Bundesverwaltung muss Datensicherung bei Microsoft 365 verbessern

Ausgangslage

Die Bundesverwaltung nutzt Microsoft 365 (M365) für 54'000 Arbeitsplätze. Die Eidgenössische Finanzkontrolle (EFK) hat den Aufbau und die Nutzung der Plattform geprüft und dabei sowohl positive Aspekte als auch Handlungsbedarf festgestellt.

Die Prüfung der EFK erfolgte zwischen Februar und April 2026, nur wenige Monate nach Abschluss der Migration auf Microsoft 365. Die Bundeskanzlei und das BIT haben die Plattform gemäss Architekturrichtlinien und bewährten Methoden aufgebaut.

Die Migration auf Microsoft 365 wurde erfolgreich abgeschlossen, doch die kontinuierliche Überwachung und Verbesserung der Sicherheitsmassnahmen sind entscheidend. Die Bundesverwaltung hat die Plattform gemäss den Architekturrichtlinien der Bundeskanzlei aufgebaut, was die Grundlage für eine sichere Nutzung bildet.

Hintergrund

Die EFK lobt den fachgerechten Aufbau der Plattform durch das Bundesamt für Informatik und Telekommunikation (BIT) sowie das etablierte Change Management. Allerdings gibt es Einschränkungen bei der Kontrolle von Feature-Updates und beim Sicherheitsniveau.

Die EFK macht darauf aufmerksam, dass gewisse Updates von Microsoft ohne vorherige Ankündigung im Message Center veröffentlicht werden können. Diese systembedingten Restrisiken müssen kontinuierlich beobachtet werden. Die Prüfstelle hebt auch die positiven Aspekte des Change Managements hervor, insbesondere die etablierten Fachteams und das Steering Commitee, die für eine sichere Einführung neuer Funktionen sorgen.

Die EFK sieht Potenzial für die Verbesserung der Sicherheitsüberwachung durch eine bessere Nutzung des Service Trust Portals (STP) von Microsoft. Dies würde es ermöglichen, interne Prozesse zu Auditzwecken zu dokumentieren und Berichte aus Überprüfungen systematisch auszuwerten. Die Prüfstelle sieht hier ein erhebliches Potenzial für die Verbesserung der Sicherheitsüberwachung.

Einordnung für die Schweiz

Das Sicherheitsniveau von M365 entspricht aktuell dem restriktiven Einsatzbereich, was bedeutet, dass nur nicht klassifizierte Informationen bearbeitet werden dürfen. Der Bund hat bereits Massnahmen wie Labelling und Data Loss Prevention eingeführt.

Die Prüfung zeigt, dass auch bei einer erfolgreichen Migration kontinuierliche Anpassungen und Verbesserungen notwendig sind, um die Sicherheit zu gewährleisten.

Was das für Unternehmen bedeutet

Es ist wichtig, die Sicherheitsmassnahmen kontinuierlich zu überwachen und zu verbessern. Besonders die Datensicherung und die Einhaltung von Compliance-Vorgaben sind entscheidend.

Es ist entscheidend, die Sicherheitsfunktionen von Microsoft 365 voll auszuschöpfen. Die E5-Lizenzen bieten zusätzliche Sicherheitsmassnahmen wie erweiterten Endgeräteschutz und risikobasierte Zugriffskontrollen. Unternehmen sollten regelmässig prüfen, ob sie diese Funktionen nutzen und ob ihre Sicherheitsstrategien den aktuellen Anforderungen entsprechen.

Es wird empfohlen, die Nutzung des Service Trust Portals und die Automatisierung der Tenantkonfiguration in Betracht zu ziehen. Dies könnte helfen, die Sicherheit und Compliance ihrer eigenen Microsoft 365-Umgebungen zu verbessern und potenzielle Risiken zu minimieren.

Ausblick

Der Bund plant, die Datensicherung durch eine neue, in Europa gehostete Lösung zu ersetzen. Bis zum genannten Zeitpunkt gibt es eine Abhängigkeit von Microsoft als Anbieter von Cloud-Diensten, was ein Risiko mit sich bringt.

Eine neue, in Europa gehostete Lösung für die Datensicherung ist in Planung. Bis Microsoft als Cloud Service Provider verfügbar ist, gibt es eine gewisse Abhängigkeit von diesem Anbieter, was mit einem Risiko verbunden ist.

Was das für KMU bedeutet

Für Schweizer KMU bedeutet dies, dass sie ihre eigenen Sicherheitsmassnahmen und Datensicherungsstrategien regelmässig überprüfen und anpassen müssen, um den aktuellen Anforderungen gerecht zu werden.