Amerikanische Bundesbehörden haben Microsofts Cloud-Infrastruktur intern als gravierendes Sicherheitsrisiko eingestuft – und die Freigabe dennoch erteilt. Der Fall ist kein Einzelfall, sondern ein Symptom: Zertifizierungsprozesse versagen dort, wo politischer Druck schwerer wiegt als technische Expertise.
Microsofts Cloud intern als Sicherheitsrisiko abgestempelt – und trotzdem freigegeben
Was geschah
Laut einer investigativen Recherche von ProPublica, die Ars Technica aufgegriffen hat, bezeichneten Cybersicherheitsexperten des Bundes Microsofts Cloud-Umgebung intern mit Worten, die in einem Behördenmemo wenig zu suchen haben. Die Rede war von einem „pile of shit” – gemeint war die Qualität der Sicherheitsarchitektur, die Microsoft im Rahmen des FedRAMP-Zertifizierungsverfahrens vorlegte.
FedRAMP (Federal Risk and Authorization Management Program) ist das US-amerikanische Genehmigungssystem für Cloud-Dienste, die von Bundesbehörden genutzt werden dürfen. Trotz der internen Bedenken wurde die Freigabe erteilt – nicht nach einer umfassenden Nachbesserung, sondern schlicht, weil der politische und institutionelle Druck, Microsoft-Produkte zu nutzen, offenbar schwerer wog als die technische Risikoeinschätzung der eigenen Fachleute.
Das eigentliche Problem: Zertifizierung als Selbstzweck
Was dieser Fall offenlegt, ist kein Einzelversagen – es ist ein Systemproblem. Zertifizierungsverfahren wie FedRAMP sollen Sicherheit garantieren. In der Praxis aber können sie zu einem Mechanismus werden, der Risiken dokumentiert, aber nicht beseitigt.
Das Prozedere läuft durch, die Haken werden gesetzt, und am Ende steht eine offizielle Freigabe – ungeachtet dessen, was die Fachleute wirklich denken.
Microsoft selbst steht seit dem Sicherheitsbericht des Cyber Safety Review Board aus dem Jahr 2024 unter erheblichem Druck. Damals wurde dem Konzern eine „Sicherheitskultur, die einer Überarbeitung bedarf” attestiert. Die Secure Future Initiative, die Microsoft daraufhin lancierte, ist seither das Aushängeschild für den angekündigten Kurswechsel. Wie weit dieser tatsächlich reicht, bleibt eine offene Frage.
Abhängigkeit als strategisches Risiko
Hinzu kommt eine strukturelle Abhängigkeit, die das Problem verschärft. Große Teile der US-Bundesverwaltung laufen auf Microsoft-Infrastruktur – Office 365, Azure, Teams, Exchange. Wer so tief in einem einzigen Ökosystem steckt, verliert die Fähigkeit, kritisch zu entscheiden.
Vendor Lock-in ist kein neues Konzept. Aber dieser Fall zeigt, wohin er im schlimmsten Fall führt: zu Freigaben, die technisch nicht vertretbar sind, politisch aber unvermeidlich erscheinen.
Was CIOs konkret daraus ableiten sollten
Für deutsche Unternehmen und Behörden, die ebenfalls stark auf Microsoft-Dienste setzen, lassen sich aus diesem Fall mehrere handfeste Schlüsse ziehen:
Erstens: Zertifikate ersetzen keine eigene Risikobeurteilung. BSI-Grundschutz, ISO 27001 oder ähnliche Frameworks sind Orientierungsrahmen – keine Freifahrtscheine. Wer sich allein auf Herstellerzertifikate verlässt, delegiert Verantwortung dorthin, wo eigene Interessen dominieren.
Zweitens: Interne Fachkompetenz muss strukturell abgesichert sein. Dass Experten intern Alarm schlagen und trotzdem überstimmt werden – das ist kein amerikanisches Problem. Das passiert überall dort, wo IT-Sicherheit als Kostenfaktor gilt und nicht als strategische Grundvoraussetzung.
Drittens: Wer die eigene Cloud-Strategie überdenken will, kommt um eine ehrliche Bestandsaufnahme der Abhängigkeiten nicht herum. Multi-Cloud-Ansätze, souveräne Cloud-Optionen wie GAIA-X-konforme Alternativen oder On-Premises-Hybridmodelle sind keine Luxus-IT-Philosophie – sie sind Risikomanagement.
Wenn selbst staatliche Cybersicherheitsexperten intern klar benennen, was nicht stimmt, und trotzdem zustimmen müssen, dann ist das kein Ausrutscher. Das ist ein Warnsignal.
Quelle: Ars Technica – Federal cyber experts called Microsoft’s cloud a “pile of shit,” approved it anyway
