Die Cybersicherheit von Unternehmen steht vor einer neuen Herausforderung durch eine gravierende Schwachstelle in Microsoft Exchange-Servern. Wie aktuelle Daten der Shadowserver Foundation zeigen, sind weltweit 21.899 Server über das Internet erreichbar, die nicht gegen die Sicherheitslücke CVE-2026-62911 abgesichert wurden. Besonders stark betroffen sind Infrastrukturen in den USA und in Deutschland.
Massive Sicherheitslücken in deutschen IT-Infrastrukturen
Die regionale Verteilung der verwundbaren Systeme verdeutlicht das Ausmaß der Bedrohung. Laut der Shadowserver Foundation entfallen 6.200 der identifizierten, ungepatchten Server auf die USA. Deutschland folgt mit 5.100 exponierten Systemen an zweiter Stelle der weltweiten Statistik.
Bereits Ende August hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf eine kritische Lage im Inland hingewiesen. Nach Einschätzung der Behörde waren zu diesem Zeitpunkt rund 85 % der in Deutschland über das Internet erreichbaren Exchange-On-Premise-Server ungepatcht. Dies entspreche einer Gesamtzahl von etwa 24.000 betroffenen Systemen.
Das BSI warnte explizit davor, dass für die Schwachstelle bereits Exploit-Code öffentlich verfügbar ist, was die Gefahr für Unternehmen massiv erhöht.
Technischer Hintergrund und Verfügbarkeit von Exploits
Die als hochriskant eingestufte Schwachstelle CVE-2026-62911 ermöglicht es Angreifern, Authentifizierungsmechanismen zu umgehen. Dies kann zur vollständigen Übernahme von Benutzer-Mailboxen führen.
Microsoft hatte bereits am 11. August 2026 Sicherheitsupdates veröffentlicht, um diese Lücke zu schließen. Betroffen sind die Versionen Exchange Server 2016 CU23, Exchange Server 2019 CU14 und CU15 sowie die Exchange Server Subscription Edition (SE) RTM.
Angesichts der dramatisch steigenden Zahl von Cyberangriffen müssen Unternehmen ihre IT-Infrastruktur heute proaktiver schützen denn je. Dieses kostenlose E-Book liefert fundierte Strategien, wie Sie Sicherheitslücken schließen und Ihre Firma ohne hohe Investitionen absichern. Gratis-E-Book: Cyber-Security für Unternehmen jetzt herunterladen
Trotz der Verfügbarkeit von Korrekturmaßnahmen hat sich das Bedrohungsszenario in den letzten Tagen verschärft. Der Sicherheitsforscher Nguyen Van Hiep veröffentlichte Ende August einen öffentlichen Proof-of-Concept (PoC) auf der Plattform GitHub. Dieser demonstriert, wie ein NTLM-Relay zum MRSProxy-Dienst genutzt werden kann, um eine Remote-Code-Execution (RCE) mit System-Rechten zu erzwingen. Auch das NCSC-NL bestätigte die Verfügbarkeit von funktionsfähigem Exploit-Code.
Die Gefährlichkeit der Angriffskette wurde zudem im Rahmen des Wettbewerbs Pwn2Own Berlin 2026 unter Beweis gestellt. Dort wurde die Ausnutzung der Schwachstelle erfolgreich demonstriert, was den beteiligten Sicherheitsforschern eine Prämie in Höhe von 200.000 US-Dollar einbrachte.
Eingeschränkter Support und Handlungsbedarf
Die Dringlichkeit von Updates wird durch den Lebenszyklus der betroffenen Software unterstrichen. Microsoft Exchange Server 2016 hat bereits im Oktober 2025 das Ende seines offiziellen Lebenszyklus (End of Life) erreicht. Für die Versionen 2016 und 2019 wird Unterstützung in Form von Sicherheitsaktualisierungen laut Microsoft nur noch bis Ende Oktober 2026 angeboten, sofern Kunden über kostenpflichtige Extended Security Updates (ESU) verfügen.
Wer sich mit der Absicherung kritischer Systeme befasst, muss auch die neuesten gesetzlichen Anforderungen und KI-Risiken im Blick behalten. Ein neuer Gratis-Report klärt darüber auf, welche rechtlichen Pflichten und technischen Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Report zu neuen Cyberrisiken anfordern
Experten raten Administratoren dringend dazu, die installierten Exchange-Versionen umgehend auf den neuesten Patch-Stand zu bringen. Da die Schwachstelle aktiv für Angriffe genutzt werden kann und automatisierte Werkzeuge zur Ausnutzung bereitstehen, stellt jedes ungepatchte System ein erhebliches Risiko für die Integrität der Unternehmensdaten dar.
Insbesondere die Kombination aus NTLM-Relay und dem Zugriff auf privilegierte Dienste macht die Lücke zu einem bevorzugten Ziel für Ransomware-Gruppen und staatliche Akteure.
