Summary

  • Laut dem Prüfbericht des Generalinspekteurs vom 28. Oktober 2026 waren etwa 97 Prozent der Nutzer einer eingebetteten IT-Gruppe für bestimmte Anwendungen von phishingresistenter Mehrfaktoranmeldung ausgenommen. Das ist keine Quote für den gesamten Gouverneursrat und keine Aussage über sämtliche Anmeldungen dieser Nutzer.
  • Der Rat erfasste Ausnahmen nicht zentral. Verantwortliche konnten einzelne Gründe nicht rasch erklären; der zentralen IT fehlten Informationen zur Dauer und zum Ende der Befreiungen. Der Inspekteur verlangt eine gemeinsame Ausnahmepolitik und Prüfung der betroffenen Gruppen.

Die Ausnahme hatte eine Abteilung, aber kein Enddatum

Der Rat setzt starke Mehrfaktoranmeldung ein. Die Abweichungen davon wurden jedoch über verschiedene Abteilungen und Verfahren verwaltet. Der vollständige Bericht beschreibt in einer eingebetteten IT-Gruppe eine besonders deutliche Folge: Für bestimmte Anwendungen waren ungefähr 97 Prozent ihrer Nutzer ausgenommen. Der Befund betrifft den phishingresistenten Anmeldeweg für diese Anwendungen. In diesem klar begrenzten Bereich galt er für die meisten Nutzer der Gruppe nicht.

Die zentrale IT kannte weder das Alter aller Ausnahmen noch ihre Fälligkeit. Führungskräfte konnten nicht ohne Weiteres sagen, warum manche Nutzer ausgenommen waren. Eine Abweichung, die fast alle in ihrem Bereich umfasst und kein sichtbares Ende hat, ist längst Teil des Betriebsmodells. Sie bleibt nur auf dem Papier eine seltene Ausnahme.

Das betroffene IT-Umfeld hatte noch weitere Eigenwege. Eine eingebettete Gruppe, die mehrere Abteilungen unterstützt, verwendete eigene Regeln für den Umgang mit Schwachstellen. Ihre Richtlinie überließ es der Gruppe, Meldungen an den Informationssicherheitsbeauftragten nach eigenem Ermessen weiterzugeben, statt sie verbindlich über die gemeinsame Eskalation zu führen. Im Systemverzeichnis fehlten zehn von 32 vorgeschriebenen Feldarten, darunter Systemverantwortlicher und Genehmigungsgrenze. Das sind fehlende Datenfelder, nicht zehn verschwundene Systeme.

Eine zentrale Risikobewertung braucht beides: eine meldende Stelle und einen klar benannten Gegenstand.

Das Sicherheitsprogramm fiel in der Bewertung von Stufe 4 im Jahr 2024 über Stufe 3 im Jahr 2025 auf Stufe 2 von 5 im Jahr 2026. Stufe 4 gilt als wirksam. Nach dem Bericht beeinflussten sowohl tatsächliche Mängel als auch Berechnungsmethode und Gewichtung der Governance den Rückgang. Dreizehn von 17 älteren jährlichen Empfehlungen waren weiter offen. Der Rat stimmte acht neuen Empfehlungen zu, darunter der zentralen Steuerung von MFA-Ausnahmen. Ob einzelne Ausnahmen beendet sind, belegt die Zustimmung nicht.

Sources