Der Patch ist seit dem 11. August verfügbar. Drei Wochen später stehen laut Auswertungen aus dem Netz noch immer knapp 22.000 Exchange-Server ungeschützt im Internet. Und seit Kurzem gibt es etwas, das die Lage kippen lässt: funktionierenden Exploit-Code, öffentlich für jeden abrufbar.
WORUM ES GEHT: CVE-2026-62911
Die Lücke trägt die Kennung CVE-2026-62911 und ist mit einem CVSS-Wert von 8,0 bewertet. Microsoft beschreibt sie als „Authentication Bypass by Capture-Replay“ — auf Deutsch: Ein Angreifer fängt einen gültigen Anmeldevorgang ab und spielt ihn erneut ein, um sich damit höhere Rechte zu verschaffen.
Das ist eine unangenehme Klasse von Fehlern, weil dabei nichts geknackt werden muss. Es wird kein Passwort erraten und keine Verschlüsselung gebrochen. Es wird nur etwas wiederholt, das der Server bereits einmal akzeptiert hat.
WER BETROFFEN IST
Auf der Liste stehen Exchange Server 2016, Exchange Server 2019 und die Exchange Server Subscription Edition. Also die selbst betriebenen Installationen — jene Server, die in Firmenkellern, in Rechenzentren und bei manchem ambitionierten Selbsthoster ihren Dienst tun.
Wer seine Mails über Exchange Online bezieht, muss hier nichts tun. Wer den Server selbst betreibt, sehr wohl.
DAS SCHADENSBILD: KOMPLETTE POSTFACH-ÜBERNAHME
Gelingt der Angriff, steht dem Eindringling nicht ein einzelnes Konto offen, sondern die Postfächer aller Nutzer. Er kann Mails lesen. Er kann Anhänge herunterladen. Und er kann in fremdem Namen Nachrichten verschicken.
Der letzte Punkt ist der, der in der Praxis am meisten Schaden anrichtet. Eine Rechnung mit geänderter Kontonummer, verschickt von der echten Adresse der Buchhaltung, geht durch jeden Spamfilter und an jedem Bauchgefühl vorbei. Genau deshalb sind Mailserver ein so beliebtes Ziel: Sie sind nicht nur ein Datenspeicher, sondern eine Vertrauensmaschine.
WARUM JETZT DIE UHR TICKT
Solange eine Lücke nur als Beschreibung existiert, ist der Kreis der Angreifer klein — es braucht Fachwissen, um daraus einen funktionierenden Angriff zu bauen. Mit öffentlichem Proof-of-Concept-Code fällt genau diese Hürde weg.
Ab diesem Moment ist es kein Spezialistenthema mehr, sondern eine Frage von Scans über breite IP-Bereiche. Und ein Exchange-Server im Internet ist naturgemäß leicht zu finden — er muss ja erreichbar sein, sonst käme keine Mail an.
SO GEHST DU JETZT VOR
Schritt 1 — Patchstand prüfen. Schau nach, ob das Sicherheitsupdate vom 11. August 2026 installiert ist. Fehlt es, ist dein Server verwundbar. Punkt.
Schritt 2 — Update einspielen und neu starten. Kein Wartungsfenster in vier Wochen. Bei öffentlich verfügbarem Exploit-Code ist das eine Aufgabe für heute.
Schritt 3 — rückwärts schauen. Nach dem Patch die Anmelde- und Zugriffsprotokolle der letzten Wochen durchgehen. Auffällig sind Zugriffe zu ungewöhnlichen Zeiten, aus unerwarteten Ländern oder auf Postfächer, die sonst nie angefasst werden.
Schritt 4 — Weiterleitungsregeln kontrollieren. Ein Klassiker nach Postfach-Übernahmen: Der Angreifer richtet eine stille Weiterleitung ein und liest danach mit, auch wenn du längst gepatcht hast. Prüfe die Regeln in den wichtigsten Postfächern von Hand.
EXTRA-TIPP FÜR KLEINE UMGEBUNGEN
Wenn du einen Exchange-Server nur noch aus historischen Gründen betreibst, ist das ein guter Moment für eine ehrliche Frage: Brauchst du ihn wirklich? Ein selbst betriebener Mailserver bedeutet, dass du bei jedem Patchday zuständig bist — und dass eine verpasste Runde reicht, damit dein Server auf einer Liste wie dieser landet.
FAZIT: DREI WOCHEN SIND ZU LANG
Der Patch war früh da. Dass drei Wochen später noch immer eine fünfstellige Zahl an Servern offensteht, hat wenig mit Technik zu tun und viel mit Wartungsfenstern, Zuständigkeiten und der Hoffnung, dass es schon niemanden interessieren wird. Diese Hoffnung ist mit dem öffentlichen Exploit-Code endgültig abgelaufen.