Die Bundesverwaltung hat bis Ende 2025 rund 54’000 vom Bundesamt für Informatik und Telekommunikation betriebene Arbeitsplätze auf Microsoft 365 umgestellt. Die Migration dauerte von Oktober 2024 bis Dezember 2025. Für den Standarddienst sind 57 Anwendungen und Funktionen freigegeben. Nun hat die Eidgenössische Finanzkontrolle untersucht, wie sicher die Plattform betrieben wird und ob die neuen Möglichkeiten tatsächlich genutzt werden. [1][2]

Angemessener Schutz für den heutigen Einsatz

Die Prüfer kommen zu einem differenzierten Ergebnis. Das BIT habe die Plattform nach den Architekturvorgaben der Bundeskanzlei und bewährten Methoden fachgerecht aufgebaut. Für den derzeit restriktiven Einsatz seien angemessene Sicherheitsvorkehrungen vorhanden. Änderungen würden über einen etablierten Prozess eingespielt. Das ist jedoch kein Freipass: Microsoft erweitert den Cloud-Dienst laufend, weshalb technische und organisatorische Kontrollen Schritt halten müssen. [1]

Vier Aufgaben bleiben offen

Die EFK nennt konkrete Lücken. Erstens müssen Bundeskanzlei und BIT festlegen, welche Sicherheitsauswertungen systematisch überwacht werden. Zweitens sollte die Kontrolle neuer Funktionen und Updates möglichst automatisiert werden. Drittens ist noch nicht definiert, in welchem Rhythmus sicherheitsrelevante Einstellungen überprüft werden und wie bei Abweichungen reagiert wird. Viertens befindet sich die geforderte Datensicherung auf eigenen Systemen der Bundesverwaltung noch im Aufbau. [1]

Technik allein schafft noch keinen Nutzen

Microsoft 365 stellt den Bundesangestellten zusätzliche Werkzeuge für Zusammenarbeit und cloudbasiertes Arbeiten bereit. Laut EFK entstehen daraus aber erst dann messbare Vorteile, wenn sich auch Arbeitsweisen verändern. Dafür braucht es kontinuierliche Schulungen sowie klare Vorgaben für den zulässigen Einsatz. [1]

Der Bericht bestätigt damit weder einen akuten Sicherheitsvorfall noch eine uneingeschränkte Unbedenklichkeit. Er beschreibt eine fachgerecht aufgebaute Plattform mit angemessenem Schutz für den aktuellen Einsatz – und mit zentralen Arbeiten, die für Datensouveränität, Überwachung und Wiederherstellung noch abgeschlossen werden müssen.

*Bild: KI-generierte Illustration; OpenAI / Redaktion Helvetia.rocks; Lizenz: AI-generated.*