Exchange – 85 Prozent der deutschen Server sind offen
Rund 85 Prozent der in Deutschland betriebenen On-Premises-Exchange-Server waren zuletzt für eine Schwachstelle anfällig, die Angreifern aus dem Internet ohne Anmeldung die Kontrolle über alle Postfächer ermöglicht. Den Patch gibt es seit dem 11. August. Er ist nur nicht überall eingespielt.
Was tatsächlich passiert ist
Die Schwachstelle trägt die Kennung CVE-2026-62911 und ist eine Authentifizierungsumgehung per Capture-Replay. Sie betrifft Microsoft Exchange Server 2016, Exchange Server 2019 und die Subscription Edition; Exchange Online ist nicht betroffen. Microsoft hat sie mit dem August-Patchday am 11. August 2026 geschlossen und stuft sie mit einem CVSS-Wert von 8,0 als kritisch ein. Für die Lücke existiert inzwischen öffentlich verfügbarer Exploit-Code, der ohne Anmeldedaten auskommt — ein erfolgreicher Angreifer erlangt damit die Kontrolle über jedes Postfach auf dem Server.
Das Bundesamt für Sicherheit in der Informationstechnik hat Ende August über sein CERT-Bund die Zahl verbreitet, die aufhorchen lässt: rund 85 Prozent der deutschen On-Premises-Exchange-Server waren weiterhin anfällig. Der Dienst Shadowserver, der seit dem 27. August gezielt nach verwundbaren Systemen scannt, meldete 21.899 aus dem Internet erreichbare ungepatchte Server, davon etwa 5.100 in Deutschland und rund 6.200 in den USA. Seit dem 14. August informiert das BSI deutsche Netzbetreiber über verwundbare Systeme in ihren Netzen. Erschwerend kommt hinzu: Exchange Server 2016 und 2019 sind seit Oktober 2025 ohne regulären Support; Sicherheitsupdates gibt es nur über das kostenpflichtige Extended-Security-Updates-Programm. Nach BSI-Angaben waren in Deutschland nur neun Exchange-Server dieser Versionen bekannt, auf denen ein ESU-Patch installiert war. Für viele Häuser ist das damit keine Patch-, sondern eine Migrationsaufgabe. Die Empfehlung des BSI: das August-Update einspielen und den Zugriff auf die webbasierten Exchange-Dienste aus dem Internet auf vertrauenswürdige IP-Bereiche beschränken oder über ein VPN absichern.
Meine Einordnung
Die 85 Prozent sind kein Betriebsunfall, sondern ein Muster. Exchange läuft in vielen mittelständischen Häusern auf einem Server, den alle nutzen und niemand pflegt, im Keller, im alten Rechenzentrum oder in einer virtuellen Maschine, an die sich noch der damalige Dienstleister erinnert. Mail ist die kritischste Anwendung im Haus: Wer das Postfach übernimmt, kann Rechnungen umleiten, Absender fälschen und an alles herankommen, was je per Mail geteilt wurde. Dass dieser Server oft offen im Internet steht, ist schwer zu erklären, aber leicht auszunutzen. Als ich für eine Behörde mit rund 1.500 Mitarbeitenden als CISO verantwortlich war, gehörte die Frage „Was hängt eigentlich von außen erreichbar im Netz?" zu den unangenehmsten und produktivsten Aufgaben überhaupt.
Ein zweiter Punkt wiegt schwerer als die Zahl. Bei 2016 und 2019 führt die naheliegende Empfehlung ins Leere: Es gibt keinen regulären Patch mehr. Wer das nicht wusste, hat nicht versäumt zu patchen, sondern versäumt, die Migration zu planen. Genau da liegt das eigentliche Risiko. Ein System am Support-Ende ist keine undichte Stelle, die man zuklebt, sondern eine offene Baustelle, die man betreiben muss. Meine Erfahrung mit Betrieben im Raum Fürstenfeldbruck und Augsburg: Solange die Mail läuft, gibt es keinen Anlass, sich zu bewegen. Den Anlass liefert dann der Vorfall.
Und ein dritter Punkt, bei dem ich widerspreche: „Wir sind zu klein, um interessant zu sein." Angreifer scannen nicht nach Firmengröße, sondern nach Versionen. Ein ungepatchter Server ist ein ungepatchter Server.
Was Sie jetzt konkret tun können
1. Stellen Sie die Exchange-Version und den Build-Stand fest und vergleichen Sie mit den sicherheitsgepatchten Ständen des August-Update-Zyklus.
2. Spielen Sie das Sicherheitsupdate ein — für die Subscription Edition das zugehörige Sicherheitsupdate, für 2016 und 2019 über ESU.
3. Beschränken Sie den Internetzugriff auf Exchange-Webdienste auf vertrauenswürdige Adressen oder ein VPN und schalten Sie MFA sowie moderne Authentifizierung scharf.
4. Betreiben Sie 2016 oder 2019 ohne ESU, setzen Sie ein Migrationsprojekt auf. Details zum Vorgehen finden Sie unter IT-Security.
5. Üben Sie den Ernstfall: Wer bemerkt ein übernommenes Postfach, wer sperrt es, wen informiert man? Über die Begleitung solcher Vorhaben gibt Leistungen einen Überblick.
Quellen
- Handwerkskammer Stuttgart, „Microsoft Exchange: Kritische Sicherheitslücke entdeckt", 07.09.2026 — https://www.hwk-stuttgart.de/artikel/it-sicherheit-aktuelle-warnmeldungen-im-ueberblick-67,0,2944.html
- phinit.de, „Exchange Server 2016 – SE: 85 Prozent in Deutschland ungepatcht", 05.09.2026 — https://phinit.de/2026/09/05/exchange-server-2016-se-85-prozent-ungepatcht
- BleepingComputer, „Nearly 22,000 Microsoft Exchange servers vulnerable to hijack attacks", September 2026 — https://www.bleepingcomputer.com/news/security/nearly-22-000-microsoft-exchange-servers-vulnerable-to-hijack-attacks/
Häufige Fragen
Betrifft die Lücke auch Exchange Online?
Nein. Betroffen sind lokal betriebene Server von Exchange 2016, 2019 und der Subscription Edition. Cloud-Postfächer in Exchange Online sind nicht betroffen.
Reicht es, den Server vom Internet zu trennen?
Das ist eine sehr wirksame Sofortmaßnahme, wenn kein Patch verfügbar ist. Sie ersetzt aber nicht das Einspielen des Updates, denn aus dem internen Netz bleibt die Lücke ein Risiko.
Wir haben keinen Patch erhalten — was jetzt?
Für Exchange 2016 und 2019 gibt es regulär keine Updates mehr. Ohne Teilnahme am ESU-Programm bleibt vor allem die Beschränkung des Internetzugriffs auf vertrauenswürdige Quellen — und die schnellstmögliche Ablösung der Altversion.
Eigene Einordnung, keine Rechtsberatung. Quellen: Handwerkskammer Stuttgart, „IT-Sicherheit: Aktuelle Warnmeldungen im Überblick – Microsoft Exchange: Kritische Sicherheitslücke entdeckt", 07.09.2026 — https://www.hwk-stuttgart.de/artikel/it-sicherheit-aktuelle-warnmeldungen-im-ueberblick-67,0,2944.html · phinit.de, „Exchange Server 2016 – SE: 85 Prozent in Deutschland ungepatcht", 05.09.2026 — https://phinit.de/2026/09/05/exchange-server-2016-se-85-prozent-ungepatcht · BleepingComputer, „Nearly 22,000 Microsoft Exchange servers vulnerable to hijack attacks", September 2026 — https://www.bleepingcomputer.com/news/security/nearly-22-000-microsoft-exchange-servers-vulnerable-to-hijack-attacks/