Hacker knackten offenbar schon 2013 Microsofts Datenbank für Bug-Tracking

Microsoft wurde 2013 offenbar das Opfer eines Hackerangriffs. Das berichtet die Agentur Reuters unter Berufung auf fünf ehemalige Microsoft-Mitarbeiter. Das Unternehmen hielt den Einbruch demnach geheim, weil nur ein internes System betroffen war: die Bug-Tracking-Datenbank, in der zu behebende Fehler in Microsoft-Software eingetragen werden.

Die Datenbank enthielt somit auch Beschreibungen von als kritisch einzustufenden Sicherheitslücken in Microsoft-Produkten wie dem Betriebssystem Windows. Solche Details sollten bei Hackern und Spionen weltweit sehr begehrt sein, öffnen sie doch unter Umständen Hintertüren in eigentlich gut abgesicherte IT-Systeme von Behörden, Unternehmen und Organisationen.

Unabhängig voneinander erklärten die ehemaligen Mitarbeiter, Microsoft habe die Bugs innerhalb weniger Monate nach dem Einbruch beseitigt. Bis dahin hätten die gestohlen Daten jedoch für Microsoft-Kunden eine nicht unerhebliche Gefahr dargestellt. Laut Reuters waren auch US-Behörden nicht in den Vorfall eingeweiht.

Microsoft habe sich nach dem Einbruch in seine Systeme zudem Angriffe auf andere Organisationen in seiner Umgebung genau angeschaut. Dabei seien keine Hinweise darauf entdeckt worden, dass die Microsoft gestohlenen Daten für diese Attacken benutzt wurden. Zwei der fünf Mitarbeiter erklärten, das Microsoft weiterhin zu dieser Aussage stehe. Die anderen drei schätzten die zugrundeliegende Studie aufgrund zu weniger Daten als unzureichend ein.

Außerdem habe der Softwarekonzern nach dem Vorfall zusätzliche Sicherheitsmaßnahmen eingeführt. Der Bug-Tracker sei nun vom Unternehmensnetzwerk getrennt. Zudem würden für den Zugang nun zwei zusätzliche Authentifizierungen benötigt.

“Bösewichte mit Zugang zu solchen Informationen hätten tatsächlich einen Generalschlüssel für Millionen Computer weltweit”, sagte Eric Rosenbach im Gespräch mit Reuters,. Rosenbach war zu dem Zeitpunkt als stellvertretender Verteidigungsminister für die Cyberabwehr zuständig.

Microsoft wollte sich auf Nachfrage von Reuters nicht zu dem Vorfall äußern. In einer E-Mail hieß es lediglich, man überwache aktiv Cyberbedrohungen, um Prioritäten festlegen und geeignete Schritte zum Schutz von Kunden ergreifen zu können.

Dass Details zu Zero-Day-Lücken in den falschen Händen erhebliche Folgen haben können, zeigte zuletzt die Ransomware WannaCry. Sie basiert auf einem Exploit, der dem US-Auslandsgeheimdienst NSA gestohlen wurde. Die Schadsoftware legte im Frühjahr Computersysteme weltweit lahm. Einfallstor war allerdings eine zu dem Zeitpunkt bereits gepatchte Sicherheitslücke in Windows – die hohe Verbreitung von WannaCry wurde also auch durch das zögerliche Einspielen von wichtigen Sicherheitsupdates vor allem in Unternehmen begünstigt.

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.