US-Senator Wyden macht Microsoft zum Bedrohung für die nationale Sicherheit

USA Senator Ron Wyden wandte sich kürzlich in einem Brief an den Vorsitzenden der FTC, in dem er Microsoft aufgrund dessen, was er als „große Cybersicherheitsfahrlässigkeit“ beschreibt, als Bedrohung für die nationale Sicherheit einstufte. 

In dem Brief forderte Wyden eine Untersuchung der Rolle von Microsoft bei mehreren hochkarätigen Cybersicherheitsvorfällen und behauptete, die Praktiken des Unternehmens hätten kritische Infrastrukturen und die nationale Sicherheit der USA gefährdet.

Wyden beschuldigt Microsoft

In dem Brief vom 10. September an den FTC-Vorsitzenden Andrew Ferguson warf Wyden dem Tech-Riesen „große Cybersicherheitsfahrlässigkeit“ vor, die zu Ransomware-Angriffen auf kritische Infrastrukturen, darunter US-Gesundheitsorganisationen, geführt habe, zumindest teilweise aufgrund von Standardkonfigurationen im Windows-Betriebssystem.

Wyden verglich Microsoft mit einem „Brandstifter, der seinen Opfern Löschdienste verkauft“, und seiner Meinung nach hätten Regierungsbehörden und andere Unternehmen „keine Wahl“, als die Produkte des Unternehmens zu nutzen, da es ein „nahezu Monopol im Unternehmens-IT-Bereich“ habe.

Wyden verwies auf den Ransomware-Angriff im Mai 2024 auf den Krankenhausbetreiber Ascension als Paradebeispiel.

Dieser Fall habe, laut dem Unternehmen, private medizinische und Versicherungsdaten von fast 5,6 Millionen Menschen offengelegt. Er schrieb, der Krankenhausbetreiber habe seinem Personal mitgeteilt, dass ein Auftragnehmer auf einem Ascension-Laptop auf einen schädlichen Link geklickt habe, der von der Bing-Suchmaschine von Microsoft bereitgestellt wurde.

Wyden behauptet, dass Microsofts Unterstützung für veraltete Verschlüsselungstechnologien und Standardkonfigurationseinstellungen zur Ascension-Exploitation geführt haben. Er sagte auch, das Unternehmen habe Unternehmen noch nicht angemessen darüber aufgeklärt, wie man die Bedrohung eindämmen kann.

Ein Sprecher von Microsoft bestätigte am Mittwoch, dass RC4, der von Wyden erwähnte Verschlüsselungsstandard, tatsächlich veraltet ist, aber „weniger als 0,1 %“ des Datenverkehrs des Unternehmens ausmacht und Kunden davon abhält, ihn zu verwenden.

„Das vollständige Deaktivieren würde jedoch viele Kundensysteme beschädigen“, sagte der Sprecher, und das Unternehmen reduziere schrittweise die Möglichkeiten für Kunden, es zu nutzen, während es gleichzeitig Warnungen und Leitfäden bereitstelle.

RC4 wird in bestimmten Windows-Produkten ab dem ersten Quartal 2026 standardmäßig deaktiviert sein, und das Unternehmen hat angegeben, dass es „zusätzliche Abhilfemaßnahmen“ für bestehende Bereitstellungen einbeziehen wird.

Wyden forderte eine Überprüfung der Cybersicherheitspraktiken des Gerichtssystems

Wydens Schritt gegenüber Microsoft kommt nicht lange nachdem er Chief Justice John Roberts aufgefordert hatte, eine umfassende Überprüfung der Cybersicherheitspraktiken des föderalen Gerichtssystems einzuleiten.

Seine Anfrage erfolgte nach einem erheblichen Hack des elektronischen Fallmanagementsystems, was die zweite große Sicherheitslücke in fünf Jahren markierte.

Der letzte Vorfall wurde im Juni dieses Jahres verzeichnet und hat die Gerichte schließlich dazu gebracht, die Implementierung der Multi-Faktor-Authentifizierung anzukündigen, eine grundlegende Sicherheitsmaßnahme, die in Exekutivbehörden seit 2015 Standard ist.

Soweit Wyden betroffen ist, stellt die Fahrlässigkeit bei der Cybersicherheit der Gerichte ernsthafte Risiken für die nationale Sicherheit dar, da sensible Informationen im Zusammenhang mit laufenden Ermittlungen und Bundeszeugen von ausländischen Gegnern ausgenutzt werden könnten.

Versiegelte Gerichtsakten, die sich im Fallmanagementsystem befinden, enthalten oft extrem sensible Informationen über nationale Sicherheitsquellen und -methoden, die Namen wichtiger Bundeszeugen oder Details laufender Ermittlungen.

Solche Informationen in den Händen ausländischer Gegner oder krimineller Kartelle könnten für die Sicherheit der Amerikaner hochgradig schädlich sein. Nicht hilfreich ist auch, dass die New York Times berichtet hat, dass „Dokumente im Zusammenhang mit kriminellen Aktivitäten mit overseas-Ties“ Ziel des jüngsten Hacks waren.