Het gebruik van Chinese technische ondersteuning door Microsoft wekt bezorgdheid over het blootstellen van gegevens van de Amerikaanse overheid.

TL;DR Samenvatting voor leidinggevenden

De kern van de controversiële regeling van Microsoft wordt gevormd door een systeem dat is ontworpen als compromis tussen veiligheidseisen en bedrijfsefficiëntie. Al bijna tien jaar maakt de techgigant gebruik van zogenaamde 'digitale begeleiders': Amerikaanse burgers met een veiligheidsmachtiging die fungeren als tussenpersoon tussen buitenlandse ingenieurs en gevoelige overheidssystemen.

Het systeem werkt als volgt: Chinese ingenieurs geven technische instructies aan deze Amerikaanse begeleiders, die vervolgens opdrachten uitvoeren op federale netwerken zonder dat ze noodzakelijkerwijs volledig begrijpen wat de gevolgen zijn van wat ze doen. Deze werknemers, die bekend staan als 'digitale begeleiders', beschikken vaak niet over de technische expertise om toezicht te houden op buitenlandse ingenieurs met veel geavanceerdere vaardigheden, zo ontdekte ProPublica. Sommigen zijn voormalige militairen met weinig programmeerervaring, die voor hun werk nauwelijks meer dan het minimumloon krijgen.

De regeling werd begin 2010 bedacht toen Microsoft lucratieve federale cloud computing-contracten wilde binnenhalen en tegelijkertijd zijn wereldwijde personeelsstructuur wilde behouden. Microsoft ontwikkelde de begeleidingsregeling om tegemoet te komen aan de bezorgdheid van functionarissen van het ministerie van Defensie over de buitenlandse werknemers van het bedrijf, gezien de burgerschapseisen van het ministerie voor mensen die met gevoelige gegevens omgaan.

Indy Crowley, een senior programmamanager bij Microsoft die vanwege zijn kennis van overheidsvoorschriften ook wel de 'FedRAMP-fluisteraar' wordt genoemd, speelde een belangrijke rol bij de ontwikkeling van het concept. Hij vertelde ProPublica dat het inhuren van virtuele begeleiders naar voren kwam als 'de weg van de minste weerstand' toen functionarissen van het ministerie van Defensie hun bezorgdheid uitten over het feit dat het wereldwijde personeelsbestand van Microsoft mogelijk gevoelige gegevens zou verwerken.

Hoewel de eerste rapporten zich concentreerden op het gebruik door Microsoft van Chinese ondersteuning voor systemen van het ministerie van Defensie, bleek uit later onderzoek dat deze praktijk veel verder reikt dan militaire toepassingen. Het bedrijf heeft zijn wereldwijde personeelsbestand, inclusief personeel in China, ingezet voor het onderhoud van cloudsystemen voor meerdere federale ministeries en instanties.

ProPublica heeft ontdekt dat Microsoft al jarenlang zijn wereldwijde personeelsbestand, inclusief personeel in China, inzet voor het onderhoud van de cloudsystemen van andere federale departementen, waaronder delen van Justitie, Financiën en Handel.

Het werk heeft plaatsgevonden binnen wat bekend staat als de Government Community Cloud (GCC), een platform dat is ontworpen voor informatie die niet geheim is, maar wel gevoelig. Volgens overheidsnormen omvat dit gegevens waarvan "het verlies van vertrouwelijkheid, integriteit en beschikbaarheid ernstige nadelige gevolgen zou hebben voor de activiteiten, activa of personen van een instantie".

Specifieke voorbeelden van het gebruik van GCC zijn onder meer:

• De Antitrust Division van het Amerikaanse ministerie van Justitie gebruikt het platform voor strafrechtelijke en civielrechtelijke onderzoeken en rechtszaken.
• Delen van het Environmental Protection Agency die gebruikmaken van GCC-diensten
• Het ministerie van Onderwijs onderhoudt systemen op het platform.

Deze bredere toegang voor buitenlanders heeft cyberbeveiligingsexperts gealarmeerd, die waarschuwen dat zelfs niet-geclassificeerde overheidsgegevens waardevolle inlichtingen kunnen opleveren voor buitenlandse tegenstanders.

Een van de meest zorgwekkende aspecten van het digitale escortsysteem is de aanzienlijke kloof in technische expertise tussen de Amerikaanse escorts en de Chinese ingenieurs die zij zouden moeten begeleiden. Deze vaardigheidskloof zorgt voor een fundamentele kwetsbaarheid die volgens deskundigen de hele veiligheidsbasis van de regeling ondermijnt.

"We vertrouwen erop dat wat ze doen niet kwaadaardig is, maar we kunnen het echt niet zeggen", aldus een huidige escort die bereid was om op voorwaarde van anonimiteit te spreken, uit angst voor professionele repercussies.

Het probleem is structureel en opzettelijk. Microsoft heeft erkend dat escorts er in de eerste plaats zijn om naleving van procedures voor gegevensverwerking te waarborgen en niet om technisch toezicht te houden. Matthew Erickson, een voormalig Microsoft-ingenieur die aan het escortsysteem heeft gewerkt, legde uit dat "als iemand een script met de naam 'fix_servers.sh' zou uitvoeren, maar dat script zou iets kwaadaardigs doen, [escorts] daar geen idee van zouden hebben."

De werving van begeleiders weerspiegelt deze beperkte verwachtingen. Een Microsoft-contractant plaatste in januari 2025 een advertentie waarin hij een begeleider zocht voor 18 dollar per uur, waarbij de belangrijkste vereiste een veiligheidsmachtiging van het ministerie van Defensie was in plaats van technische expertise.

"Mensen krijgen deze banen omdat ze (veiligheids)goedgekeurd zijn, niet omdat ze goede ingenieurs zijn", aldus de begeleider die anoniem wilde blijven en voor Insight Global werkt.

Deze regeling houdt in dat het begeleidingsteam van Microsoft elke maand honderden interacties met in China gevestigde ingenieurs en ontwikkelaars afhandelt, en in feite fungeert als doorgeefluik voor buitenlandse technische instructies naar federale netwerken zonder noemenswaardige toezichtsmogelijkheden.

De kwetsbaarheden die inherent zijn aan de aanpak van Microsoft werden in juli 2025 pijnlijk duidelijk toen door de Chinese staat gesponsorde hackers misbruik maakten van kwetsbaarheden in SharePoint, de veelgebruikte samenwerkingssoftware van Microsoft. De aanval bracht honderden bedrijven en overheidsinstanties in gevaar, waaronder de National Nuclear Security Administration (NNSA) en het Department of Homeland Security (DHS).

Wat dit incident bijzonder verontrustend maakte, was de daaropvolgende ontdekking van ProPublica dat de ondersteuning voor SharePoint wordt verzorgd door een in China gevestigd team van technici dat al jaren verantwoordelijk is voor het onderhoud van de software.

De tijdlijn van de SharePoint-aanval laat zien hoe complex de beveiligingsuitdagingen zijn:

• Chinese hackers begonnen al op 7 juli 2025 misbruik te maken van de zwakke punten van SharePoint.
• Microsoft heeft op 8 juli een patch uitgebracht, maar hackers hebben deze omzeild.
• Het bedrijf heeft vervolgens een nieuwe patch uitgebracht met "robuustere beveiligingen".
• Door deze kwetsbaarheden konden hackers "volledige toegang krijgen tot SharePoint-inhoud, inclusief bestandssystemen en interne configuraties, en code uitvoeren via het netwerk".

Hoewel er geen bewijs is dat het in China gevestigde SharePoint-team van Microsoft een rol heeft gespeeld bij de aanval, benadrukte dit toeval de potentiële risico's van het feit dat Chinese medewerkers software onderhouden die tegelijkertijd door Amerikaanse tegenstanders werd aangevallen.

Deskundigen op het gebied van nationale veiligheid en cyberveiligheid hebben hun bezorgdheid geuit over deze onthullingen, waarbij velen verbaasd waren dat dergelijke regelingen überhaupt bestonden. Harry Coker, voormalig topfunctionaris bij de CIA en de National Security Agency, die tijdens de regering-Biden ook als nationaal cyberdirecteur heeft gefungeerd, vertelde ProPublica dat het digitale begeleidingssysteem een voor de hand liggende kans biedt voor spionage.

"Als ik een agent was, zou ik dat zien als een manier om aan super waardevolle info te komen. We moeten ons daar echt zorgen over maken," zei Harry Coker, die een hoge functie had bij de CIA en de National Security Agency.

De bezorgdheid is gebaseerd op zowel de technische realiteit van de regeling als het wettelijke kader voor gegevensverzameling in China. Jeremy Daum, senior onderzoeker bij het Paul Tsai China Center aan de Yale Law School, legde uit dat Chinese wetten overheidsfunctionarissen toestaan gegevens te verzamelen "zolang ze iets doen wat zij als legitiem beschouwen". Hij merkte op dat het "voor Chinese burgers of bedrijven moeilijk zou zijn om zich op zinvolle wijze te verzetten tegen een direct verzoek van veiligheidsdiensten of wetshandhavers".

Rex Booth, een voormalig federaal cyberbeveiligingsfunctionaris die nu werkzaam is als Chief Information Security Officer bij SailPoint, benadrukte dat de risico's verder reiken dan traditionele zorgen over vertrouwelijke informatie:

"Met zoveel gegevens opgeslagen in clouddiensten – en de kracht van AI om deze snel te analyseren – kunnen zelfs niet-geclassificeerde gegevens inzichten onthullen die de belangen van de VS kunnen schaden."

Harry Coker, voormalig senior executive bij de CIA en NSA

De onthullingen hebben geleid tot snelle reacties van zowel het Congres als de uitvoerende macht. Minister van Defensie Pete Hegseth heeft onmiddellijk een onderzoek naar de praktijken ingesteld en verklaarde op sociale media dat

"Buitenlandse ingenieurs – uit welk land dan ook, inclusief natuurlijk China – mogen NOOIT toegang krijgen tot of onderhoud verrichten aan systemen van het Amerikaanse ministerie van Defensie."

Er is bezorgdheid ontstaan bij beide partijen in het Congres. Senatoren Tom Cotton (R-Arkansas) en Jeanne Shaheen (D-New Hampshire) hebben brieven geschreven aan minister Hegseth waarin ze meer informatie vragen over de ondersteuningsafspraken van Microsoft in China. De belangstelling van het Congres weerspiegelt het groeiende besef dat China een cyberdreiging vormt en de bredere bezorgdheid over technologische afhankelijkheid van andere landen.

John Sherman, die tijdens de regering-Biden als Chief Information Officer voor het ministerie van Defensie werkzaam was, toonde zich verrast door de bevindingen en riep op tot een "grondige evaluatie door DISA, Cyber Command en andere belanghebbenden die hierbij betrokken zijn".

Minister van Defensie Pete Hegseth zegt dat er geen buitenlandse technische ondersteuning is bij het ministerie van Defensie

Toen Microsoft geconfronteerd werd met de openbare onthulling van zijn praktijken, ondernam het bedrijf snel actie om de directe bezorgdheid weg te nemen en verdedigde het tegelijkertijd zijn algemene aanpak. Het bedrijf kondigde aan dat het geen gebruik meer zou maken van in China gevestigde engineeringteams voor de ondersteuning van cloudcomputingsystemen van het ministerie van Defensie en suggereerde dat soortgelijke veranderingen ook voor andere overheidsklanten op komst zouden kunnen zijn.

In een verklaring zei Microsoft: "Microsoft heeft vorige week maatregelen genomen om de beveiliging van onze clouddiensten voor het Amerikaanse ministerie van Defensie te verbeteren. In de toekomst zullen we soortgelijke maatregelen nemen voor al onze overheidsklanten die gebruikmaken van Government Community Cloud (GCC) om de veiligheid van hun gegevens verder te waarborgen."

Het antwoord van het bedrijf riep echter evenveel vragen op als het beantwoordde. Microsoft weigerde te specificeren wat zijn Chinese ondersteuningsteams zou vervangen, of digitale begeleiders zouden blijven worden ingezet en of de ondersteuning zou worden verleend door technici in andere landen. Het bedrijf zei ook dat het de komende maand "een evaluatie zou uitvoeren om te beoordelen of aanvullende maatregelen nodig zijn".

Robert E. LaMear IV, de oprichter van US Cloud, bood deze oplossing aan. US Cloud is de toonaangevende externe ondersteuningsprovider voor Microsoft-bedrijfssoftware.

"Microsoft zou zijn Chinese ondersteuningsteams moeten vervangen door US Cloud. We zijn bereid om hard te werken om te voldoen aan de vereisten voor overheidsgoedkeuring – we zijn vanaf de basis opgebouwd om te voldoen aan de federale vereisten op het gebied van gegevenssoevereiniteit en burgerschap. Of de instanties kunnen rechtstreeks een contract met ons sluiten."

Wat het SharePoint-team betreft, erkende Microsoft het in China gevestigde engineeringteam, maar benadrukte dat het "onder toezicht staat van een in de VS gevestigde ingenieur en onderworpen is aan alle beveiligingsvereisten en managercode-beoordeling. Er wordt al gewerkt aan de verhuizing van dit werk naar een andere locatie."

De onthullingen over digitale escorts passen in een breder patroon van beveiligingsproblemen bij Microsoft die overheidsfunctionarissen en cyberbeveiligingsexperts zorgen baren. ProPublica merkte op dat Microsoft "herhaaldelijk bedrijfswinst boven klantbeveiliging heeftgesteld", waaronder een eerder incident waarbij het bedrijf waarschuwingen van ingenieurs over een productfout negeerde, die later door Russische hackers in opdracht van de staat werd misbruikt in een van de grootste cyberaanvallen in de geschiedenis.

Als voorbode van de uitbesteding van Microsoft Gov-ondersteuning aan China plaatste Prescott Paulin, Acquisition Program Manager bij het Amerikaanse ministerie van Defensie, een jaar eerder deze video op LinkedIn in 2024. Hierin is te zien hoe Microsoft hem doorverwijst naar een Chinees callcenter wanneer hij problemen heeft met het openen van zijn "defensiegerelateerde accounts buiten kantooruren". Microsoft incident support tracking ID: 2407040040000430.

Het escortsysteem zelf ontstond in een periode waarin Microsoft agressief federale cloudcontracten nastreefde, waarbij collega's een belangrijke architect de 'FedRAMP-fluisteraar' noemden vanwege zijn vermogen om door de beveiligingsvereisten van de overheid te navigeren. Dankzij deze regeling kon Microsoft zijn kosteneffectieve wereldwijde personeelsstructuur handhaven en tegelijkertijd voldoen aan de oppervlakkige naleving van de federale beveiligingsvereisten.

Prescott Paulin, manager acquisitieprogramma bij het Amerikaanse ministerie van Defensie, 2024 Microsoft-ondersteuning uitbesteed aan China Video

Uit het onderzoek van ProPublica bleek dat er binnen Microsoft en onder zijn contractanten vanaf het begin bezorgdheid bestond over het digitale escortsysteem. Verschillende mensen die bij het werk betrokken waren, waaronder een cybersecurity-leider van Microsoft, waarschuwden het bedrijf dat de regeling inherent riskant was, maar Microsoft "lanceerde en breidde het toch uit".

Een bijzonder opmerkelijk geval betrof Tom Schiller, een voormalig contractant van Insight Global die in 2024 contact opnam met een hotline van het ministerie van Defensie en verschillende federale wetgevers aanschreef om te waarschuwen voor digitale begeleiding. Zijn klachten kwamen uiteindelijk terecht bij het Bureau van de Inspecteur-generaal van het Defense Information Systems Agency, dat interviews afnam maar de zaak uiteindelijk terugverwees naar het management van DISA in plaats van een onderzoek in te stellen.

Ook de huidige begeleiders hebben hun bezorgdheid geuit. Een medewerker van Insight Global vertelde ProPublica dat zij "herhaaldelijk hun bezorgdheid hadden geuit over de kenniskloof bij Microsoft, gedurende meerdere jaren en nog recentelijk in april, en bij de eigen advocaten van Insight Global." De begeleider zei dat zij zich vooral zorgen maakten over de Chinese wetgeving die ruime bevoegdheden toekent op het gebied van gegevensverzameling en de blootstelling die dit met zich meebrengt voor de netwerken van de Amerikaanse overheid.

De onthullingen van Microsoft hebben bredere implicaties voor de manier waarop de federale overheid omgaat met cloud computing en IT-modernisering. Het incident benadrukt de fundamentele spanningen tussen kostenefficiëntie, technische expertise en beveiligingsvereisten die de afgelopen tien jaar bepalend zijn geweest voor de invoering van technologie door de overheid.

De keuze van de federale overheid voor cloud computing werd grotendeels ingegeven door beloften van kostenbesparingen, verbeterde efficiëntie en toegang tot geavanceerde technologie. De zaak rond Microsoft laat echter zien dat deze voordelen gepaard kunnen gaan met verborgen beveiligingskosten die niet direct zichtbaar zijn voor overheidsinkopers of toezichthoudende instanties.

De situatie roept ook vragen op over de toereikendheid van de huidige toezichtmechanismen van de overheid. Ondanks het feit dat het escortsysteem al bijna tien jaar bestaat, lijkt het erop dat zelfs hoge functionarissen van het ministerie van Defensie niet op de hoogte waren van het bestaan ervan. Dit wijst op aanzienlijke tekortkomingen in de manier waarop overheidsinstanties de praktijken van hun technologieleveranciers begrijpen en controleren.

Terwijl de regering worstelt met de implicaties van de onthullingen over de ondersteuning door Microsoft, blijven er fundamentele vragen bestaan over hoe een evenwicht kan worden gevonden tussen veiligheidseisen en de praktische realiteit van het opereren in een wereldwijde technologiemarkt. Het digitale begeleidingssysteem was een poging om deze balans te vinden, maar het kennelijke falen ervan suggereert dat er wellicht robuustere benaderingen nodig zijn.

Het incident kan leiden tot een versnelling van bredere overheidsinspanningen om de afhankelijkheid van buitenlands personeel voor kritieke technologische functies te verminderen, maar deze transitie zal waarschijnlijk gepaard gaan met aanzienlijke kosten en technische uitdagingen. Het opbouwen van voldoende binnenlandse technische capaciteit om aan complexe IT-eisen van de overheid te voldoen, is een omvangrijke onderneming die aanhoudende investeringen en beleidsaandacht vereist.

De Microsoft-zaak benadrukt ook het belang van transparantie in technologische contracten van de overheid. Het feit dat een dergelijke belangrijke veiligheidsregeling bijna tien jaar lang zonder medeweten van het publiek heeft gefunctioneerd, suggereert dat de huidige openbaarmakingsvereisten mogelijk ontoereikend zijn voor de complexe realiteit van moderne technologische diensten.

Het gebruik door Microsoft van Chinese ingenieurs ter ondersteuning van systemen van de Amerikaanse overheid is een voorbeeld van de onbedoelde gevolgen van het voorrang geven aan efficiëntie boven veiligheid in kritieke technologische infrastructuur. Hoewel het digitale begeleidingssysteem van het bedrijf misschien voldeed aan de letter van de federale veiligheidseisen, lijkt het in strijd te zijn met de geest ervan door kwetsbaarheden te creëren die door geavanceerde tegenstanders mogelijk kunnen worden misbruikt.

De snelle reactie van Microsoft, het Congres en de uitvoerende macht suggereert dat men zich realiseert dat de huidige regeling onhoudbaar is gezien de veranderende geopolitieke realiteit en cyberdreigingen. Het vervangen van deze systemen met behoud van de IT-capaciteiten van de overheid vereist echter een zorgvuldige planning en aanzienlijke middelen.

Nu de Verenigde Staten blijven concurreren met China op het gebied van technologie en cybercapaciteiten, herinneren de onthullingen over de ondersteuning door Microsoft ons er op indringende wijze aan dat beveiliging niet als een bijzaak mag worden behandeld bij het ontwerpen van kritieke systemen. De kosten van een verkeerde aanpak van cyberbeveiliging – of die nu worden gemeten in gecompromitteerde gegevens, schade aan de nationale veiligheid of verlies van vertrouwen bij het publiek – overtreffen ruimschoots de kortetermijnbesparingen die kunnen worden gerealiseerd door te bezuinigen op de beveiligingsvereisten voor de toeleveringsketen.

De uiteindelijke oplossing van deze situatie zal waarschijnlijk belangrijke precedenten scheppen voor de manier waarop de overheid omgaat met het toezicht op technologieleveranciers en beveiligingsvereisten in een steeds complexere wereldwijde markt. De inzet kan niet hoger zijn, aangezien de integriteit van de digitale infrastructuur van Amerika afhangt van het nemen van de juiste beslissingen.