85 Prozent der deutschen Exchange-Server offen

Der Patch, der sich wie das Ende der Aufgabe anfühlte

Ein IT-Verantwortlicher bei einem mittelständischen deutschen Logistikunternehmen spielte Microsofts August-Sicherheitsupdate in der Woche seines Erscheinens auf den eigenen On-Premises-Exchange-Server ein, schloss das Ticket und wandte sich der nächsten Aufgabe zu. Genau dieser Instinkt, dass einmaliges Patchen das Risiko erledigt, widerspricht den Zahlen, die diese Woche veröffentlicht wurden. Am 31. August 2026, drei volle Wochen nachdem Microsoft CVE-2026-62911 offengelegt und einen Fix ausgeliefert hatte, zählte die Sicherheitsforschungsgruppe Shadowserver weltweit 21.899 aus dem Internet erreichbare Exchange-Server, die noch immer den anfälligen Code ausführten.

Der IT-Verantwortliche in diesem Beispiel hat gepatcht. Das Problem waren nie Menschen wie er. Es sind die Zehntausenden Server, die niemand gepatcht hat, und die Tatsache, dass sein eigener gepatchter Server im selben Internet steht wie jeder einzelne davon.

Was CVE-2026-62911 tatsächlich bewirkt

CVE-2026-62911 ist eine Authentifizierungsumgehung durch Capture-Replay, geführt unter CWE-294, mit einem CVSS-Wert von 8.0. Microsoft legte die Schwachstelle am 11. August 2026 offen und beschrieb, dass ein Angreifer, der Authentifizierungsverkehr abfangen und erneut abspielen kann, einen legitimen Exchange-Benutzer imitieren und Rechte auf dem Server ausweiten kann. Microsoft lieferte am selben Tag einen Patch aus, an dem die Schwachstelle offengelegt wurde. Das niederländische nationale Cybersicherheitszentrum NCSC-NL meldete in der folgenden Woche, dass bereits öffentlicher Exploit-Code für die Schwachstelle im Umlauf sei, was die letzte praktische Ausrede beseitigt, dies als Update mit niedriger Dringlichkeit zu behandeln.

Die Exposition in Zahlen

Shadowserver führt inzwischen einen täglichen, internetweiten Scan durch und veröffentlicht einen Vulnerable Exchange Server Report, eigens damit nationale Computer-Notfallteams ungepatchte Systeme in ihrem eigenen Zuständigkeitsbereich verfolgen können. Die Zählung vom 31. August 2026 gliedert sich wie folgt:

Deutschlands Zahl ist kein Rundungsfehler. Es ist drei Wochen nach Erscheinen des Patches die zweithöchste nationale Exposition weltweit.

Warum Deutschlands Zahl es wert ist, dabei zu verweilen

Das deutsche Bundesamt für Sicherheit in der Informationstechnik, das BSI, nannte eine eigene Zahl zu demselben Problem: rund 85 Prozent der deutschen On-Premises-Exchange-Server seien weiterhin anfällig für CVE-2026-62911. Das sind nicht 85 Prozent zufällig deutscher Server, sondern 85 Prozent der gesamten deutschen On-Premises-Exchange-Flotte, die noch ausnutzbaren Code ausführt, und die Zahl stammt von der eigenen deutschen Sicherheitsbehörde. Für jede Organisation, die den NIS2-Melde- und Sorgfaltspflichten unterliegt, ist ein Exchange-Server, der über einen seit drei Wochen öffentlichen Patch kompromittiert wird, ein schwieriges Gespräch mit einer Aufsichtsbehörde, denn das Argument, die Schwachstelle sei unbekannt oder ungepatcht unvermeidbar gewesen, greift hier nicht. Der Patch existiert. Der Großteil der Flotte hat ihn nicht installiert.

Was Sie prüfen sollten, bevor Sie diesen Tab schließen

Eine Organisation, die Exchange On-Premises betreibt, sollte dies als Prüfung für denselben Tag behandeln, nicht als Rückstandsposten: bestätigen Sie, dass das Sicherheitsupdate vom 11. August 2026 auf jedem einzelnen On-Premises-Exchange-Server installiert ist, nicht nur auf denen, die laut Änderungsprotokoll angefasst wurden, denn genau in Umgebungen mit mehreren Servern übersieht ein Patch still und leise einen einzelnen Rechner. Wo das Update nicht sofort eingespielt werden kann, beschränken Sie in der Zwischenzeit den externen Zugriff auf Exchange-Verwaltungsschnittstellen und überwachen Sie Authentifizierungsprotokolle auf Anomalien im Replay-Stil. Und behandeln Sie Shadowservers fortlaufende tägliche Zählung, nicht die Schlagzeile dieser Woche, als das, was Sie nächsten Monat erneut prüfen sollten, denn eine derart hohe Zahl drei Wochen nach Erscheinen des Patches korrigiert sich nicht von allein.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.

Weiterlesen: Gunra-Ransomware Nutzt Fortinet-Lücken von 2025  |  Ihre älteren Macs brauchten sieben Anläufe