Entra ID: Kritische Lücke CVE-2026-69836 ausgenutzt

Stand: 24. August 2026

Kurzantwort: Microsoft hat am 21. August 2026 eine Entra-ID-Schwachstelle mit CVSS 10.0 veröffentlicht, die bereits aktiv ausgenutzt wurde. Die Lücke ist serverseitig geschlossen – Sie müssen nichts patchen. Was Sie aber tun sollten: Ihre Anmelde- und Audit-Protokolle prüfen, auf phishing-resistente MFA umstellen und kontinuierliches Monitoring etablieren.

Entra ID Sicherheitslücke CVE-2026-69836: Höchstwertung CVSS 10.0 – und was Ihr Unternehmen jetzt daraus lernen sollte

Microsoft hat am 21. August 2026 eine Schwachstelle in Entra ID öffentlich gemacht, die es in sich hat: CVE-2026-69836 erreicht mit CVSS 10.0 die höchstmögliche Risikobewertung und wurde bereits aktiv ausgenutzt, bevor sie geschlossen war. Entra ID (früher Azure Active Directory) ist der zentrale Identitätsdienst hinter Microsoft 365 – also genau das System, über das in den meisten deutschen KMU jeder Login, jede E-Mail und jeder Dateizugriff läuft.

Die gute Nachricht: Microsoft hat die Lücke serverseitig vollständig geschlossen, Kunden müssen nichts patchen. Die unbequeme Nachricht: Der Vorfall zeigt exemplarisch, wie wenig Sichtbarkeit Unternehmen in ihre Cloud-Identitätsinfrastruktur haben – und warum genau dort die meisten Angriffe der letzten zwölf Monate ansetzen. In diesem Beitrag ordnen wir die Entra ID Sicherheitslücke ein und zeigen, welche Konsequenzen Geschäftsführer und IT-Verantwortliche jetzt ziehen sollten.

Was ist bei CVE-2026-69836 passiert?

Die Fakten im Überblick

Nach übereinstimmenden Berichten von Help Net Security, The Register und SecurityWeek handelt es sich bei CVE-2026-69836 um eine Deserialisierungs-Schwachstelle („Deserialization of Untrusted Data", CWE-502), die Remote Code Execution im Entra-ID-Dienst ermöglichte. Entdeckt wurde sie von Robert Fitzpatrick, einem Principal Security Engineer bei Microsoft – gemeldet also aus dem eigenen Haus, aber erst, nachdem Angreifer sie bereits „in the wild" ausgenutzt hatten.

Die wichtigsten Eckdaten:

• CVSS-Score 10.0 – die höchstmögliche Einstufung
• Aktive Ausnutzung bestätigt, Details zu Tätern und betroffenen Organisationen hat Microsoft nicht offengelegt
• Serverseitig vollständig mitigiert – es gibt keinen Patch, den Kunden einspielen müssten
• Die CVE-Veröffentlichung dient laut Microsoft primär der Transparenz

Warum eine „gepatchte" Cloud-Lücke trotzdem Ihr Problem ist

Auf den ersten Blick klingt das nach einem Nicht-Ereignis: Microsoft hat reagiert, niemand muss etwas tun. Genau diese Lesart greift jedoch zu kurz. Denn zwischen Beginn der Ausnutzung und der Mitigation lag ein Zeitfenster, in dem Angreifer Zugriff auf Identitätsdaten gehabt haben können – und Microsoft nennt weder Zeitraum noch Betroffene. Ob die eigene Organisation dazugehört, lässt sich von außen nicht erkennen.

Für die Microsoft 365 Sicherheit Ihres Unternehmens heißt das: Sie können die Lücke nicht schließen (das hat Microsoft getan), aber Sie können und sollten prüfen, ob es in Ihren Anmelde- und Audit-Protokollen Auffälligkeiten gibt. Wer Identitäten kompromittiert hat, nutzt sie oft erst Wochen später – unauffällig, mit legitimen Zugangsdaten.

Cloud-Identität als Angriffsziel Nummer eins

Der Kontext: Identitätsangriffe nehmen massiv zu

CVE-2026-69836 ist kein Einzelfall, sondern Teil eines Musters. Allein in derselben Augustwoche dokumentierte der Wochenrückblick von Cybersecurity News eine Phishing-as-a-Service-Plattform („Mirage2FA"), die nach vollständiger Multi-Faktor-Authentifizierung Session-Cookies kapert, sowie großangelegte Passwort-Spraying-Kampagnen gegen Microsoft-365-Konten über veraltete Anmeldeverfahren. Parallel hat Microsoft angekündigt, SMS- und Sprachanruf-MFA in Entra ID schrittweise durch Passkeys abzulösen.

Das Muster dahinter: Angreifer brechen nicht mehr ein – sie melden sich an. Gestohlene oder erschlichene Identitäten sind der häufigste Ausgangspunkt moderner Angriffe, weil sie Firewalls und Endpoint-Schutz schlicht umgehen.

Was das für deutsche KMU bedeutet

Deutsche Mittelständler, Arztpraxen und Kanzleien haben ihre IT in den letzten Jahren konsequent in Microsoft 365 verlagert – oft ohne die Sicherheitsarchitektur mitwachsen zu lassen. Typische Lücken, die wir in der Praxis sehen:

• Keine Auswertung der Sign-in- und Audit-Logs: Verdächtige Anmeldungen fallen niemandem auf, weil niemand hinschaut.
• Legacy-Authentifizierung noch aktiv: Alte Protokolle ohne MFA-Pflicht bleiben ein offenes Einfallstor.
• MFA per SMS: Besser als nichts, aber gegen moderne Phishing-Kits zunehmend wirkungslos.
• Globale Admin-Rechte im Alltag: Kompromittierte Admin-Konten geben Angreifern sofort die Schlüssel zum gesamten Unternehmen.

Fünf Maßnahmen, um Ihre Cloud-Identität zu schützen

1. Anmeldeprotokolle rückwirkend prüfen. Sichten Sie die Entra-ID-Sign-in-Logs der letzten Wochen auf ungewöhnliche Standorte, unmögliche Reisezeiten und unbekannte Geräte – besonders bei privilegierten Konten.
2. Phishing-resistente MFA einführen. Stellen Sie auf Passkeys bzw. FIDO2 um, bevor Microsoft die schwächeren Verfahren abschaltet. SMS-Codes sollten nur noch Übergangslösung sein.
3. Legacy-Authentifizierung deaktivieren. Blockieren Sie veraltete Anmeldeverfahren per Conditional Access – sie sind das bevorzugte Ziel von Passwort-Spraying.
4. Admin-Rechte minimieren. Trennen Sie administrative Konten von Alltagskonten und vergeben Sie privilegierte Rollen nur zeitlich befristet (Just-in-Time).
5. Kontinuierliches Monitoring etablieren. Eine einmalige Prüfung ist eine Momentaufnahme. Identitätsangriffe erkennt nur, wer Anmeldeereignisse rund um die Uhr korreliert und bewertet.

Gerade der letzte Punkt überfordert interne IT-Teams in KMU regelmäßig – nicht fachlich, sondern kapazitiv: Niemand kann neben dem Tagesgeschäft nachts um drei Alarme bewerten. Genau dafür gibt es Managed Detection & Response (MDR) als ausgelagerten 24/7-Erkennungs- und Reaktionsdienst, der verdächtige Identitätsaktivitäten erkennt, bevor daraus ein Vorfall wird.

Wenn der Verdacht schon da ist: richtig reagieren

Finden sich in den Logs tatsächlich Hinweise auf unbefugte Zugriffe, zählt Geschwindigkeit: Sitzungen beenden, Tokens widerrufen, Passwörter zurücksetzen, Persistenzmechanismen (etwa neu registrierte MFA-Geräte oder App-Registrierungen) aufspüren. Wer hier unstrukturiert vorgeht, übersieht fast immer die Hintertür, die der Angreifer sich angelegt hat. Ein erprobter Incident-Response-Prozess mit externer Unterstützung verkürzt diese Phase von Wochen auf Tage.

Ob die eigene Microsoft-365-Umgebung solchen Angriffen standhalten würde, lässt sich übrigens kontrolliert testen: Ein Penetrationstest mit Fokus auf Cloud-Identitäten deckt Fehlkonfigurationen auf, bevor es Angreifer tun. Und wer als NIS2-reguliertes Unternehmen die Absicherung seiner Identitätsinfrastruktur ohnehin nachweisen muss, findet in einem externen Informationssicherheitsbeauftragten (ISB) die passende organisatorische Klammer.

Fazit: Die Lücke war Microsofts Problem – die Konsequenzen sind Ihre

CVE-2026-69836 ist geschlossen, und dennoch bleibt die zentrale Lehre bestehen: Die Identitätsebene ist heute das eigentliche Perimeter Ihres Unternehmens, und sie liegt in einer Cloud, in die Sie nur begrenzt hineinschauen können. Was Sie kontrollieren können, sind Ihre Konfiguration, Ihre Authentifizierungsverfahren und vor allem Ihre Fähigkeit, Missbrauch schnell zu erkennen.

Wenn Sie unsicher sind, wie gut Ihre Microsoft-365-Umgebung heute aufgestellt ist, sprechen Sie uns gern unverbindlich an – wir schauen gemeinsam auf Ihre Ausgangslage. Kontakt aufnehmen.

Quellen

• Help Net Security: Critical Microsoft Entra ID vulnerability exploited in the wild (CVE-2026-69836) – 21.08.2026
• The Register: Microsoft sounds alarm as perfect-10 Entra ID flaw comes under attack – 21.08.2026
• SecurityWeek: Microsoft Patches Exploited Entra ID Vulnerability
• The Hacker News: Microsoft Patches Severe Entra ID Flaw (CVSS 10.0) Allowing Remote Code Execution
• Cybersecurity News: Weekly Bulletin 17.–23.08.2026 (Mirage2FA, Passwort-Spraying, Passkey-Umstellung)