Laundry Bear und der Half-Click-Exploit: E-Mail öffnen reicht — so schützen Sie Ihr Postfach jetzt

Wer glaubt, sicher zu sein, solange er keinen Link anklickt, liegt bei dieser Kampagne falsch. Die russische Hackergruppe Laundry Bear nutzt seit Monaten einen sogenannten Half-Click-Exploit in Microsoft Outlook — das bloße Öffnen einer präparierten E-Mail soll genügen, um in ein Postfach einzudringen. Die Angriffe treffen nach vorliegenden Berichten auch Europa.

Berichten von Golem und weiteren Sicherheitsmedien zufolge ist Laundry Bear eine russisch gesteuerte Hackergruppe, die gezielt Outlook-Nutzer ins Visier nimmt. Die Kampagne läuft seit geraumer Zeit, bevor sie öffentlich bekannt wurde — was auf eine erhebliche Zahl potenziell unentdeckter Kompromittierungen hindeutet.

Was versteht man unter einem Half-Click-Exploit?

Klassische Phishing-Angriffe setzen darauf, dass ein Nutzer aktiv auf einen Link klickt oder einen Anhang öffnet. Ein Half-Click-Exploit hebelt diese Voraussetzung teilweise aus: Die Schwachstelle in Outlook wird bereits ausgelöst, wenn eine E-Mail geöffnet — in manchen Szenarien sogar, wenn sie lediglich in der Vorschau angezeigt wird. Der Nutzer muss nichts weiter tun.

Das ist aus operativer Sicht besonders ernst zu nehmen, weil es die naheliegendste Schutzregel unterläuft: „Klick nichts an, was du nicht kennst.“ Diese Regel greift hier schlicht nicht.

Warum das für Unternehmen relevant ist

Laundry Bear zielt nach bisherigen Erkenntnissen auf Spionage: Zugriff auf Postfächer, Kontakte, Dokumente, interne Kommunikation. Für Unternehmen bedeutet das: Ein betroffenes Konto wird möglicherweise seit Monaten mitgelesen — ohne dass ein einziger verdächtiger Klick in den Protokollen auftaucht.

Gerade bei Managed-Umgebungen oder externen Dienstleistern mit Zugriff auf Kundensysteme kann ein kompromittiertes E-Mail-Konto eine Brücke in weitere Systeme sein. Die Gefahr beschränkt sich nicht auf das Postfach selbst.

Was schützt — und was nicht

Awareness-Training zur Erkennung von Phishing-Links schützt hier nicht. Die Angriffsfläche ist anders:

• Outlook aktuell halten. Microsoft schließt bekannte Lücken in monatlichen Patch-Zyklen. Wer Outlook-Desktop-Clients oder Exchange-Server nicht regelmäßig aktualisiert, gibt Angreifern Zeit. Das gilt für on-premises wie für Hybrid-Umgebungen gleichermaßen.
• E-Mail-Filterung mit vorgelagerter Analyse. Dienste wie Microsoft Defender for Office 365 können präparierte E-Mails analysieren, bevor sie im Posteingang landen. Das reduziert das Angriffsfenster — schließt es aber nicht vollständig.
• Audit-Logs aktivieren und prüfen. Exchange on-premises und Microsoft 365 protokollieren Anmeldungen und Postfachzugriffe. Diese Logs sind häufig deaktiviert oder werden schlicht nicht ausgewertet. Wer einen Einbruch nachweisen oder ausschließen will, braucht sie. Jetzt ist ein guter Zeitpunkt zu prüfen, ob sie aktiv sind.
• Ungewöhnliche Zugriffe erkennen. Microsoft 365 zeigt unter „Anmeldeaktivität“ in den Azure-AD-Logs, von welchem Standort und Gerät aus auf ein Postfach zugegriffen wurde. Zugriffe aus unbekannten Regionen oder zu ungewöhnlichen Zeiten können auf eine Kompromittierung hinweisen.

Was Sie jetzt tun sollten

Konkret: Prüfen Sie, ob Outlook auf allen Arbeitsstationen in Ihrer Umgebung aktuell gepatcht ist. Betreiben Sie Exchange on-premises? Dann ist der Patch-Stand des Servers selbst zu prüfen — nicht nur die Clients.

Zusätzlich lohnt ein Blick in die Anmeldeprotokolle: Gibt es Zugriffe aus Ländern, in denen keiner Ihrer Mitarbeiter sitzt? Mehrfache fehlgeschlagene Anmeldeversuche? Zugriffe auf Postfächer außerhalb der üblichen Geschäftszeiten?

Ein Half-Click-Exploit ist kein Angriff, den Sie durch Vorsicht allein abwehren. Hier zählen aktueller Patch-Stand, aktive Protokollierung und — falls die Ressourcen intern fehlen — externe Unterstützung von Spezialisten, die Ihre Umgebung kennen und auswerten können, bevor aus einem Verdacht ein bestätigter Vorfall wird.

Quellen: Golem — „E-Mail öffnen reicht: Russische Hacker attackieren Outlook-Nutzer“ (https://www.golem.de/news/e-mail-oeffnen-reicht-russische-hacker-attackieren-outlook-nutzer-2607-211446.html)