Microsoft hat mit 722 Sicherheitsupdates einen neuen Rekord aufgestellt – und die Behörden reagieren mit strengen Fristen.
Kritische SharePoint-Lücke: CISA setzt Ultimatum
Die US-Sicherheitsbehörde CISA hat für Bundesbehörden eine Frist bis zum 19. Juli 2026 gesetzt, um eine kritische Schwachstelle in Microsoft SharePoint zu schließen. Die als CVE-2026-58644 identifizierte Lücke erreicht mit einem CVSS-Score von 9,8 die höchste Risikostufe. Angreifer können ohne Authentifizierung beliebigen Code ausführen.
Der Rekord-Patchday am 14. Juli brachte zudem Korrekturen für zwei Zero-Day-Lücken: CVE-2026-56155 in den Active Directory Federation Services (ADFS) und CVE-2026-56164, die Rechteausweitungen in SharePoint ermöglicht. Sicherheitsforscher beobachten vermehrt komplexe Angriffsketten, die Authentifizierungsumgehungen mit Code-Ausführung kombinieren – mit dem Ziel, Webshells auf betroffenen Systemen zu installieren. Neben der aktuellen Subscription Edition sind auch SharePoint Server 2016 und 2019 verwundbar.
Parallel dazu endete am 14. Juli der Support für mehrere Legacy-Produkte: SharePoint Server 2016, SharePoint Server 2019 und SQL Server 2016 erhalten keine Sicherheitsupdates mehr. Unternehmen, die noch auf diesen Versionen laufen, sollten dringend migrieren.
Compliance und Identitätsmanagement: Neue Leitfäden
Am 18. Juli veröffentlichte Microsoft einen detaillierten Leitfaden für HIPAA-konforme Microsoft-365-Umgebungen. Das Gesundheitsdatenschutzgesetz stellt hohe Anforderungen – Microsoft stellt zwar kostenlos eine Business Associate Agreement (BAA) für E3- und E5-Lizenzen zur Verfügung, doch die vollständige Compliance erfordert eine mehrstufige Konfiguration mit Identitätskontrollen und Audit-Logs.
Die Kosten sind nicht trivial: Die E5-Lizenz liegt bei umgerechnet rund 50 Euro pro Nutzer und Monat, die E3-Lizenz bei etwa 32 Euro – benötigt aber oft Zusatzmodule für den vollen Funktionsumfang.
Für die Identitätsverwaltung gibt es seit dem 19. Juli neue technische Dokumentation zur Einrichtung von Single Sign-On (SSO) mit CyberArk. Der Prozess umfasst die Registrierung von Azure-Anwendungen und die Domänenföderation per PowerShell. Dies reiht sich ein in Microsofts konsequente Sicherheitsstrategie: Seit Oktober 2024 ist die mehrstufige Authentifizierung (MFA) für Azure Pflicht, die Abschaltung der Basisauthentifizierung erfolgte bereits im Oktober 2023.
Angesichts der komplexen Anforderungen an Identitätsmanagement und Compliance in Cloud-Umgebungen stehen IT-Verantwortliche vor großen Herausforderungen. Das kostenlose E-Book zu aktuellen Cyber-Security-Trends zeigt Ihnen, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen proaktiv erfüllen. IT-Sicherheit stärken und Unternehmen schützen
Neue Richtlinien für Windows 365 und Azure Virtual Desktop (AVD) verlangen zudem Entra-ID-Lizenzen der Stufe P1 oder P2 für Conditional Access. Experten betonen: MFA sollte auf spezifische Anwendungs-IDs für AVD und Windows Cloud Login abzielen. Die Geräte-Compliance-Prüfung bezieht sich in der Regel auf das Zugriffsgerät, nicht auf die Cloud-PC-Instanz selbst.
Neue Angriffswellen: Phishing und Datendiebstahl
Sicherheitsfirmen haben neue Methoden offengelegt, mit denen Angreifer die legitime Microsoft-365-Infrastruktur missbrauchen. Eine am 18. Juli aufgedeckte Phishing-Kampagne nutzt kompromittierte Mandanten, um Organisationsanzeigenamen zu manipulieren. Die Betrüger schleusen Phishing-Links direkt in legitime Microsoft-Rechnungs-E-Mails ein – und umgehen damit zuverlässig Standard-Sicherheitsprotokolle wie SPF, DKIM und DMARC.
Parallel warnt Microsoft vor einer Welle von ACR-Stealer-Angriffen zwischen Ende April und Mitte Juni 2026. Die Schadsoftware, vermutlich eine Neuauflage des Amatera-Stealers, zielt auf Browser-Passwörter, Authentifizierungstoken und Dokumente in OneDrive und SharePoint ab. Besonders tückisch: Der Schädling nutzt Blockchain-Technologie für die Kommunikation mit dem Kommando-Server, was herkömmliche Filter nahezu wirkungslos macht.
Da Hacker zunehmend psychologische Manipulationstaktiken nutzen, um selbst modernste Schutzprotokolle zu umgehen, wird die Mitarbeiter-Awareness zum entscheidenden Sicherheitsfaktor. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie Sie Phishing-Angriffe in vier Schritten effektiv stoppen. Anti-Phishing-Paket für Unternehmen kostenlos herunterladen
Plattform-Updates und Systempflege
Microsoft bereitet die Power-Platform-Welle 2 für 2026 vor. Die Veröffentlichungspläne erscheinen am 16. September, der gestaffelte Rollout beginnt zwei Tage später. Europäische Nutzer müssen sich allerdings gedulden: Nordamerika erhält die Updates voraussichtlich zwischen dem 16. und 19. Oktober.
Am 18. Juli behob Microsoft zudem ein Synchronisationsproblem mit Windows Server Update Services (WSUS). Die Störung, die nach den Juli-Updates auftrat, wurde durch angestaute Veröffentlichungsmetadaten verursacht. Eine Vorsorgemaßnahme verhindert neue Probleme, an einer Lösung für bereits betroffene Server wird noch gearbeitet.
Weitere wichtige Termine: Der OneDrive-Sync-Support für Windows-10-Versionen älter als 22H2 endet am 15. August 2026. Und die Outlook-Meeting-Insights werden Anfang September 2026 eingestellt. IT-Verantwortliche sollten diese Deadlines im Kalender markieren – die nächsten Wochen versprechen kaum Verschnaufpause.
