Microsoft Exchange Server: Privilegienerweiterung bis SYSTEM-Rechte — so prüfen Sie Ihren Patch-Stand jetzt

Das klingt zunächst nach einer routinemäßigen Patch-Empfehlung. Wer Exchange Server on-premises betreibt, sollte genauer hinsehen: Mehrere Schwachstellen ermöglichen einem entfernten, authentisierten Angreifer, SYSTEM-Rechte zu erlangen und Sicherheitsmaßnahmen zu umgehen. Authentisiert bedeutet hier: Ein gültiger Exchange-Account genügt — kein Administratorkonto, kein Insiderwissen, kein physischer Zugang zum Netz erforderlich. Die Kombination aus Privilegienerweiterung bis auf SYSTEM-Ebene und der Möglichkeit, Sicherheitsmaßnahmen zu umgehen, macht diesen Fall ernst.

Exchange Server on-premises: eines der meistangegriffenen Microsoft-Produkte

Exchange Server ist eine der meistgenutzten Kommunikationsplattformen im Unternehmensumfeld — und historisch eines der am häufigsten angegriffenen Microsoft-Produkte. Der Grund liegt auf der Hand: Wer einen Exchange-Server kompromittiert, hat Zugriff auf die gesamte E-Mail-Kommunikation einer Organisation, auf Kalender, Kontakte und in vielen Fällen auf Verknüpfungen zu weiteren Systemen im Netz.

Exchange-Server sind zudem oft exponiert: Webservices wie Outlook Web Access, Exchange Web Services und MAPI über HTTP sind in vielen Umgebungen direkt aus dem Internet zugänglich. Ein Angreifer, der einen gültigen Account ergattert hat — über Phishing, Credential Stuffing oder ein kompromittiertes Dienstkonto — hat damit eine direkte Eintrittspforte.

Was SYSTEM-Rechte in der Praxis bedeuten

SYSTEM ist der mächtigste Ausführungskontext auf einem Windows-System. Ein Prozess mit SYSTEM-Rechten kann Dateisystem, Dienste, Credential-Speicher und Registry des Servers ohne Einschränkung lesen und verändern. Das bedeutet im Exchange-Kontext: Wer SYSTEM-Rechte erlangt, kann Postfächer lesen, Transportregeln manipulieren, Zertifikate extrahieren und — als nächster Schritt — Lateral-Movement-Techniken einsetzen, um sich im internen Netz weiterzubewegen.

Dass zusätzlich Sicherheitsmaßnahmen umgangen werden können, verschärft die Lage. Exchange-Server laufen typischerweise mit einer Reihe von Schutzkontrollen: Antimalware-Transport-Scanning, Protokolleinschränkungen, Rollenkonzepte. Wenn eine Schwachstelle diese Kontrollen aushebelt, können Folgeangriffe unbemerkt ablaufen — der Angreifer bewegt sich gewissermaßen unterhalb des Radars.

Die Einstufung „hoch“ durch das Bundesamt für Sicherheit in der Informationstechnik ist hier keine Formalität. Sie bedeutet: Die Schwachstellen sind unter realistischen Angriffsbedingungen ausnutzbar, und der Einstiegspunkt ist niedrig.

Wer betroffen ist — und wer nicht

Betroffen sind Betreiber von Microsoft Exchange Server in der on-premises-Variante. Exchange Online-Nutzer — also Organisationen, die über Microsoft 365 betrieben werden — sind von serverseitigen Schwachstellen nicht direkt betroffen, da Microsoft die Cloud-Infrastruktur selbst patcht.

Betroffen sind damit: Organisationen, die Exchange Server in eigener Infrastruktur betreiben, sowie Managed-Service-Anbieter, die Exchange-Umgebungen für Kunden verwalten. Gerade kleinere und mittelständische Unternehmen, die aus Datenschutz- oder Compliance-Gründen auf eine eigene Exchange-Installation setzen, sollten jetzt aktiv werden.

Was Sie jetzt konkret tun sollten

Microsoft hat Sicherheitsupdates im Rahmen des August-Patchdays bereitgestellt. Diese sollten zeitnah eingespielt werden. In produktiven Exchange-Umgebungen empfiehlt sich folgendes Vorgehen:

• Patch-Stand prüfen: Welche Exchange-Server-CU (Cumulative Update) und welches SU (Security Update) läuft in Ihrer Umgebung? Die Exchange Admin Center-Konsole oder `Get-ExchangeDiagnosticInfo` geben Auskunft. Vergleichen Sie den Stand mit dem aktuell verfügbaren Update.
• Update priorisieren: Wer das Update noch nicht eingespielt hat, sollte es in den nächsten Tagen tun — nicht auf den nächsten regulären Wartungszyklus warten. Der Angriffspfad setzt nur einen gültigen Account voraus, und solche Zugangsdaten sind in vielen Umgebungen kompromittierbar.
• Abhängigkeiten beachten: Exchange-Updates setzen in vielen Fällen aktuelle .NET-Versionen und Visual C++ Redistributable-Pakete voraus. Ein Fehlschlag beim Update lässt sich durch vorherige Systemvorbereitung vermeiden.
• Intern kommunizieren: In Umgebungen mit Staging-Anforderungen oder eingeschränkten Wartungsfenstern sollten Exchange-Admins die interne Genehmigung für ein außerplanmäßiges Update jetzt einholen — nicht nach dem nächsten Vorfall.

Aus unserer Betriebserfahrung gilt: Exchange-Server verlangen bei Updates besonders sorgfältige Planung, weil die Dienste in der Regel geschäftskritisch sind und eine ungeplante Downtime nicht akzeptabel ist. Das ist ein Grund, frühzeitig zu handeln — kein Grund, zu warten.

Quellen: CERT-Bund — „WID-SEC-2026-2784: Microsoft Exchange Server: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2784)