Microsofts Einsatz chinesischer Technischer Support-Mitarbeiter weckt Befürchtungen hinsichtlich der Offenlegung von Daten der US-Regierung.

TL;DR Zusammenfassung für Führungskräfte

Im Mittelpunkt der umstrittenen Vereinbarung von Microsoft steht ein System, das als Kompromiss zwischen Sicherheitsanforderungen und Unternehmenseffizienz konzipiert wurde. Seit fast zehn Jahren setzt der Technologieriese sogenannte „digitale Begleiter” ein – US-Bürger mit Sicherheitsfreigabe, die als Vermittler zwischen ausländischen Ingenieuren und sensiblen Regierungssystemen fungieren.

Das System funktioniert so, dass chinesische Ingenieure diesen amerikanischen Begleitern technische Anweisungen geben, die dann Befehle in Bundesnetzwerken ausführen, ohne unbedingt die vollständigen Auswirkungen ihres Handelns zu verstehen. Diese als „digitale Begleiter” bezeichneten Mitarbeiter verfügen oft nicht über das technische Fachwissen, um ausländische Ingenieure mit weitaus fortgeschritteneren Fähigkeiten zu kontrollieren, wie ProPublica herausfand. Einige sind ehemalige Militärangehörige mit wenig Programmiererfahrung, die für ihre Arbeit kaum mehr als den Mindestlohn erhalten.

Die Vereinbarung wurde Anfang der 2010er Jahre ins Leben gerufen, als Microsoft versuchte, lukrative Cloud-Computing-Aufträge der US-Bundesregierung zu gewinnen und gleichzeitig seine globale Personalstruktur beizubehalten. Microsoft entwickelte die Begleitvereinbarung, um den Vertretern des Verteidigungsministeriums entgegenzukommen, die angesichts der Anforderungen des Ministeriums an die Staatsbürgerschaft von Personen, die mit sensiblen Daten umgehen, Bedenken hinsichtlich der ausländischen Mitarbeiter des Unternehmens hatten.

Indy Crowley, ein leitender Programmmanager bei Microsoft, der aufgrund seiner Vertrautheit mit staatlichen Vorschriften als „FedRAMP-Flüsterer” bezeichnet wird, spielte eine Schlüsselrolle bei der Entwicklung des Konzepts. Er erklärte gegenüber ProPublica, dass die Einstellung virtueller Begleiter sich als „der Weg des geringsten Widerstands” herausstellte, als Beamte des Verteidigungsministeriums Bedenken äußerten, dass die weltweite Belegschaft von Microsoft möglicherweise mit sensiblen Daten umgehen könnte.

Während sich erste Berichte auf die Nutzung chinesischer Supportleistungen für Systeme des Verteidigungsministeriums durch Microsoft konzentrierten, ergaben nachfolgende Untersuchungen, dass diese Praxis weit über militärische Anwendungen hinausgeht. Das Unternehmen hat seine weltweite Belegschaft, einschließlich der in China ansässigen Mitarbeiter, für die Wartung von Cloud-Systemen für mehrere Bundesministerien und -behörden eingesetzt.

ProPublica hat herausgefunden, dass Microsoft seit Jahren auch seine weltweite Belegschaft, darunter Mitarbeiter in China, für die Wartung der Cloud-Systeme anderer Bundesbehörden einsetzt, darunter Teile des Justiz-, Finanz- und Handelsministeriums.

Die Arbeit fand im Rahmen der sogenannten Government Community Cloud (GCC) statt, einer Plattform für Informationen, die zwar nicht als geheim eingestuft sind, aber dennoch sensibel sind. Gemäß den Standards der Regierung umfasst dies Daten, bei denen „der Verlust der Vertraulichkeit, Integrität und Verfügbarkeit schwerwiegende nachteilige Auswirkungen auf den Betrieb, die Vermögenswerte oder Personen einer Behörde hätte“.

Konkrete Beispiele für die Verwendung von GCC sind:

• Die Kartellabteilung des Justizministeriums nutzt die Plattform für strafrechtliche und zivilrechtliche Ermittlungs- und Prozessfunktionen.
• Teile der Umweltschutzbehörde, die GCC-Dienstleistungen in Anspruch nehmen
• Das Bildungsministerium unterhält Systeme auf der Plattform.

Dieser erweiterte Umfang des Zugangs für ausländische Stellen hat Cybersicherheitsexperten alarmiert, die davor warnen, dass selbst nicht klassifizierte Regierungsdaten wertvolle Informationen für ausländische Gegner liefern können.

Einer der besorgniserregendsten Aspekte des digitalen Begleitsystems ist die erhebliche Diskrepanz zwischen dem technischen Fachwissen der amerikanischen Begleiter und dem der chinesischen Ingenieure, die sie beaufsichtigen sollen. Diese Qualifikationslücke schafft eine grundlegende Schwachstelle, die laut Experten die gesamte Sicherheitsprämisse der Vereinbarung untergräbt.

„Wir vertrauen darauf, dass ihre Handlungen nicht böswillig sind, aber wir können das wirklich nicht beurteilen“, sagte eine derzeitige Begleitdame, die sich bereit erklärte, unter der Bedingung der Anonymität zu sprechen, da sie berufliche Konsequenzen befürchtete.

Das Problem ist struktureller Natur und beabsichtigt. Microsoft hat eingeräumt, dass Escorts in erster Linie dazu da sind, die Einhaltung der Datenverarbeitungsvorschriften sicherzustellen, und nicht, um technische Aufsicht zu leisten. Matthew Erickson, ein ehemaliger Microsoft-Ingenieur, der an dem Escort-System gearbeitet hat, erklärte: „Wenn jemand ein Skript namens ‚fix_servers.sh‘ ausführt, das jedoch tatsächlich etwas Bösartiges tut, dann hätten [die Escorts] keine Ahnung davon.“

Die Einstellung von Begleitpersonen spiegelt diese begrenzten Erwartungen wider. Ein Auftragnehmer von Microsoft veröffentlichte im Januar 2025 eine Anzeige, in der er eine Begleitperson für 18 Dollar pro Stunde suchte, wobei die wichtigste Voraussetzung eine Sicherheitsüberprüfung durch das Verteidigungsministerium und nicht technisches Fachwissen war.

„Die Leute bekommen diese Jobs, weil sie (sicherheits-)überprüft sind, nicht weil sie gute Ingenieure sind“, sagte der Begleiter, der sich bereit erklärte, anonym zu sprechen, und der für Insight Global arbeitet.

Diese Vereinbarung bedeutet, dass das Escort-Team von Microsoft jeden Monat Hunderte von Interaktionen mit in China ansässigen Ingenieuren und Entwicklern durchführt und im Wesentlichen als Vermittler für ausländische technische Anweisungen in Bundesnetzwerke ohne nennenswerte Überwachungsmöglichkeiten fungiert.

Die Schwachstellen des Ansatzes von Microsoft wurden im Juli 2025 deutlich, als staatlich geförderte Hacker aus China Schwachstellen in SharePoint, der weit verbreiteten Kollaborationssoftware von Microsoft, ausnutzten. Der Angriff betraf Hunderte von Unternehmen und Regierungsbehörden, darunter die National Nuclear Security Administration (NNSA) und das Department of Homeland Security (DHS).

Was diesen Vorfall besonders beunruhigend machte, war die anschließende Entdeckung von ProPublica, dass der Support für SharePoint von einem in China ansässigen Ingenieurteam übernommen wird, das seit Jahren für die Wartung der Software verantwortlich ist.

Der Zeitplan des SharePoint-Angriffs verdeutlicht die Komplexität der Sicherheitsherausforderungen:

• Chinesische Hacker begannen bereits am 7. Juli 2025, Schwachstellen in SharePoint auszunutzen.
• Microsoft hat am 8. Juli einen Patch veröffentlicht, aber Hacker haben ihn umgangen.
• Das Unternehmen veröffentlichte daraufhin einen neuen Patch mit „robusteren Schutzmaßnahmen“.
• Die Sicherheitslücken ermöglichten es Hackern, „vollständigen Zugriff auf SharePoint-Inhalte, einschließlich Dateisystemen und internen Konfigurationen, zu erhalten und Code über das Netzwerk auszuführen“.

Es gibt zwar keine Beweise dafür, dass das in China ansässige SharePoint-Team von Microsoft an dem Angriff beteiligt war, doch dieser Zufall verdeutlichte die potenziellen Risiken, die damit verbunden sind, wenn chinesische Mitarbeiter Software warten, die gleichzeitig von amerikanischen Gegnern angegriffen wird.

Experten für nationale Sicherheit und Cybersicherheit haben sich alarmiert über diese Enthüllungen gezeigt, wobei viele überrascht waren, dass solche Vereinbarungen überhaupt existierten. Harry Coker, ehemaliger leitender Angestellter der CIA und der National Security Agency, der während der Biden-Regierung auch als nationaler Cyberdirektor tätig war, erklärte gegenüber ProPublica, dass das digitale Begleitsystem eine offensichtliche Gelegenheit für Spionage darstelle.

„Wenn ich Geheimagent wäre, würde ich das als Möglichkeit für einen äußerst wertvollen Zugang betrachten. Wir müssen uns darüber große Sorgen machen“, sagte Harry Coker, ehemaliger leitender Angestellter der CIA und der National Security Agency.

Die Bedenken beruhen sowohl auf den technischen Gegebenheiten der Vereinbarung als auch auf den rechtlichen Rahmenbedingungen für die Datenerhebung in China. Jeremy Daum, Senior Research Fellow am Paul Tsai China Center der Yale Law School, erklärte, dass chinesische Gesetze es Regierungsbeamten erlauben, Daten zu erheben, „solange sie etwas tun, was sie für legitim halten“. Er merkte an, dass es „für chinesische Bürger oder Unternehmen schwierig wäre, sich einer direkten Aufforderung der Sicherheitskräfte oder Strafverfolgungsbehörden sinnvoll zu widersetzen“.

Rex Booth, ehemaliger Beamter für Cybersicherheit auf Bundesebene und derzeit Chief Information Security Officer bei SailPoint, betonte, dass die Risiken über die traditionellen Bedenken hinsichtlich klassifizierter Informationen hinausgehen:

„Angesichts der riesigen Datenmengen, die in Cloud-Diensten gespeichert sind, und der Fähigkeit der KI, diese schnell zu analysieren, können selbst nicht klassifizierte Daten Erkenntnisse offenbaren, die den Interessen der USA schaden könnten.“

Harry Coker, ehemaliger leitender Angestellter bei der CIA und NSA

Die Enthüllungen haben schnelle Reaktionen sowohl seitens des Kongresses als auch der Exekutive ausgelöst. Verteidigungsminister Pete Hegseth leitete umgehend eine Überprüfung der Praktiken ein und erklärte in den sozialen Medien, dass

„Ausländische Ingenieure – aus jedem Land, natürlich auch aus China – sollten NIEMALS Zugang zu Systemen des Verteidigungsministeriums erhalten oder diese warten dürfen.“

Es hat sich eine parteiübergreifende Besorgnis im Kongress gebildet, wobei die Senatoren Tom Cotton (R-Arkansas) und Jeanne Shaheen (D-New Hampshire) Briefe an Minister Hegseth geschrieben haben, in denen sie mehr Informationen über die Support-Vereinbarungen von Microsoft in China fordern. Das Interesse des Kongresses spiegelt das wachsende Bewusstsein für China als Cyber-Bedrohung und die allgemeine Besorgnis über die technologische Abhängigkeit von anderen Ländern wider.

John Sherman, der während der Biden-Regierung als Chief Information Officer für das Verteidigungsministerium tätig war, zeigte sich überrascht über die Ergebnisse und forderte eine „gründliche Überprüfung durch DISA, Cyber Command und andere beteiligte Akteure“.

Verteidigungsminister Pete Hegseth sagt, dass es keine ausländische technische Unterstützung im Verteidigungsministerium gibt.

Angesichts der öffentlichen Enthüllung seiner Praktiken reagierte Microsoft schnell, um unmittelbare Bedenken auszuräumen und gleichzeitig seinen allgemeinen Ansatz zu verteidigen. Das Unternehmen kündigte an, dass es keine in China ansässigen Ingenieurteams mehr für die Unterstützung der Cloud-Computing-Systeme des Verteidigungsministeriums einsetzen werde, und deutete an, dass ähnliche Änderungen auch für andere Regierungskunden bevorstehen könnten.

In einer Erklärung sagte Microsoft: „Microsoft hat letzte Woche Maßnahmen ergriffen, um die Sicherheit unserer Cloud-Angebote für das US-Verteidigungsministerium zu verbessern. In Zukunft werden wir ähnliche Maßnahmen für alle unsere Regierungskunden ergreifen, die die Government Community Cloud (GCC) nutzen, um die Sicherheit ihrer Daten weiter zu gewährleisten.“

Die Antwort des Unternehmens warf jedoch ebenso viele Fragen auf, wie sie beantwortete. Microsoft lehnte es ab, genau anzugeben, was seine chinesischen Support-Teams ersetzen würde, ob digitale Begleiter weiterhin eingesetzt würden oder ob der Support von Ingenieuren aus anderen Ländern kommen würde. Das Unternehmen erklärte außerdem, es werde im Laufe des folgenden Monats „eine Überprüfung durchführen, um zu beurteilen, ob zusätzliche Maßnahmen erforderlich sind”.

Robert E. LaMear IV, Gründer von US Cloud, bot diese Lösung an. US Cloud ist der führende Drittanbieter von Supportleistungen für Microsoft-Unternehmenssoftware.

„Microsoft sollte seine chinesischen Support-Teams durch US Cloud ersetzen. Wir wären bereit, intensiv daran zu arbeiten, die Sicherheitsüberprüfungsanforderungen der Behörden zu erfüllen – wir wurden von Grund auf so aufgebaut, dass wir die Anforderungen des Bundes an Datenhoheit und Staatsbürgerschaft erfüllen. Oder die Behörden können direkt mit uns Verträge abschließen.“

In Bezug auf das SharePoint-Team bestätigte Microsoft die Existenz des in China ansässigen Entwicklerteams, betonte jedoch, dass dieses „von einem in den USA ansässigen Ingenieur beaufsichtigt wird und allen Sicherheitsanforderungen sowie der Überprüfung durch den Manager unterliegt. Es werden bereits Vorbereitungen getroffen, um diese Arbeit an einen anderen Standort zu verlagern.“

Die Enthüllungen über die digitale Begleitung passen in ein umfassenderes Muster von Sicherheitsproblemen bei Microsoft, die Regierungsbeamte und Cybersicherheitsexperten beunruhigt haben. ProPublica stellte fest, dass Microsoft„wiederholt den Unternehmensgewinn über die Sicherheit der Kunden gestellt hat“, darunter auch ein früherer Vorfall, bei dem das Unternehmen die Warnungen von Ingenieuren vor einem Produktfehler ignorierte, den später von Russland staatlich geförderte Hacker in einem der größten Cyberangriffe der Geschichte ausnutzten.

Als Vorbote dafür, dass der Support von Microsoft Gov nach China ausgelagert wurde, veröffentlichte Prescott Paulin, Acquisition Program Manager des US-Verteidigungsministeriums, ein Jahr zuvor dieses Video auf LinkedIn aus dem Jahr 2024, in dem Microsoft ihn an ein chinesisches Callcenter verwies, als er Probleme beim Zugriff auf seine „verteidigungsbezogenen Konten nach Feierabend“ hatte. Microsoft-Support-Tracking-ID für den Vorfall: 2407040040000430.

Das Begleitsystem selbst entstand in einer Zeit, in der Microsoft aggressiv um Cloud-Verträge der US-Bundesbehörden warb. Kollegen gaben einem der wichtigsten Architekten wegen seiner Fähigkeit, die Sicherheitsanforderungen der Regierung zu navigieren, den Spitznamen „FedRAMP-Flüsterer”. Diese Vereinbarung ermöglichte es Microsoft, seine kosteneffiziente globale Personalstruktur beizubehalten und gleichzeitig die oberflächlichen Sicherheitsanforderungen der Bundesbehörden zu erfüllen.

Prescott Paulin, Programmmanager für Beschaffungen im Verteidigungsministerium, 2024 Microsoft-Support nach China ausgelagert Video

Die Untersuchung von ProPublica ergab, dass innerhalb von Microsoft und unter seinen Auftragnehmern von Anfang an Bedenken hinsichtlich des digitalen Escort-Systems bestanden. Verschiedene an der Arbeit beteiligte Personen, darunter ein Cybersicherheitsbeauftragter von Microsoft, warnten das Unternehmen, dass die Vereinbarung von Natur aus riskant sei, aber Microsoft „startete und erweiterte sie trotzdem“.

Ein besonders bemerkenswerter Fall betraf Tom Schiller, einen ehemaligen Auftragnehmer von Insight Global, der sich 2024 an eine Hotline des Verteidigungsministeriums wandte und mehrere Bundesgesetzgeber anschrieb, um vor digitaler Begleitung zu warnen. Seine Beschwerden gelangten schließlich zum Büro des Generalinspekteurs der Defense Information Systems Agency (DISA), das Befragungen durchführte, die Angelegenheit jedoch letztendlich an die DISA-Leitung zurückverwies, anstatt eine Untersuchung einzuleiten.

Auch die derzeitigen Begleiter haben Bedenken geäußert. Ein Mitarbeiter von Insight Global erklärte gegenüber ProPublica, dass sie „über mehrere Jahre hinweg und zuletzt im April wiederholt Bedenken hinsichtlich der Informationslücke gegenüber Microsoft und den Anwälten von Insight Global geäußert haben“. Der Begleiter sagte, dass sie besonders besorgt seien über die chinesischen Gesetze, die weitreichende Befugnisse zur Datenerfassung gewähren, und die damit verbundene Gefährdung der Netzwerke der US-Regierung.

Die Enthüllungen von Microsoft haben weitreichende Auswirkungen auf die Herangehensweise der Bundesregierung an Cloud Computing und IT-Modernisierung. Der Vorfall verdeutlicht die grundlegenden Spannungen zwischen Kosteneffizienz, technischem Fachwissen und Sicherheitsanforderungen, die die Einführung von Technologien in der Regierung in den letzten zehn Jahren geprägt haben.

Die Entscheidung der Bundesregierung für Cloud Computing wurde vor allem durch die Aussicht auf Kosteneinsparungen, Effizienzsteigerungen und Zugang zu modernster Technologie motiviert. Der Fall Microsoft zeigt jedoch, dass diese Vorteile mit versteckten Sicherheitskosten verbunden sein können, die für staatliche Einkäufer oder Aufsichtsbehörden nicht sofort erkennbar sind.

Die Situation wirft auch Fragen hinsichtlich der Angemessenheit der derzeitigen staatlichen Aufsichtsmechanismen auf. Obwohl das Begleitsystem seit fast einem Jahrzehnt besteht, scheinen selbst hochrangige Beamte des Verteidigungsministeriums nichts von seiner Existenz gewusst zu haben. Dies deutet auf erhebliche Lücken im Verständnis und in der Überwachung der Praktiken ihrer Technologieanbieter durch Regierungsbehörden hin.

Während die Regierung mit den Auswirkungen der Enthüllungen zum Microsoft-Support ringt, bleiben grundlegende Fragen offen, wie Sicherheitsanforderungen mit den praktischen Realitäten des globalen Technologiemarktes in Einklang gebracht werden können. Das digitale Begleitsystem stellte einen Versuch dar, diesen Spagat zu meistern, aber sein offensichtliches Scheitern deutet darauf hin, dass robustere Ansätze erforderlich sein könnten.

Der Vorfall könnte die Bemühungen der Regierung beschleunigen, die Abhängigkeit von ausländischem Personal für kritische Technologiefunktionen zu verringern, aber dieser Übergang wird wahrscheinlich mit erheblichen Kosten und technischen Herausforderungen verbunden sein. Der Aufbau ausreichender technischer Kapazitäten im Inland, um die komplexen IT-Anforderungen der Regierung zu bewältigen, ist ein großes Unterfangen, das nachhaltige Investitionen und politische Aufmerksamkeit erfordert.

Der Fall Microsoft unterstreicht auch die Bedeutung von Transparenz bei Technologieverträgen der Regierung. Die Tatsache, dass eine so bedeutende Sicherheitsvereinbarung fast ein Jahrzehnt lang ohne öffentliches Wissen bestand, lässt vermuten, dass die derzeitigen Offenlegungspflichten für die komplexen Realitäten moderner Technologiedienstleistungen möglicherweise unzureichend sind.

Der Einsatz chinesischer Ingenieure durch Microsoft zur Unterstützung von Systemen der US-Regierung ist ein Beispiel für die unbeabsichtigten Folgen, die sich ergeben, wenn Effizienz Vorrang vor Sicherheit in kritischen Technologieinfrastrukturen hat. Das digitale Begleitsystem des Unternehmens mag zwar den Buchstaben der Sicherheitsanforderungen des Bundes erfüllt haben, aber es scheint gegen deren Geist verstoßen zu haben, indem es Schwachstellen geschaffen hat, die von versierten Angreifern potenziell ausgenutzt werden könnten.

Die schnelle Reaktion von Microsoft, dem Kongress und der Exekutive deutet darauf hin, dass man erkannt hat, dass die derzeitige Regelung angesichts der sich wandelnden geopolitischen Realitäten und Cyber-Bedrohungen nicht mehr tragbar ist. Die Herausforderung, diese Systeme zu ersetzen und gleichzeitig die IT-Kapazitäten der Regierung aufrechtzuerhalten, erfordert jedoch eine sorgfältige Planung und erhebliche Ressourcen.

Während die Vereinigten Staaten weiterhin mit China im Bereich Technologie und Cyberfähigkeiten konkurrieren, dienen die Enthüllungen über den Microsoft-Support als deutliche Mahnung, dass Sicherheit bei der Entwicklung kritischer Systeme nicht als Nebensache behandelt werden darf. Die Kosten für Fehler im Bereich Cybersicherheit – ob gemessen an kompromittierten Daten, geschädigter nationaler Sicherheit oder verlorenem Vertrauen der Öffentlichkeit – übersteigen bei weitem die kurzfristigen Einsparungen, die durch Abstriche bei den Sicherheitsanforderungen in der Lieferkette erzielt werden könnten.

Die endgültige Lösung dieser Situation wird wahrscheinlich wichtige Präzedenzfälle dafür schaffen, wie die Regierung mit der Aufsicht über Technologieanbieter und Sicherheitsanforderungen in einem zunehmend komplexen globalen Markt umgeht. Es steht viel auf dem Spiel, denn die Integrität der digitalen Infrastruktur Amerikas hängt davon ab, dass diese Entscheidungen richtig getroffen werden.