Sauberes Cloud-Go-live ist keine Assurance: Lehren aus M365-Audit

Eine Cloud-Plattform kann nach bewährten Methoden aufgebaut und trotzdem nur teilweise abgesichert sein. Dieses Muster zeigt die Prüfung von Microsoft 365 (M365) in der Bundesverwaltung durch die Eidgenössische Finanzkontrolle (EFK) ¹². Beim Aufbau bestand die Plattform. Alle Empfehlungen der Priorität 1 betreffen das, was nach dem Go-live folgt: Anbieternachweise auswerten, Konfiguration automatisieren, einen Prüfrhythmus festlegen und ein unabhängiges Backup führen. Wir halten das für die typische Lücke jeder Organisation, die auf eine grosse Software-as-a-Service-Plattform (SaaS) wechselt.

Was die EFK am 21. Oktober festgestellt hat

Die EFK veröffentlichte ihre Prüfung von M365 am 21. Oktober 2026. Der Bereich Digitale Transformation und IKT-Lenkung der Bundeskanzlei (BK-DTI) hatte die Plattform bis Ende 2025 in der gesamten Bundesverwaltung eingeführt. Das Bundesamt für Informatik und Telekommunikation (BIT) stellte in 14 Monaten 54'000 Arbeitsplätze um, und 57 M365-Dienste sind im Standarddienst freigegeben ¹².

Die EFK beurteilte die Plattform als fachgerecht aufgebaut, mit Sicherheitsvorkehrungen, die dem derzeit restriktiven Einsatz angemessen sind. Sie hielt zudem fest, dass zentrale Weiterentwicklungen noch ausstehen ¹³. Der Bericht enthält fünf Empfehlungen. Vier haben Priorität 1 (hoch), eine hat Priorität 2 (mittel) ².

Drei Kreisläufe, die ein guter Aufbau nicht schliesst

Die Feststellungen des Berichts lassen sich in drei Kreisläufe der Absicherung ordnen. Diese Gruppierung ist unser Modell, nicht dasjenige der EFK. Jeder Kreislauf macht aus einem einmaligen Entscheid eine wiederholte Prüfung.

Konfiguration: Der Sollzustand bewegt sich

M365 erhält laufend neue Funktionen und Sicherheitsupdates, die Konformität muss daher immer wieder überprüft und darf nicht vorausgesetzt werden ¹. Die EFK stellte fest, dass die Tenant-Konfiguration nur teilweise automatisiert verwaltet wird, womit ein Muss-Kriterium der Architekturrichtlinie der Verwaltung noch nicht ganz erfüllt ist. Zudem wurden Benchmark-Einstellungen beim Aufbau berücksichtigt, aber nicht alle konsequent umgesetzt ². Das BIT widersprach einer Lesart seiner Richtlinie, weil der Automatisierungsgrad dort nicht definiert sei, und akzeptierte die Empfehlung ².

Ein zweiter Punkt ist für andere Organisationen wichtiger. Laut Bericht kann Microsoft gewisse Updates ausrollen, ohne dass vorher ein Eintrag im Message Center besteht, das die Verwaltung als eine Quelle ihres Change-Prozesses nutzt. Die EFK bezeichnete solche Restrisiken als systembedingt ². Change-Kontrolle ist deshalb nötig, kann aber nicht der einzige Absicherungsmechanismus sein. Sie steuert, was der Kunde entscheidet, nicht alles, was der Anbieter ändert.

Anbieternachweise: Berichte ohne Verantwortlichen

Microsoft stellt im Service Trust Portal unabhängige Prüfberichte und weitere Unterlagen bereit. Das BIT analysiert die relevanten Berichte, die BK-DTI prüft sie sporadisch, aber noch nicht systematisch ². Die EFK verlangt, Umfang, Rhythmus und verantwortliche Stelle festzulegen, und stützt darauf die Empfehlung 1 ². Im Modell der geteilten Verantwortung liegen Daten, Teile der Applikationskonfiguration und das Identitätsmanagement beim Kunden; der Rest, auch die Hardware, liegt beim Anbieter ². Nachweise, die niemand liest, sind keine Assurance.

Wiederherstellbarkeit: Das Backup mit derselben Abhängigkeit

Die Architekturrichtlinie der Verwaltung verlangt ein Mehrgenerationen-Backup in einem Rechenzentrum des Bundes und eine Wiederherstellung unabhängig vom Cloud-Anbieter. Die Prüfung stellte fest, dass dies noch nicht erfüllt ist. Bei der Einführung zeigte sich zudem, dass die Administrationskonsole des ersten Backup-Produkts in den USA gehostet wird, entgegen der Vorgabe zum Datenstandort; die Verwaltung entschied, sie durch eine in Europa gehostete Lösung zu ersetzen ². Die EFK folgerte, dass bei einem Verlust der Verbindung zu M365 in der Zwischenlösung kein Backup mehr verfügbar wäre, und empfahl regelmässige Wiederherstellungstests ². Das BIT meldet, das lokale Backup sei inzwischen in Produktion ².

Was es für die Schweiz bedeutet

Für Bundesstellen setzt die Prüfung einen Massstab: Prüfer werden Nachweise zu den Kreisläufen verlangen, nicht nur zum Aufbau. Die EFK hielt ausserdem fest, dass es in der Bundesverwaltung rund 30 weitere M365-Tenants ausserhalb des BIT gibt und dass sie deren Konfiguration nicht geprüft hat ². Das BIT selbst empfiehlt, auch andere Tenant-Betreiber zu prüfen, damit die Governance einheitlich angewandt wird ².

Für Finanzinstitute berichtet die FINMA von einer deutlichen Zunahme der Auslagerung von IT-Infrastruktur und kritischen Daten in die Public Cloud; 2024 lagerte jede fünfte Bank oder Versicherung wesentliche Daten dorthin aus. Sie warnt zudem, dass die Konzentration bei einzelnen Anbietern den Schweizer Finanzmarkt ernsthaft beeinträchtigen könnte ⁴. Die Prüfung zeigt, wie diese Abhängigkeit im Betrieb aussieht: ein Tenant, ein Anbieter, der ihn verändert, und ein Backup, das nicht dieselbe Abhängigkeit teilen darf.

Ausserhalb regulierter Branchen gilt dieselbe Logik, ohne dass eine Aufsicht dazu anhält. Unsere Einschätzung: Die drei Kreisläufe sind ein einfacher Test, ob eine SaaS-Plattform abgesichert oder nur gebaut wurde.

Fragen für die Geschäftsleitung

1. Wer verantwortet für jede kritische SaaS-Plattform den Konfigurationskreislauf, und wie oft erfahren wir von Abweichungen?
2. Welche Berichte des Anbieters erhalten wir, und wer liest sie gegen unsere eigenen Risiken?
3. Welche Änderungen des Anbieters können unseren Tenant erreichen, ohne unseren Change-Prozess zu durchlaufen, und wie würden wir das bemerken?
4. Könnten wir kritische Daten wiederherstellen, wenn die Beziehung zum Anbieter ausfiele, und wann haben wir das zuletzt belegt?
5. Ist unser Absicherungsplan für die Plattform beim Go-live geschrieben oder für den heutigen Stand?