Azure Portal: Schwachstelle erlaubt anonymen Informationsabfluss — was Administratoren jetzt tun sollten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat über das CERT-Bund eine Hochrisikowarnung für Microsoft Azure Portal herausgegeben: Eine neu entdeckte Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, Informationen offenzulegen. Dass kein Login erforderlich ist, macht diese Lücke besonders ernst.

Azure Portal ist die zentrale Verwaltungsoberfläche für die meisten Azure-Umgebungen — von dort aus werden virtuelle Maschinen, Netzwerkkonfigurationen, IAM-Richtlinien und Zugangsdaten zu Diensten verwaltet. Eine Schwachstelle genau hier, die anonymen Fernzugriff auf Informationen erlaubt, ist kein akademisches Risiko: Das Angriffsszenario ist denkbar einfach, und der mögliche Erkenntnisgewinn für einen Angreifer kann für Folgeangriffe entscheidend sein.

Was ist bekannt?

Das CERT-Bund stuft die Schwachstelle als „hoch“ ein (Meldung WID-SEC-2026-2535). Beschrieben wird, dass ein entfernter, anonymer Angreifer — also ohne Authentifizierung, ohne kompromittiertes Konto — die Lücke ausnutzen kann, um Informationen offenzulegen. Welche Informationen konkret betroffen sind, geht aus der Meldung nach aktuellem Kenntnisstand nicht im Detail hervor. Eine vollständige öffentliche Stellungnahme von Microsoft liegt bislang ebenfalls nicht vor.

Für Unternehmen, die Azure als primäre Infrastruktur betreiben, ist das dennoch klar genug: Eine Information-Disclosure-Lücke im Verwaltungsportal ist ein direkter Ansatzpunkt für Reconnaissance — das systematische Vorerkunden, das gezielten Angriffen regelmäßig vorausgeht.

Warum das kein Randproblem ist

Informationsabflüsse werden in der Risikobeurteilung oft als „milder“ eingestuft als direkte Codeausführung. Das ist ein Trugschluss. Wer weiß, wie ein Azure-Tenant strukturiert ist, welche Dienste laufen und wie die Berechtigungen aufgebaut sind, hat einen konkreten Vorteil für einen zweiten Schritt — sei es eine passgenaue Phishing-Kampagne mit internen Details, sei es ein gezielter Angriff auf bekannte Dienste.

Der entscheidende Punkt dieser Schwachstelle: Es ist kein Konto notwendig, keine gestohlene Identität, kein vorheriger Zugang. Wer die Lücke kennt und sie ausnutzen möchte, braucht dafür nichts weiter als eine Internetverbindung.

Was Sie jetzt tun sollten

Konkrete technische Maßnahmen hängen davon ab, was Microsoft in einem Patch oder einem Sicherheitshinweis veröffentlicht. Was jetzt sinnvoll ist:

CERT-Bund und Microsoft Security Response Center aktiv verfolgen. Die Meldung WID-SEC-2026-2535 wird aktualisiert, sobald ein Patch oder Workaround vorliegt. Wer diese Quellen nicht ohnehin abonniert hat, sollte das nachholen — gerade bei Hochrisiko-Warnungen zu zentralen Microsoft-Diensten.

Conditional Access konsequent durchsetzen. Prüfen Sie, ob der Zugriff auf das Azure Portal über Conditional-Access-Richtlinien auf bekannte Netzwerke, konforme Geräte oder MFA beschränkt ist. Das reduziert die Angriffsfläche unabhängig davon, ob und wann ein Patch kommt.

Audit-Logs und Sign-in-Logs auswerten. Ungewöhnliche Zugriffsversuche auf das Azure Portal — aus unbekannten Regionen, ohne gültige Authentifizierung oder mit auffälligen Mustern — sollten im Azure-Auditprotokoll sichtbar sein. Azure Monitor und Microsoft Defender for Cloud können hier gezielte Alarme auslösen.

Update einplanen, sobald verfügbar. Hochrisiko-Lücken in zentralen Verwaltungsoberflächen haben erfahrungsgemäß kurze Zeitfenster zwischen Bekanntwerden und aktiver Ausnutzung. Sobald Microsoft ein Update bereitstellt, gehört es nicht auf die Warteschlange — sondern auf die sofortige Prioritätenliste.

Unsere Einschätzung: Bei einer anonymen Remote-Lücke im zentralen Azure-Verwaltungsportal würden wir nicht auf das nächste Wartungsfenster warten. Wer Azure produktiv betreibt, sollte die Meldung heute noch prüfen und die Conditional-Access-Konfiguration gegenchecken — das dauert keine halbe Stunde und schafft klare Verhältnisse, bis Microsoft liefert.

Quellen: CERT-Bund — „[NEU] [hoch] Microsoft Azure Portal: Schwachstelle ermöglicht Offenlegung von Informationen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2535)