Eine kritische Microsoft Exchange Sicherheitslücke wird derzeit aktiv in Unternehmensnetzwerken ausgenutzt — ohne dass bisher ein vollständiges Sicherheitsupdate verfügbar ist. Für Admins, die Exchange Server On-Premises betreiben, besteht dringender Handlungsbedarf. Für Exchange 365-Nutzer (Microsoft 365 Exchange Online) gibt es gute Nachrichten: Sie sind von dieser Lücke nicht betroffen.
Was ist die Microsoft Exchange Sicherheitslücke CVE-2026-42897?
In Microsoft Exchange Server steckt eine Zero-Day-Lücke, die Angreifer bereits aktiv ausnutzen. Die Schwachstelle ist unter CVE-2026-42897 erfasst und mit einem CVSS-Score von 8,1 (hoch) bewertet — Microsoft selbst stuft den Schweregrad als kritisch ein.
Technisch handelt es sich um eine Cross-Site-Scripting-Lücke (XSS) in Outlook Web Access (OWA): Exchange filtert Eingaben bei der Generierung von Webseiten unzureichend. Das ermöglicht Spoofing-Angriffe — und zwar ohne dass Angreifer sich vorab authentifizieren müssen.
Das BSI warnt regelmäßig vor ungepatchten Exchange-Schwachstellen als kritisches Sicherheitsrisiko für Unternehmen und Behörden.
Das Angriffsszenario: So funktioniert der Angriff auf OWA
Betroffen ist konkret Outlook Web Access (OWA) — die Weboberfläche von Exchange. Der Ablauf eines Angriffs:
- Ein Angreifer schickt eine manipulierte E-Mail an das Opfer.
- Das Opfer öffnet die Nachricht in OWA.
- Sind bestimmte Interaktionsbedingungen erfüllt, wird beliebiger JavaScript-Code im Browser des Opfers ausgeführt.
Was das praktisch bedeutet: Session-Token können abgegriffen, Aktionen im Namen des Nutzers ausgeführt und weitere Angriffe vorbereitet werden. Ein klassisches XSS — aber an einer denkbar sensiblen Stelle im Herz der Unternehmenskommunikation.
Welche Exchange Server Versionen sind betroffen?
Die Microsoft Exchange Sicherheitslücke betrifft alle Update-Level dieser On-Premises-Versionen:
- Exchange Server 2016
- Exchange Server 2019
- Exchange Server Subscription Edition (SE)
Nicht betroffen: Exchange Online (Microsoft 365 / Exchange 365) — die Lücke ist ein reines On-Premises-Problem. Unternehmen, die bereits auf Microsoft 365 Exchange Online migriert sind, können aufatmen.
Microsoft Exchange Mitigation: Was Sie jetzt sofort tun müssen
Ein vollständiges Sicherheitsupdate ist noch nicht verfügbar. Microsoft liefert stattdessen eine automatische Gegenmaßnahme über den Exchange Emergency Mitigation (EM) Service — ein Mechanismus, der seit September 2021 mit Exchange ausgerollt wird und standardmäßig aktiviert ist.
To-do-Liste für Exchange-Admins
- 1. EM-Service-Status prüfen: Ist der Exchange Emergency Mitigation Service aktiv? Im Idealfall hat er die Mitigation bereits automatisch angewendet.
- 2. Mitigation-Status kontrollieren: Der Status „Applied“ bedeutet: Schutz aktiv. Steht dort eine Fehlermeldung zur Exchange-Version, ist das laut Microsoft rein kosmetisch — maßgeblich ist „Applied“.
- 3. Manuell nachrüsten: Ist der EM-Service deaktiviert, entweder reaktivieren oder die manuelle Anleitung aus Microsofts Exchange-Blog umsetzen.
- 4. Nutzer informieren: Die Mitigation verursacht temporäre Einschränkungen in OWA (Kalenderdruck, Inline-Bilder, OWA Light).
- 5. ESU-Status klären: Exchange 2016 und 2019 benötigen für den späteren permanenten Patch erweiterte Sicherheitsupdates (ESU Stufe 2). Ohne ESU-Abo kommt der Patch nicht an.
- 6. Logs auswerten: OWA-Zugriffe und auffällige Mailflüsse auf Spuren bereits erfolgter Angriffe prüfen.
Bekannte Nebenwirkungen der Mitigation
Die Gegenmaßnahme ist kein chirurgischer Eingriff. Dokumentierte Einschränkungen:
- Kalenderdruck in OWA funktioniert möglicherweise nicht mehr.
- Inline-Bilder werden im Empfänger-Panel nicht korrekt angezeigt.
- OWA Light funktioniert eventuell nicht mehr ordnungsgemäß (ist ohnehin als „deprecated“ markiert).
Exchange On-Premises vs. Exchange 365 (Microsoft 365 Exchange Online): Die strategische Frage
Zero-Days in Exchange sind kein neues Phänomen — ProxyLogon und ProxyShell sind den meisten IT-Admins noch in Erinnerung. Der aktuelle Fall zeigt erneut: On-Premises-Exchange bleibt ein attraktives Angriffsziel, weil dort die sensibelsten Unternehmensdaten liegen: Mailflüsse, Kalender, Identitäten.
Viele Unternehmen in Düsseldorf und NRW nutzen den aktuellen Vorfall als Anlass, die Frage ernsthaft zu stellen: Exchange 365 oder weiter On-Premises?
- Exchange 365 / Microsoft 365 Exchange Online: Microsoft übernimmt Patching, Hochverfügbarkeit und Sicherheitsupdates. Die aktuelle Lücke betrifft Exchange Online-Nutzer nicht.
- On-Premises Exchange: Volle Kontrolle, aber auch volle Verantwortung für Patches, Updates und Sicherheitsmonitoring.
- Hybride Architektur: On-Premises mit Exchange Online-Anbindung — für Unternehmen mit besonderen Datenschutzanforderungen.
Als erfahrener IT-Dienstleister für KMU und Kanzleien in Düsseldorf unterstützen wir Sie bei der Microsoft 365 Migration ebenso wie bei der Absicherung bestehender Exchange-Installationen. Unsere IT-Sicherheitsberatung hilft Ihnen, die richtige Entscheidung für Ihr Unternehmen zu treffen.
Stüber Computer hilft: Exchange-Absicherung in Düsseldorf und NRW
Wir helfen Ihnen, die aktuelle Exchange Sicherheitslücke zu schließen, den Mitigation-Status zu verifizieren und Ihre Exchange-Umgebung dauerhaft sicherer aufzustellen — als IT-Systemhaus in Düsseldorf mit über 30 Jahren Erfahrung in der IT-Sicherheit für Unternehmen und Kanzleien.
Sprechen Sie uns an: 0211 9779 958 — bevor jemand anderes Ihre Postfächer öffnet.
