Am 4. Juni 2026 veröffentlichte das BSI eine Sicherheitswarnung der höchsten Risikostufe für Microsoft Azure, Microsoft 365 Copilot und Copilot Chat in Edge. Insgesamt sechs Schwachstellen – darunter CVE-2026-42824 und CVE-2026-48579 – ermöglichen Rechteausweitung, das Ausführen beliebigen Codes und die Offenlegung sensibler Daten. Nur einen Tag später meldeten Sicherheitsforscher einen sich selbst replizierenden Wurm namens „Miasma“, der bereits 73 Microsoft-Repositories auf GitHub infiziert hatte. Für NIS2-pflichtige Unternehmen ist dieser Vorfall mehr als eine gewöhnliche Patch-Meldung – er ist ein Praxisbeispiel dafür, warum die Lieferkettensicherheit nach Art. 21 Abs. 2 lit. d NIS2 kein Randthema ist.
Ab 8. Juni: Lieferkette wird zur Pflichtübung
Praktisch gleichzeitig mit der BSI-Warnung rückten ab dem 8. Juni 2026 die konkreten Anforderungen an die Absicherung von Zulieferern und Dienstleistern stärker in den Fokus der Aufsichtsbehörden. Wer Cloud-Dienste wie Azure oder Microsoft 365 einsetzt, muss diese Anbieter wie jeden anderen kritischen Dienstleister behandeln: mit dokumentiertem Sicherheitsniveau, vertraglich verankerten Anforderungen und einem Plan für den Fall, dass genau dort eine kritische Schwachstelle auftaucht.
Drei Kriterien für kritische Dienstleister
Ein Zulieferer gilt als kritisch, wenn mindestens eines der folgenden Merkmale zutrifft:
- Zugriff auf die IT-Systeme der Einrichtung
- Zugriff auf vertrauliche oder personenbezogene Daten
- Erheblicher Einfluss auf die Verfügbarkeit zentraler Dienste
Cloud-Hyperscaler wie Microsoft erfüllen in aller Regel alle drei Kriterien gleichzeitig – ihr Ausfall oder eine kritische Sicherheitslücke kann unmittelbar auf die NIS2-Pflichten des Kunden durchschlagen.
Was Unternehmen jetzt konkret prüfen müssen
- Patch-Status verifizieren: Sind die BSI-Warnungen zu Azure/M365 in der eigenen Umgebung bereits umgesetzt? Wer verwaltet die Patches – intern oder der Cloud-Anbieter?
- Zugriffskontrollen härten: Multi-Faktor-Authentifizierung für alle administrativen Zugänge zu Cloud-Diensten, keine Ausnahmen.
- Netzwerksegmentierung prüfen: Kann eine kompromittierte Cloud-Komponente ungehindert auf andere Systeme zugreifen?
- Lieferantenvertrag kontrollieren: Enthält der Vertrag mit dem Cloud-Anbieter Sicherheitsklauseln, Meldepflichten bei Schwachstellen und Auditrechte?
- Incident-Response-Plan testen: Wie würde die eigene Organisation reagieren, wenn der Cloud-Anbieter selbst Ziel eines Angriffs wird?
Der Fall zeigt exemplarisch, dass NIS2-Lieferkettensicherheit keine theoretische Übung ist. Wenn die Schwachstelle bei einem der größten Cloud-Anbieter der Welt auftaucht, betrifft sie potenziell jedes einzelne Unternehmen, das auf dessen Dienste vertraut – unabhängig von der eigenen Unternehmensgröße.