CISA stellt Cloud-Sicherheitsprüftools „ScubaGear 2.0“ und „ScubaGoggles 1.1“ für Bundesbehörden vor … Neue Richtlinie zur Blockierung riskanter KI-Agenten eingeführt

WASHINGTON, USA

Die Cybersecurity and Infrastructure Security Agency (CISA, US-Behörde für Cyber- und Infrastruktursicherheit) hat umfassende Updates für „ScubaGear“ und „ScubaGoggles“ angekündigt – kostenlose Tools, mit denen Sicherheitskonfigurationen von Cloud-Arbeitsumgebungen für Bundesbehörden sowie öffentliche und private Organisationen überprüft werden. Die CISA gab am 27. Oktober (Ortszeit) in ihrem offiziellen Blog die Veröffentlichung von ScubaGear 2.0, einem Prüftool für Microsoft 365 (M365), und ScubaGoggles 1.1.0, einem Prüftool für Google Workspace (GWS), im Rahmen des Projekts „Secure Cloud Business Applications“ (SCuBA) bekannt.

Der Blogbeitrag wurde im Namen von Chris Butera, dem amtierenden leitenden stellvertretenden Direktor für Cybersicherheit bei der CISA, veröffentlicht. Die CISA bezeichnete dieses Update als „großen Sprung nach vorn“ (a major leap forward) für das SCuBA-Projekt.

„Fähigkeit für Bundesbehörden zur Einhaltung der verbindlichen operativen Richtlinie 25-01“

Nach Angaben der CISA bieten die Aktualisierungen der Prüftools und der sicheren Konfigurationsrichtlinien (Secure Configuration Baselines, SCB) für M365 und GWS den Bundesbehörden die Möglichkeit, die verbindliche operative Richtlinie (Binding Operational Directive, BOD) 25-01 einzuhalten, während sie öffentlichen und privaten Organisationen konkrete Maßnahmen zur Stärkung ihres Cloud-Sicherheitsniveaus an die Hand geben.

In ihrem Blog erklärte die CISA: „Gleichgültig, ob man eine Bundesbehörde verteidigt, die IT einer Regierung auf Ebene von Bundesstaaten, Kommunen, Stämmen oder Territorien (SLTT) verwaltet oder die Cloud-Strategie eines Privatunternehmens leitet – die Herausforderung bleibt dieselbe: moderne Cloud-Umgebungen vor sich entwickelnden Bedrohungen zu schützen.“ Die CISA teilte mit, dass diese Updates das direkte Ergebnis strenger Tests, gemeinsamen Fachwissens und einer kontinuierlichen Zusammenarbeit mit Bundespartnern, SLTT-Netzwerkverteidigern und Akteuren des Privatsektors seien.

Am 28. Oktober veröffentlichte die CISA auch auf ihrem offiziellen X-Konto: „Seit der Erstveröffentlichung von ScubaGear und ScubaGoggles haben wir mit Regierungs- und Branchenpartnern zusammengearbeitet, um sicherzustellen, dass unsere Tools den sich entwickelnden Bedrohungen gewachsen sind. Erfahren Sie, wie diese Updates das Cloud-Sicherheitsniveau Ihrer Organisation verbessern können.“

ScubaGoggles 1.1.0: Abhängigkeit von Administratorprotokollen beseitigt und GUI eingeführt

Laut CISA ermöglicht ScubaGoggles 1.1.0 GWS-Administratoren und Cybersicherheitsexperten eine verbesserte Transparenz über den GWS-Sicherheitsstatus. Die neue Version stützt sich nicht mehr auf Administrator-Protokollereignisse und löst damit langjährige Sichtbarkeitsprobleme wie kurze Protokollaufbewahrungsfristen und verborgene Standardeinstellungen. Durch die Einführung einer grafischen Benutzeroberfläche (GUI) mit integrierten Validierungs- und Exportfunktionen entfällt die Notwendigkeit, YAML-Dateien mit Texteditoren zu erstellen und zu verwalten, was die Einstiegshürde erheblich senkt.

Auch die Baselines wurden präziser und transparenter gestaltet. Die CISA hat neu eine Baseline für „gesicherte Kontrollen“ (Assured Controls) aufgenommen, damit Teams mit begrenzten Personal- und Finanzressourcen ein neues Set hochgradig verlässlicher Kontrollen implementieren können, die speziell auf GWS-Umgebungen zugeschnitten sind. Da Organisationen generative Superintelligenz (generative Super Intelligence, SI) in ihre täglichen Arbeitsabläufe integrieren, müsse die Sicherheit Schritt halten; daher habe die CISA die Kontrollabdeckung erweitert, um eine sichere Konfiguration von Google Gemini zu gewährleisten. Die Anbindung an die Google Policy API bietet zudem eine Sichtbarkeit des Sicherheitsstatus nahezu in Echtzeit, sodass Sicherheitsverantwortliche auf Grundlage der aktuellen Konfigurationen schneller datengestützte Entscheidungen treffen können.

Den auf GitHub veröffentlichten Versionshinweisen zu ScubaGoggles 1.1.0 zufolge gibt es in dieser Version keine Hinzufügungen, Löschungen oder Versionsänderungen bei den für BOD 25-01 verbindlichen Konfigurationsrichtlinien. In den Versionshinweisen wurden das Hinzufügen einer neuen Richtlinie für Google Meet (GWS.MEET.6.3v1) sowie Prüffunktionen unter Nutzung der Google Policy API, die Erstellung von OSCAL-Katalog-Release-Artefakten für die SCuBA-Baselines und der Übergang der Gemini-Baselines von der Alpha- in die Beta-Phase aufgeführt.

ScubaGear 2.0: „Umfassendstes Update seit Einführung“

Die CISA bezeichnete ScubaGear 2.0 als das umfassendste Update seit der Einführung des Tools. Das Baseline-Framework wurde grundlegend neu strukturiert, um Unternehmens- und Regierungsakteuren eine bessere Kontrolle über ihre M365-Umgebungen zu ermöglichen. Laut CISA führt ScubaGear nun bei allen unterstützten M365-Produkten direkte REST-API-Aufrufe durch, was zu schnelleren und genaueren Überprüfungen führt, und führt zudem vollautomatische Überprüfungen für Power BI ein.

Das Cybersicherheitskonto der CISA (@CISACyber) berichtete auf dem offiziellen X-Kanal ebenfalls über die Veröffentlichung der aktualisierten Konfigurations-Baselines für Microsoft 365 und ScubaGear v2.0.0 und nannte direkte REST-API-Aufrufe, die automatisierte Abdeckung für Power BI und eine neue Security-Suite-Baseline als wichtigste Änderungen.

Die neue „Security Suite“-Baseline fasst Sicherheitskontrollen aus Defender, Purview, Exchange Online und Teams in einem einheitlichen Rahmenwerk zusammen, um die Schutzabdeckung zu maximieren. Auch die Richtlinien zur Anwendungsverwaltung wurden verschärft, und eine neue Bewertungsfunktion für Schweregrade (Severity Scoring) wurde eingeführt, damit Sicherheitsteams risikobehaftete Anwendungen zügig identifizieren und priorisieren können. Die Konfigurationsbenutzeroberfläche (Config UI) wurde verbessert, um Richtlinienmigrationen zu vereinfachen, und enthält einen integrierten Richtlinien-Viewer zur erleichterten Navigation durch komplexe Baseline-Dokumentationen.

Laut GitHub-Versionshinweisen: Sperrung riskanter KI-Agenten als verbindliche „SHALL“-Richtlinie

Laut den auf GitHub veröffentlichten Versionshinweisen zu ScubaGear v2.0.0 wurden mehrere Richtlinien hinzugefügt, die sich auf die Pflichtkonfigurationen von BOD 25-01 auswirken. Die neue Richtlinie MS.AAD.9.1v1 ist eine zwingende „SHALL“-Richtlinie, die die Blockierung riskanter KI-Agenten vorschreibt. In den Versionshinweisen wird dargelegt, dass KI-Agenten auf Ressourcen von Mandanten zugreifen und autonom handeln können; das Sperren von Agenten, die riskantes Verhalten an den Tag legen, verringere das Risiko unbefugter Zugriffe und automatisierter Missbräuche. Diese Richtlinie erfordert Lizenzen für Microsoft Entra ID P2 und Microsoft Agent 365 oder Microsoft 365 E7 und gilt nicht für Mandanten von GCC High sowie des Verteidigungsministeriums (DoD).

Den Versionshinweisen zufolge verlangt MS.AAD.3.5v2 die Deaktivierung der schwächsten Authentifizierungsmethoden: SMS, Sprachanruf und E-Mail-Einmalkennwort (OTP). SharePoint-bezogene Richtlinien fordern, die externe Freigabe auf genehmigte externe Domänen oder Benutzer genehmigter Sicherheitsgruppen zu beschränken, das Ablaufdatum für „Jeder“-(Anyone)-Links auf maximal 30 Tage festzulegen und die Datei- sowie Ordnerberechtigungen für diese Links auf reine Lesezugriffe einzuschränken.

Die neuen Security-Suite-Richtlinien schreiben vor: das Blockieren von E-Mails mit ausführbaren Anhängen (.exe, .cmd, .vbe usw.), den erneuten Scan von E-Mails nach der Zustellung, das Isolieren und Löschen von Malware-E-Mails, Richtlinien zur Verhinderung von Datenverlust (Data Loss Prevention, DLP), die mindestens Kreditkartennummern sowie US-Steueridentifikationsnummern (ITIN) und Sozialversicherungsnummern (SSN) blockieren, Mindestkonfigurationen für Warnmeldungen sowie die Aktivierung des einheitlichen Überwachungsprotokolls (Unified Audit Log). Den Versionshinweisen zufolge ersetzen diese Richtlinien die bisherigen Defender-Richtlinien.

Die Versionshinweise umfassen zudem funktionale Verbesserungen. Hinzugefügt wurden die Exportfunktion für Überprüfungsergebnisse riskanter Anwendungen in eine CSV-Datei, der Befehl „Invoke-SCuBADiff“ zum Vergleichen von zwei Prüfergebnissen (ScubaResults.json), eine Tabelle privilegierter Benutzer in Berichten sowie die Anzeige von Mandanten-Domänennamen in produktspezifischen Berichten. Die Überprüfung von Exchange Online wurde auf REST-Aufrufe umgestellt, und Graph-Sitzungen wurden auf Prozessebene begrenzt, um sicherzustellen, dass nach der Trennung der Verbindung zu einem Mandanten keine wiederverwendbaren Token verbleiben.

BOD 25-01: Cloud-Sicherheitskonfigurationen für Bundesbehörden verpflichtend vorgeschrieben

Die CISA hat am 17. Dezember 2024 die BOD 25-01 „Implementing Secure Practices for Cloud Services“ (Umsetzung sicherer Praktiken für Cloud-Dienste) erlassen. Laut CISA ist eine BOD eine auf Bundesrecht (44 U.S.C. § 3552(b)(1)) gestützte verbindliche Anweisung, die von Exekutivministerien und -behörden zum Schutz von Bundesinformationen und Informationssystemen befolgt werden muss.

Der Richtlinie zufolge gilt diese nicht für gesetzlich definierte „nationale Sicherheitssysteme“ oder bestimmte vom Verteidigungsministerium und den Geheimdiensten betriebene Systeme; ihr Geltungsbereich erstreckt sich auf Systeme der zivilen Bundesverwaltung (Federal Civilian Executive Branch, FCEB).

Zum Hintergrund des Erlasses von BOD 25-01 wurde festgestellt: „Böswillige Bedrohungsakteure nehmen zunehmend Cloud-Umgebungen ins Visier und haben hochentwickelte Methoden entwickelt, um sich ersten Zugang zu diesen zu verschaffen“, und „bei jüngsten Cybersicherheitsvorfällen hat die unzureichende Konfiguration von Sicherheitskontrollen in Cloud-Umgebungen erhebliche Risiken geschaffen und zu tatsächlichen Kompromittierungen geführt.“ Um diesen Bedrohungen zu begegnen, habe die CISA das SCuBA-Projekt ins Leben gerufen, in dessen Rahmen konsistente und handhabbare Konfigurations-Baselines für Cloud-Sicherheit und Prüftools entwickelt wurden.

Die Richtlinie verpflichtet die Behörden, die SCuBA-Sicherheitskonfigurations-Baselines umzusetzen, die von der CISA entwickelten automatisierten Prüftools bereitzustellen, eine Anbindung an die kontinuierlichen Überwachungssysteme der CISA vorzunehmen und Abweichungen von den Baselines zu beheben. Verbindliche Vorgaben gelten nur für Richtlinien, die in den Baseline-Dokumenten mit „muss“ (shall) gekennzeichnet sind; als „sollte“ (should) ausgewiesene Richtlinien liegen im Ermessen der Behörde. Baselines, die nicht innerhalb eines Jahres aktualisiert werden, fallen der Richtlinie zufolge automatisch aus dem Geltungsbereich und werden aus der Baseline-Liste gestrichen. Die Richtlinie verpflichtete die Bundesbehörden, bis zum 21. Februar 2025 ein Verzeichnis der betreffenden Cloud-Mandanten zu erstellen, bis zum 25. April 2025 die Prüftools der CISA bereitzustellen und bis zum 20. Juni 2025 die verbindlichen Richtlinien umzusetzen. Das Mandantenverzeichnis muss jährlich im ersten Quartal aktualisiert werden. Die Überprüfungsergebnisse müssen entweder über eine Integration mit den kontinuierlichen Überwachungslösungen der CISA automatisch gemeldet oder vierteljährlich direkt unter Verwendung der neuesten Tool-Version in einem von der CISA genehmigten maschinenlesbaren Format übermittelt werden.

Laut CISA wurde das SCuBA-Projekt im Jahr 2022 ins Leben gerufen, um Lücken bei der Cybersicherheit und Sichtbarkeit zu schließen, die durch Cyberangriffe und Kompromittierungen von Software-as-a-Service (SaaS) offengelegt worden waren. Das Hauptziel besteht im Schutz von Informationen der zivilen Bundesverwaltung in Cloud-Umgebungen, doch können alle Organisationen SCuBA zur Stärkung ihrer SaaS-Sicherheit nutzen. Beide Prüftools vergleichen die aktuellen M365- und GWS-Mandanteneinstellungen einer Organisation mit den Baselines der CISA und stellen Bereiche mit Verbesserungsbedarf in visuellen Berichten dar. Auf der SCuBA-Webseite hat die CISA zudem die „Hybrid Identity Solutions Guidance“ fertiggestellt und veröffentlicht, die Interoperabilitätsansätze und Herausforderungen zwischen lokalem (On-Premises) und Cloud-basiertem Identitätsmanagement behandelt. Die CISA stellt diese Prüftools auf der Webseite des SCuBA-Projekts kostenlos zur Verfügung. Die CISA empfahl Nutzern von Bundesbehörden, Cloud-Sicherheitsverantwortlichen, SLTT-Administratoren sowie der breiten Öffentlichkeit, die auf eine sichere digitale Infrastruktur angewiesen ist, die aktualisierten Prüftools herunterzuladen und die Baselines umzusetzen. Anfragen sowie Rückmeldungen zur Verbesserung der Umsetzungsleitfäden oder der Prüftools nimmt das SCuBA-Team per E-Mail (scuba@cisa.dhs.gov) entgegen.

Quellen (KST)

• Blog der Cybersecurity and Infrastructure Security Agency (CISA), „CISA Publishes Significant Updates to ScubaGear and ScubaGoggles“ (27.10.2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Verbindliche operative Richtlinie der Cybersecurity and Infrastructure Security Agency (CISA), „BOD 25-01: Implementing Secure Practices for Cloud Services“ (17.12.2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Cybersecurity and Infrastructure Security Agency (CISA), „Secure Cloud Business Applications (SCuBA) Project“: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• CISA-GitHub-Versionshinweise, „ScubaGear v2.0.0“: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• CISA-GitHub-Versionshinweise, „ScubaGoggles v1.1.0“: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Offizieller X-Beitrag der Cybersecurity and Infrastructure Security Agency (CISA) (28.10.2026): https://x.com/CISAgov/status/2115414807931199727
• Offizieller X-Beitrag von CISA Cyber: https://x.com/CISACyber/status/2115069767019077977