Exchange-Sicherheitslücke: 85 Prozent der On-Prem-Server in Deutschland anfällig

Ein alarmierender Zustand der IT-Sicherheit

Die IT-Sicherheitslage in Deutschland ist durch eine kritische Schwachstelle in Microsoft Exchange-Servern massiv gefährdet. Kurz vor dem vergangenen Wochenende wurde ein sogenannter Proof-of-Concept-Exploit (PoC) veröffentlicht, der es Angreifern ermöglicht, die Kontrolle über verwundbare Systeme zu übernehmen. Diese Entwicklung ist besonders brisant, da sie als Teil einer Schwachstellenverkettung fungiert und somit die Hürden für Cyberkriminelle erheblich senkt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in diesem Zusammenhang alarmierende Zahlen vorgelegt: Rund 85 Prozent der in Deutschland betriebenen On-Premises-Exchange-Server sind nach aktuellem Stand für diese Sicherheitslücke anfällig. Da der Exploit nun öffentlich zugänglich ist, müssen IT-Verantwortliche und Netzbetreiber jederzeit mit gezielten Angriffen auf ihre Infrastrukturen rechnen. Die Situation stellt eine unmittelbare Bedrohung für die Integrität und Vertraulichkeit sensibler Daten dar, die auf diesen Servern gespeichert sind. Die IT-Sicherheitsbehörde sieht sich daher gezwungen, die Öffentlichkeit sowie die betroffenen Netzbetreiber eindringlich zu warnen und zu schnellem Handeln aufzufordern, um eine Welle von Kompromittierungen in deutschen Unternehmensnetzwerken zu verhindern.

Die technischen Details der Bedrohung

Im Zentrum der Gefahrenlage steht die Sicherheitslücke mit der Kennung CVE-2026-62911. Microsoft hatte bereits im August anlässlich des monatlichen Patchdays einen Softwareflicken veröffentlicht, um diese Schwachstelle zu schließen. Die technische Brisanz liegt darin, dass der nun veröffentlichte PoC-Exploit eine Übernahme der betroffenen Systeme direkt aus dem Internet erlaubt, ohne dass der Angreifer sich zuvor authentifizieren muss. Dies stellt ein Einfallstor dar, das keine legitimen Zugangsdaten erfordert. Das CERT-Bund, eine Abteilung des BSI, hat über die Plattform Mastodon bestätigt, dass die Mehrheit der deutschen Exchange-Installationen noch immer nicht gegen diese spezifische Schwachstelle abgesichert ist. Die Behörde hat bereits seit dem 14. August damit begonnen, deutsche Netzbetreiber proaktiv über die in ihren Netzen identifizierten verwundbaren Systeme zu informieren. Trotz dieser Benachrichtigungen bleibt die Quote der ungepatchten Server mit 85 Prozent auf einem besorgniserregend hohen Niveau. Die technische Analyse zeigt, dass die Lücke insbesondere bei der Nutzung von webbasierten Diensten eine kritische Angriffsfläche bietet, die im Rahmen einer Angriffskette ausgenutzt werden kann.

Der Weg zur aktuellen Sicherheitskrise

Die Vorgeschichte dieser Sicherheitslücke ist eng mit dem Patch-Management von Microsoft und den Support-Lebenszyklen der Software verbunden. Die Schwachstelle wurde bereits im August 2026 adressiert, doch die Implementierung der notwendigen Sicherheitsupdates in der deutschen Unternehmenslandschaft verläuft schleppend. Ein besonderes Problem stellt der Support-Status älterer Exchange-Versionen dar. Für die Versionen Exchange 2016 und 2019 endete der reguläre Support bereits im Oktober 2025. Dies bedeutet, dass für diese Systeme keine öffentlichen Sicherheitsupdates mehr bereitgestellt werden. Nutzer dieser Versionen sind auf das kostenpflichtige Extended-Security-Updates-Programm (ESU) angewiesen, um weiterhin kritische Patches zu erhalten. Die Datenlage verdeutlicht die Problematik: Ende Oktober 2025 waren etwa 92 Prozent der rund 33.000 On-Premises-Exchange-Server in Deutschland mit Versionen in Betrieb, die bereits aus dem Support gefallen waren. Viele dieser Server betreiben zudem OWA-Instanzen (Outlook Web App), die direkt aus dem Internet erreichbar sind und somit ein ideales Ziel für automatisierte Angriffe darstellen. Die aktuelle Situation ist somit das Ergebnis einer Kombination aus mangelnder Patch-Disziplin und dem Weiterbetrieb veralteter Software-Infrastrukturen.

Die Akteure und ihre Verantwortlichkeiten

Die betroffenen Akteure umfassen eine Vielzahl deutscher Unternehmen und Organisationen, die ihre E-Mail-Infrastruktur in eigener Verantwortung (On-Premises) betreiben. Auf der anderen Seite steht das BSI, insbesondere das CERT-Bund, das als zentrale IT-Sicherheitsbehörde die Aufgabe hat, vor Gefahren zu warnen und Betreiber zu unterstützen. Das BSI agiert hierbei als mahnende Instanz, die durch die Identifikation verwundbarer Systeme und die direkte Kommunikation mit Netzbetreibern versucht, den Schaden zu begrenzen. Microsoft als Hersteller trägt die Verantwortung für die Bereitstellung der Sicherheitsupdates, etwa in Form des Updates KB5121573 für Exchange SE. Die Netzbetreiber hingegen stehen in der Pflicht, diese Patches zeitnah zu installieren. Die Diskrepanz zwischen den verfügbaren Sicherheitslösungen und deren Anwendung ist eklatant. Das BSI weist beispielsweise darauf hin, dass ihnen aktuell nur neun Exchange-Server der Versionen 2016/2019 bekannt sind, auf denen die ESU-Patches korrekt installiert wurden. Diese Zahl unterstreicht die geringe Verbreitung notwendiger Sicherheitsmaßnahmen bei Systemen, die offiziell keinen regulären Support mehr genießen.

Einordnung der Sicherheitslage

Einzuordnen ist die aktuelle Lage als hochgradig kritisch für die deutsche digitale Infrastruktur. Dass 85 Prozent der betroffenen Server trotz einer seit August bekannten Schwachstelle weiterhin verwundbar sind, deutet auf erhebliche Defizite im Patch-Management hin. Den Berichten zufolge ist die Veröffentlichung des Proof-of-Concept-Exploits ein entscheidender Wendepunkt, da er die Schwelle für einen erfolgreichen Angriff massiv senkt. Während zuvor ein gewisses Maß an technischer Expertise für die Ausnutzung der Lücke erforderlich war, ist die Hürde nun so weit gesunken, dass Angriffe jederzeit und von einer breiteren Masse an Akteuren zu erwarten sind. Die Empfehlung des BSI, den Zugriff auf webbasierte Exchange-Dienste entweder auf vertrauenswürdige IP-Adressen zu beschränken oder zwingend über ein VPN abzusichern, ist als dringender Notbehelf zu verstehen. Dies zeigt, dass das BSI die Gefahr einer flächendeckenden Kompromittierung als realistisches Szenario einstuft. Die Abhängigkeit von veralteten Systemen, die ohne ESU-Programm betrieben werden, verschärft die Lage zusätzlich, da hier keine regulären Sicherheitsupdates mehr greifen.

Offene Fragen zur Bedrohungslage

Der aktuelle Kenntnisstand lässt einige kritische Fragen unbeantwortet, die für eine vollständige Risikobewertung von Bedeutung wären. Zunächst ist unklar, wie hoch die tatsächliche Gesamtzahl der derzeit betriebenen On-Premises-Exchange-Server in Deutschland exakt ist, da das BSI keine aktuelle Gesamtzahl nennt, sondern sich auf Daten vom Ende Oktober 2025 bezieht. Zudem bleibt offen, wie viele der verwundbaren Server tatsächlich aktiv aus dem Internet erreichbar sind, auch wenn das BSI auf die Gefahr der OWA-Instanzen hinweist. Eine weitere Lücke in der Informationslage betrifft die genaue Verteilung der verwundbaren Server auf verschiedene Branchen oder Unternehmensgrößen. Es ist nicht bekannt, ob bestimmte Sektoren besonders stark betroffen sind oder ob sich die Schwachstellen gleichmäßig über die deutsche Wirtschaft verteilen. Auch über die Anzahl der bereits erfolgreich kompromittierten Server liegen keine öffentlichen Informationen vor. Es bleibt zudem unklar, welche konkreten Gründe die Betreiber davon abhalten, die Sicherheitsupdates zeitnah einzuspielen, ob es sich um technische Inkompatibilitäten handelt oder um fehlende Ressourcen für die Wartung der IT-Systeme.

Ausblick und notwendige Schritte

Die nächsten Schritte für alle Betreiber von Microsoft Exchange-Servern sind zwingend vorgegeben. Das BSI fordert dazu auf, die bereitstehenden Aktualisierungen, insbesondere das Sicherheitsupdate KB5121573 für Exchange SE, umgehend anzuwenden. Für Betreiber von Exchange 2016 und 2019 ist die Situation dringlicher, da hier nur der Erwerb und die Installation des ESU-Programms den Schutz vor der Schwachstelle gewährleisten können. Da davon auszugehen ist, dass die Zahl der Angriffsversuche in den kommenden Tagen und Wochen aufgrund der öffentlichen Verfügbarkeit des Exploits signifikant ansteigen wird, ist eine sofortige Reaktion erforderlich. Netzbetreiber sollten zudem die Empfehlung zur Einschränkung der Internet-Zugriffe auf webbasierte Dienste als kurzfristige Schutzmaßnahme ernst nehmen. Ob das BSI in den kommenden Tagen weitere Warnungen herausgibt oder ob die Zahl der gepatchten Systeme durch den öffentlichen Druck schnell ansteigt, bleibt abzuwarten. Die IT-Sicherheitsbehörde wird die Lage weiterhin beobachten und die betroffenen Netzbetreiber gegebenenfalls erneut kontaktieren, um die Schließung der Sicherheitslücken voranzutreiben.