Exchange-Sicherheitslücke CVE-2026-62911: Was Unternehmen mit eigenem Mailserver jetzt tun müssen

Wer im eigenen Haus einen Exchange-Server betreibt, sollte diesen Artikel nicht auf später verschieben. Am 11. August 2026 hat Microsoft im Rahmen des regulären Patchdays eine Sicherheitslücke geschlossen, die kurz darauf zum öffentlichen Exploit wurde – und laut CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist der Großteil der betroffenen Server in Deutschland bis heute nicht abgesichert. Was zunächst nach einer weiteren Zeile in einer langen Liste von CVE-Nummern klingt, hat für Unternehmen mit eigener Mailserver-Infrastruktur eine sehr konkrete Konsequenz: den vollständigen Zugriff auf jedes Postfach im Haus, ohne dass sich ein Angreifer vorher anmelden muss.

Was CVE-2026-62911 technisch bedeutet

Laut dem Security-Update-Guide von Microsoft (öffnet in neuem Tab) handelt es sich um eine Rechteausweitung durch Authentifizierungsumgehung mittels Capture-Replay (CWE-294), mit einem CVSS-3.1-Basiswert von 8.0. Betroffen sind ausschließlich lokal betriebene Exchange-Server – konkret Exchange Server 2016 Cumulative Update 23, Exchange Server 2019 CU14 und CU15 sowie Exchange Server Subscription Edition (SE) RTM vor dem Sicherheitsupdate. Microsoft stellt in der eigenen FAQ zur Lücke klar, was ein erfolgreicher Angriff ermöglicht: „The attacker would be able to take over the mailboxes of all Exchange users, attackers can send emails, read emails, download attachments" – der Angreifer übernimmt also nicht ein einzelnes Konto, sondern potenziell sämtliche Postfächer auf dem Server.

Entdeckt wurde die Lücke laut Microsofts eigenen Angaben von Orange Tsai vom DEVCORE Research Team, demselben Forscher, der 2021 mit ProxyLogon die bis dahin folgenreichste Exchange-Schwachstelle öffentlich gemacht hatte. Wie heise online berichtet (öffnet in neuem Tab), hatte Orange Tsai die Lücke bereits im Mai 2026 bei der Pwn2Own-Veranstaltung in Berlin als Teil einer Kette aus drei Schwachstellen demonstriert, mit der sich ein vollständig gepatchter Exchange-Server komplett übernehmen ließ.

Vom Patch zum öffentlichen Exploit

Microsoft hatte die Lücke am August-Patchday zunächst als „Exploitation Less Likely" eingestuft – eine Bewertung, die laut MSRC-Advisory seit Erscheinen des Patches nicht mehr aktualisiert wurde. Diese Einschätzung hielt nicht lange: Am 27. August 2026 veröffentlichte der Sicherheitsforscher Hiep Van Nguyen auf GitHub einen funktionierenden Proof-of-Concept, der laut heise online „das Einschleusen und Ausführen von Schadcode ohne vorherige Authentifizierung" ermöglicht. Damit dürften, so heise weiter, „Cyberkriminelle den Exploit schnell adaptieren und in ihre Angriffswerkzeugkisten aufnehmen".

Die Reaktion der Behörden kam zügig: Laut heise online (öffnet in neuem Tab) benachrichtigt das BSI bereits seit dem 14. August 2026 deutsche Netzbetreiber über verwundbare Systeme in ihren Netzen – noch bevor der Exploit öffentlich wurde. Nach der Veröffentlichung des Proof-of-Concept zog auch das niederländische National Cyber Security Centre (NCSC-NL) nach: Laut Tech Times (öffnet in neuem Tab) aktualisierte die Behörde am 28. August ihre Warnung und bestätigte, dass funktionierender Exploit-Code öffentlich im Umlauf sei.

Der eigentliche Befund: Gepatcht wurde kaum

Der eigentlich alarmierende Teil ist nicht die Lücke selbst, sondern wie wenig sich seither getan hat. Das CERT-Bund des BSI hat auf Anfrage von heise online konkrete Zahlen genannt: „Aktuell sind jedoch noch rund 85 Prozent der on-premises Exchange-Server in Deutschland für diese Schwachstelle verwundbar", zitiert heise online die Behörde – Stand Ende August 2026, also gut zwei Wochen nach Veröffentlichung des Patches. International sieht die Lage laut Tech Times unter Berufung auf tägliche Scans der Shadowserver Foundation ähnlich aus: Weltweit wiesen die Scans zum 31. August 2026 21.899 ungepatchte Exchange-Server (öffnet in neuem Tab) aus.

Besonders eng wird es für Betreiber älterer Versionen. Exchange 2016 und 2019 sind laut heise online bereits seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es dafür nur noch im Rahmen des kostenpflichtigen Extended-Security-Updates-Programms (ESU). Wie wenige Unternehmen davon tatsächlich Gebrauch machen, zeigt eine weitere Zahl aus demselben heise-Bericht: „Aktuell sind uns in Deutschland jedoch nur 9 Exchange-Server 2016/2019 bekannt, auf denen im Rahmen von ESU herausgegebene Patches installiert sind", so das CERT-Bund – bei einer insgesamt weit größeren Zahl noch laufender Altversionen ist das ein verschwindend geringer Anteil.

Die ESU-Uhr läuft endgültig ab

Wer auf Exchange 2016 oder 2019 setzt und bislang gehofft hat, das ESU-Programm werde wie schon einmal verlängert, sollte diese Hoffnung aufgeben. Das Exchange-Team von Microsoft schreibt in einem Blogbeitrag im eigenen Tech Community (öffnet in neuem Tab) unmissverständlich: „There will be no further extension of Exchange 2016/2019 ESU program timeline. Once October 2026 ends, there will be no further updates for Exchange 2016/2019, even if you currently have a Period 2 ESU." Ab November 2026 gibt es für diese Versionen also keine Sicherheitsupdates mehr – unabhängig davon, wie kritisch eine künftig entdeckte Lücke ausfällt.

Für die Praxis heißt das: Unternehmen, die noch auf Exchange 2016 oder 2019 laufen, haben nach eigenen Angaben von Microsoft zwei Wege – den Umstieg auf Exchange Server SE (laut Microsoft ein risikoarmes In-Place-Upgrade von 2019 CU14/CU15 aus) oder die Migration in die Cloud. Wichtig für hybride Umgebungen: Exchange Online selbst ist von CVE-2026-62911 nicht betroffen, da die verwundbare MRSProxy-Komponente in der Cloud-Architektur laut Microsofts Advisory nicht existiert. Wer vollständig auf Exchange Online migriert hat und keine on-premises-Infrastruktur mehr betreibt, ist aus dem Schneider.

Was jetzt konkret zu tun ist

1. Version prüfen. Läuft Exchange 2016 CU23, 2019 CU14/CU15 oder SE RTM ohne das Sicherheitsupdate vom 11. August 2026? Dann besteht unmittelbarer Handlungsbedarf.
2. Patchen, sofort. Für Exchange SE RTM steht laut Microsoft das Update KB5121573 bereit. Für Exchange 2016 und 2019 ist der Patch nur im Rahmen einer aktiven ESU-Lizenz verfügbar – ohne ESU-Vertrag gibt es keinen offiziellen Weg, die Lücke zu schließen.
3. Erreichbarkeit einschränken, wo Patchen nicht sofort möglich ist. Laut heise online rät das BSI grundsätzlich dazu, „den Zugriff aus dem Internet auf webbasierte Dienste eines Exchange-Servers auf vertrauenswürdige Quell-IPs zu beschränken oder über ein VPN abzusichern". Das ersetzt den Patch nicht, reduziert aber die Angriffsfläche, solange dieser noch aussteht.
4. Migrationspfad jetzt planen, nicht erst im Oktober. Für Exchange-2016/2019-Betreiber ist die ESU-Frist am 31. Oktober 2026 ein hartes Ende ohne weitere Verlängerung. Tech Times (öffnet in neuem Tab) bezifferte das verbleibende Zeitfenster für eine ESU-Anmeldung oder eine Notfall-Migration Anfang September 2026 auf acht Wochen – ein Umstieg auf Exchange SE oder Exchange Online braucht daneben Vorlauf für Tests, Postfach-Migration und Nutzerkommunikation.
5. Auf Anzeichen einer Kompromittierung prüfen, insbesondere bei Servern, deren OWA- oder Autodiscover-Dienste aus dem Internet erreichbar waren, bevor der Patch eingespielt wurde.

Warum das über eine einzelne Lücke hinausgeht

Der Fall zeigt ein Muster, das sich in den vergangenen Jahren bei Exchange wiederholt: Eine kritische Schwachstelle wird am Patchday geschlossen, die Einstufung des Risikos fällt zunächst moderat aus, und erst ein öffentlicher Exploit macht aus einer theoretischen Bedrohung eine akute – so wie hier zwischen dem Patch am 11. August und dem Proof-of-Concept am 27. August 2026. Wer sein Patch-Management an der ursprünglichen Risikoeinstufung des Herstellers ausrichtet statt an der eigenen Exponierung, gerät in genau dieses Zeitfenster.

Für Unternehmen, die ohnehin über eine Migration von Exchange 2016 oder 2019 nachdenken, liefert die ESU-Frist im Oktober 2026 einen konkreten Anlass, das Vorhaben nicht länger aufzuschieben: Ab November gibt es für diese Versionen keinerlei Sicherheitsnetz mehr, unabhängig davon, welche Lücke als Nächstes entdeckt wird. Wer jetzt noch produktiv auf einer dieser Versionen arbeitet, sollte die kommenden Wochen nutzen, um zwischen kurzfristiger Absicherung und langfristiger Migration zu unterscheiden – und beides parallel anzustoßen, statt nacheinander.