen.
Microsoft-Ausfall unterstreicht die Bedeutung der Resilienz in der Cybersicherheit
Der Ausfall von Microsoft zeigt, dass Cybersicherheit von mehr abhängt als der Verhinderung böswilliger Angriffe. Sicherheitsteams benötigen außerdem zuverlässigen Zugriff auf die Systeme, mit denen sie Bedrohungen überwachen, Richtlinien durchsetzen, Vorfälle untersuchen und sensible Informationen schützen.
Microsoft meldete zwar keine Hinweise auf böswillige Aktivitäten im Zusammenhang mit der Störung, doch der Vorfall macht die operativen Folgen des Verlusts des Zugriffs auf miteinander verknüpfte Sicherheitsdienste deutlich. Für Unternehmen ist die Schlussfolgerung eindeutig: Eine Cybersicherheitsstrategie muss die Möglichkeit berücksichtigen, dass gerade die vertrauenswürdigen Sicherheitstools vorübergehend nicht verfügbar sind.
Unternehmen, die ihre Cloud-Abhängigkeiten verstehen, alternative Reaktionsverfahren vorhalten und Wiederherstellungspläne regelmäßig testen, sind besser aufgestellt, um ihre Systeme beim nächsten größeren Ausfall zu schützen.
Für ein weiteres Beispiel dafür, wie Infrastrukturausfälle Schwachstellen in der Cybersicherheit offenlegen können, lesen Sie die Analyse des Cloudflare-Ausfalls, in der die Bedeutung von Redundanz, unabhängiger Überwachung und Cyberresilienz untersucht wird.