Seit im Dezember 2020 der Supply-Chain-Angriff auf das Software-Unternehmen Solarwinds bekannt wurde, kommen immer weitere Details zu den Dimensionen des Hacks ans Licht: die Anzahl betroffener Unternehmen, eine zweite Backdoor-Malware in Solarwinds Orion und schlechte Passwörter.

Über die Plattform Orion war die Malware "Sunburst" auch in die Systeme von Microsoft geschleust worden. Am 31. Dezember gab Microsoft bekannt, dass die Hacker offenbar tiefer ins Netz des Tech-Giganten vordringen konnten, als bisher angenommen.

"Wir entdeckten ungewöhnliche Aktivitäten bei einer kleinen Anzahl interner Konten und bei der Überprüfung stellten wir fest, dass ein Konto verwendet wurde, um Quellcode in einer Reihe von Quellcode-Repositories einzusehen", schrieb Microsoft in einem Blogbeitrag.

Anfänglich hatte der Konzern erklärt, kompromittierte Programme von Solarwinds entdeckt und danach isoliert und entfernt zu haben. Bei einer genaueren und noch andauernden Überprüfung seien aber die "ungewöhnlichen Aktivitäten" im eigenen Netzwerk festgestellt worden.

Der Schaden halte sich aber in Grenzen, beschwichtigt Microsoft. Man verfolge einen "Inner-Source-Ansatz", um den Quellcode innerhalb von Microsoft einsehbar zu machen. Dies bedeute, dass man sich bei der Sicherheit von Produkten nicht auf die Geheimhaltung des Quellcodes verlasse. "Unsere Bedrohungsmodelle gehen davon aus, dass Angreifer Kenntnis vom Quellcode haben. Die Einsicht in den Quellcode ist also nicht mit einer Erhöhung des Risikos verbunden."

Die Aktivitäten der Hacker hätten "weder die Sicherheit unserer Dienste oder von Kundendaten gefährdet", heisst es weiter. Die Untersuchung habe bis jetzt auch keine Hinweise darauf ergeben, dass Microsoft-Systeme für Angriffe auf andere genutzt wurden.

Solarwinds drohen nun auch juristische Probleme. Am 4. Januar wurde beim U.S. District Court for the Western District of Texas eine erste Sammelklage gegen das Unternehmen eingereicht. "Infolge der unrechtmässigen Handlungen und Unterlassungen der Beklagten und des rapiden Rückgangs des Marktwerts der Wertpapiere des Unternehmens haben der Kläger und andere Mitglieder der Sammelklägergruppe erhebliche Verluste und Schäden erlitten", heisst es in der Klage (PDF).

Die Klage wirft Solarwinds und seinen Führungskräften vor, nicht offengelegt zu haben, dass die Orion-Produkte des Unternehmens seit Mitte 2020 eine Schwachstelle aufwiesen, sowie, dass zur Sicherung Passwörter wie "solarwinds123" verwendet wurden.

Weiter wird Solarwinds, dem scheidenden CEO Kevin Thompson und CFO Barton Kalsu vorgeworfen, "falsche und/oder irreführende" Aussagen in behördlichen Einreichungen im Februar, Mai, August und November 2020 gemacht zu haben. Solarwinds habe nachteiligen Fakten in Bezug auf das Geschäft, den Betrieb und die Aussichten des Unternehmens falsch dargestellt.

Die Klage bittet eine Gerichts-Jury zu prüfen, ob der Kurs der Solarwinds-Aktie vom 24. Februar 2020 bis zum 15. Dezember 2020 aufgrund des in der Klage beschriebenen Verhaltens von Solarwind künstlich aufgebläht wurde. CEO Thompson und CFO Kalsu hätten aufgrund ihrer leitenden Positionen über negative nicht-öffentliche Informationen über die Unternehmensführung und die Geschäftsaussichten von Solarwinds Bescheid gewusst.

Solarwinds äusserte sich bis jetzt nicht zu der Klage. Sagte aber laut 'CRN' in einer Erklärung, dass man sich ausschliesslich darauf konzentriere, "der Branche und unseren Kunden zu helfen, diesen Angriff zu verstehen und zu entschärfen".