Microsoft Exchange CVE-2026-62911: 22.000 Server ungepatcht — öffentlicher Exploit kursiert

Marcus Chen Staff Engineer (Backend & Cloud), YuSMP Group · Infrastruktur- und Cloud-Sicherheit für US- und EU-Enterprise-Teams

Die kurze Antwort

Was passiert ist und warum es wichtig ist

Microsoft hat CVE-2026-62911 am 11. August 2026 offengelegt, an dem Tag, an dem Sicherheitsforscher, die sie entdeckt hatten, auf der Pwn2Own Berlin 2026 durch Trend Micros Zero Day Initiative präsentierten. Der Fix kam zwei Tage später mit dem Patch Tuesday, aber stand 31. August — drei volle Wochen nach dem Fix — sind fast 22.000 Server weiterhin exponiert. Diese Zahl stammt von Forschern, die das offene Internet nach Exchange-Instanzen abgesucht haben, die das kumulative Update noch nicht angewendet haben.

Was am 2. September die Risikorechnung veränderte, war die öffentliche Bestätigung durch das niederländische NCSC-NL, eines der technisch glaubwürdigsten nationalen Sicherheitszentren Europas. Ihre Empfehlung stellte fest, dass „ein funktionierender Exploit für die Schwachstelle nun online kursiert." Dies ist kein theoretisches Risikomodell oder Proof-of-Concept eines Forschers — es ist eine Regierungssicherheitsbehörde, die besagt, dass funktionaler Angriffscode für Angreifer verfügbar ist. In Kombination mit einer großen ungepatchten Angriffsfläche und der niedrigen Angriffskomplexität (die Schwachstelle erfordert nur Netzwerkzugang und ein niedrig privilegiertes bestehendes Konto, ohne Benutzerinteraktion) sind die Bedingungen für Massenausbeutung gegeben. Für Teams, die dies als normalen Patch-Tuesday-Rückstand behandelt haben, sollte sich diese Einschätzung auf Notfall-Patching verschieben.

Wie funktioniert der Capture-Replay-Angriff?

Die Schwachstelle liegt im MRSProxy-Endpunkt von Exchange Server, einer Komponente für die Postfachreplikation und -migration zwischen Exchange-Servern. Microsofts Architektur erfordert, dass dieser Endpunkt für Migrationsworkflows vom Netzwerk aus erreichbar ist — aber in den betroffenen Versionen setzt MRSProxy Extended Protection for Authentication (EPA) nicht durch, den Mechanismus, der ein NTLM-Authentifizierungstoken an einen bestimmten TLS-Kanal bindet und dessen Wiederverwendung in einer anderen Verbindung verhindert.

Ohne EPA kann ein Angreifer mit bestehendem niedrig privilegiertem Netzwerkzugang den NTLM-Authentifizierungsaustausch zwischen einem Exchange-Server und einem Domänencontroller abfangen und diese erfassten Anmeldeinformationen dann gegen Exchange relayieren, um das Maschinenkonto zu imitieren. Von dort aus, da Exchange-Server konstruktionsbedingt hochprivilegierten Zugang zu Active Directory und Benutzerpostfächern haben, gibt das relayierte Anmeldedatum dem Angreifer die Kontrolle über jedes Exchange-Postfach auf dem Server — Lese-, Schreib-, Sende- und Löschzugang ohne ein einziges Benutzerpasswort zu kennen.

Dies ist ein NTLM-Relay-Angriff in einer Kategorie, die Microsoft progressiv über sein Produktportfolio geschlossen hat, was genau der Grund ist, warum EPA existiert. Der praktische Schweregrad hier ist nicht theoretisch: Ein kompromittiertes Exchange-Maschinenkonto ist ein Active-Directory-Principal mit umfangreichen Delegationsrechten, und von Exchange aus kann ein Angreifer je nach Konfiguration der On-Premises-Umgebung auf andere Verzeichnisoperationen pivotieren. Dies ist dieselbe Klasse von lateralen Bewegungspfaden, vor denen Organisationen durch Frameworks wie Microsofts Enterprise Access Model und CISAs Zero-Trust-Leitlinien gewarnt wurden.

Wie exponiert ist die internetfähige Exchange-Population?

Forscher, die das öffentliche Internet stand 31. August 2026 abscannten, zählten 21.899 eindeutige IP-Adressen, die Exchange-Server-Instanzen hosten, die das kumulative Update vom 13. August noch nicht angewendet haben. Die geografische Verteilung ist ungleichmäßig: Die Vereinigten Staaten machen ungefähr 6.200 dieser Server aus, das einzelne größte nationale Cluster. Deutschland macht rund 5.100 aus und hat die höchste relative Exponierungsrate unter den großen Volkswirtschaften — geschätzte 85 % aller deutschen On-Premises-Exchange-Deployments laufen derzeit mit der verwundbaren Version.

Dies sind Server, die vom offenen Internet erreichbar sind — eine Teilmenge aller Exchange-Deployments. Interne Exchange-Instanzen sind schwieriger aus der Ferne auszunutzen (ein Angreifer muss bereits im Netzwerk sein, um das Capture-Relay durchzuführen), bleiben aber gegenüber Insider-Bedrohungen oder Angreifern gefährdet, die bereits durch einen anderen Vektor Fuß gefasst haben. Die öffentlich zugängliche Zahl von 22.000 bestimmt das unmittelbare, nicht authentifizierte Netzwerk-Risikoniveau.

Die Größe der ungepatchten Population drei Wochen nach dem Fix spiegelt ein gut dokumentiertes organisatorisches Muster wider: Große On-Premises-Exchange-Umgebungen erfordern sorgfältige Patch-Tests, Change-Management-Genehmigungszyklen und geplante Wartungsfenster, die das Patchen gegenüber Cloud-gehosteten E-Mails verlangsamen. Mit einem jetzt bestätigten öffentlichen Exploit müssen diese organisatorischen Prozesse beschleunigt oder ein kompensierendes Control eingerichtet werden — das Einschränken des MRSProxy-Zugangs auf das interne Netzwerk ist ein praktikabler kurzfristiger Schritt für Umgebungen, die nicht sofort patchen können.

Was das für US-, EU- und DACH-Softwareteams bedeutet

Die unmittelbare Botschaft ist klar: Jetzt patchen. Aber die tiefere geschäftliche Frage für jedes Team, das noch Exchange 2016 oder 2019 betreibt, ist diejenige, die diese Schwachstelle ans Licht bringt. Die Extended-Security-Update-(ESU)-Abdeckung für Exchange 2016 und 2019 endet im Oktober 2026. Nach diesem Datum erhalten Schwachstellen in diesen Versionen keine Sicherheits-Patches mehr, es sei denn, Microsoft macht eine außergewöhnliche Ausnahme — was keine Planungsannahme ist. Eine ungepatchte kritische Exchange-Schwachstelle nach dem ESU-Stichtag ist ein dauerhafter Zustand, keine vorübergehende Verzögerung.

Dies gibt Organisationen, die diese Versionen betreiben, einen definierten und sehr kurzfristigen Entscheidungspunkt: Upgrade auf Exchange Subscription Edition On-Premises oder Migration zu Exchange Online / Microsoft 365. Für viele Unternehmen ist der Cloud-Migrationsweg operativ einfacher und eliminiert die gesamte Kategorie der On-Premises-Server-Schwachstellen wie CVE-2026-62911. Für Teams in regulierten Branchen kann es auch die Compliance vereinfachen: Microsoft 365s Compliance-Haltung trägt SOC-2-Typ-II-, ISO-27001- und HIPAA-Attestierungen, für die ein On-Premises-Deployment separat auditiert werden muss.

Mit rund 5.100 ungepatchten Exchange-Servern und einer geschätzten Betroffenenquote von 85 % aller deutschen On-Premises-Deployments ist der DACH-Raum besonders exponiert. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) stuft ungepatchte kritische Exchange-Schwachstellen routinemäßig als erhöhtes Cyber-Risiko für kritische Infrastruktur ein. Hinzu kommt: Die NIS-2-Umsetzungsgesetz-Pflichten gelten seit Oktober 2024 für wesentliche und wichtige Einrichtungen in Deutschland — eine erfolgreiche Ausnutzung von CVE-2026-62911 kann meldepflichtig nach § 30 BSIG sein. Für Finanzdienstleister im DACH-Raum greift zusätzlich DORA (ab Januar 2025), das ICT-Vorfälle mit signifikantem Auswirkungspotenzial innerhalb von 4 Stunden an die BaFin meldepflichtig macht.

Aus Compliance-Sicht sollten europäische Organisationen beachten, dass eine erfolgreiche Ausnutzung von CVE-2026-62911 einem Angreifer Zugang zum vollständigen Inhalt von Unternehmenspostfächern verschafft — die mit großer Wahrscheinlichkeit personenbezogene Daten von EU-Bürgern enthalten, was die 72-Stunden-Meldepflicht gemäß DSGVO Artikel 33 an die zuständige Aufsichtsbehörde bei unbefugtem Zugriff auslöst. Für FinTech-Unternehmen unter DORA kann ein Exchange-basierter Sicherheitsvorfall, der die Geschäftskommunikationsinfrastruktur betrifft, auch als IKT-Vorfall meldepflichtig sein. Die Compliance-Uhr beginnt mit der Entdeckung, nicht mit bestätigter Exfiltration — daher ist ein getestetes Incident-Response-Verfahren für Ihre Exchange-Umgebung jetzt entscheidend.

Das breitere Muster ist ebenfalls erwähnenswert: NTLM-Relay-Schwachstellen in Microsoft-Infrastruktur sind eine anhaltende Angriffskategorie. Microsoft hat EPA-Durchsetzung progressiv über Produkte eingeführt, um diese Angriffsfamilie zu eliminieren, aber der On-Premises-Exchange-Bestand ist langsam beim Patchen und insgesamt groß. Jede Organisation mit On-Premises-Exchange sollte ihre Microsoft-NTLM/Kerberos-Hygiene — erzwungene EPA, SMB-Signing, LDAP-Signing, Protected-Users-Gruppe, gestaffelte Admin-Architektur — als laufende Investition behandeln, nicht als einmalig erledigtes Kontrollkästchen.

Was diese Woche zu tun ist

1. Sofort patchen. Spielen Sie das kumulative Update des Patch Tuesday vom 13. August 2026 auf jeden Exchange-2016-CU23-, 2019-CU14/CU15- und SE-RTM-Server ein. Dies ist der einzige vollständige Fix.
2. Wenn Sie nicht sofort patchen können, schränken Sie MRSProxy ein. Blockieren Sie den externen Zugang zum MRSProxy-Endpunkt an Ihrem Netzwerkperimeter; verschieben Sie ihn auf internalonly-Zugang. Dies behebt die Schwachstelle nicht, beseitigt aber die primäre Remote-Exploit-Oberfläche.
3. Authentifizierungsprotokolle überprüfen. Suchen Sie in Exchange- und Domänencontroller-Protokollen nach anomalen NTLM-Relay-Mustern, ungewöhnlichen Privilegieneskalationen oder unerwarteten Postfachzugangsereignissen seit dem 11. August. Wenn Sie Anzeichen früherer Ausbeutung finden, eskalieren Sie sofort zur Incident Response und beginnen Sie die Meldepflichtbewertung gemäß DSGVO (72h) und allen anwendbaren Regeln — insbesondere NIS-2 (§ 30 BSIG) und DORA für Finanzdienstleister.
4. Extended Protection for Authentication in Exchange aktivieren. Auch nach dem Patchen erschwert die websiteweite Aktivierung von EPA die Relay-Angriffskategorie strukturell. Microsofts Leitlinien zu EPA für Exchange finden sich in der August-Empfehlung.
5. Einen festen Entscheidungstermin für Exchange-2016/2019-Ruhestand setzen. Der ESU-End-of-Life Oktober 2026 ist kein Gerücht — es ist eine veröffentlichte Microsoft-Frist. Wenn Sie noch auf diesen Versionen sind, brauchen Sie einen im September abgeschlossenen Migrationsplan und eine Ausführung spätestens im Oktober. Aufschub bedeutet dauerhaft ungepatchte Infrastruktur zu akzeptieren.
6. Eine Sicherheitsbewertung Ihrer Exchange-Umgebung erwägen. Wenn Ihre Exchange-Bereitstellung seit dem 11. August internetfähig war und Sie noch nicht gepatcht haben, ist eine Kompromissbeurteilung angebracht, bevor Sie die Umgebung zur vollständigen Produktionsvertrauenswürdigkeit zurückkehren.

Häufig gestellte Fragen

Quellen

Help Net Security — Nearly 22,000 Microsoft Exchange servers remain exposed to critical security flaw (CVE-2026-62911)
BleepingComputer — Nearly 22,000 Microsoft Exchange servers vulnerable to hijack attacks
Microsoft Security Response Center — CVE-2026-62911 Exchange Server Elevation of Privilege Vulnerability
SentinelOne Vulnerability Database — CVE-2026-62911