Exchange-Lücke CVE-2026-62911: 5.100 Server ungepatcht

Stand: 7. September 2026

Kurzantwort: Fast einen Monat nach Erscheinen der Microsoft-Sicherheitsupdates vom August 2026 sind weltweit noch knapp 22.000 Exchange-Server ungepatcht und damit anfällig für die Schwachstelle CVE-2026-62911 – rund 5.100 davon stehen in Deutschland (Borncity, 02.09.2026, auf Basis von Scans der ShadowServer Foundation). Deutschland liegt damit im internationalen Vergleich weit vorn. Für KMU ist das eine unbequeme Nachricht: Der E-Mail-Server ist das Herzstück der Unternehmenskommunikation und zugleich eines der beliebtesten Angriffsziele überhaupt. Dieser Beitrag erklärt, was hinter der Lücke steckt, warum Patchen allein oft nicht reicht und wie Sie Ihren Exchange Server nachhaltig absichern.

Exchange Server Sicherheitslücke CVE-2026-62911: Warum rund 5.100 deutsche Server ein offenes Tor sind

Fast einen Monat nach Erscheinen der Microsoft-Sicherheitsupdates vom August 2026 sind weltweit noch knapp 22.000 Exchange-Server ungepatcht und damit anfällig für die Schwachstelle CVE-2026-62911 – rund 5.100 davon stehen in Deutschland (Borncity, 02.09.2026, auf Basis von Scans der ShadowServer Foundation). Deutschland liegt damit im internationalen Vergleich weit vorn – kein Ruhmesblatt für ein Land, in dem der eigene Mailserver im Keller vielerorts noch als Standard gilt.

Für Geschäftsführer und IT-Verantwortliche in KMU ist das eine unbequeme Nachricht: Der E-Mail-Server ist das Herzstück der Unternehmenskommunikation, enthält Verträge, Personalthemen und Mandanten- oder Patientenkorrespondenz – und ist zugleich eines der beliebtesten Angriffsziele überhaupt. Dieser Beitrag erklärt, was hinter der Lücke steckt, warum Patchen allein oft nicht reicht und wie Sie Ihren Exchange Server nachhaltig absichern.

Was steckt hinter CVE-2026-62911?

Die Schwachstelle im Überblick

CVE-2026-62911 ist ein Authentifizierungs-Bypass in Microsoft Exchange, der über eine sogenannte Capture-Replay-Technik ausgenutzt werden kann und mit einem CVSS-Wert von 8.0 als hochriskant eingestuft ist. Entdeckt wurde die Lücke vom Sicherheitsforscher Orange Tsai (DEVCORE) – demselben Forscher, der bereits die ProxyLogon- und ProxyShell-Schwachstellen fand, die 2021 zehntausende Exchange-Server weltweit kompromittierten (Borncity, 02.09.2026).

Betroffen sind Exchange Server 2016, Exchange Server 2019 und die Exchange Server Subscription Edition (SE). Microsoft hat die Updates bereits am 11. August 2026 veröffentlicht – zusammen mit Patches für sechs weitere Exchange-Schwachstellen aus demselben Update-Paket.

Die Zahlen: Deutschland patcht zu langsam

Die ShadowServer Foundation, die das Internet regelmäßig auf verwundbare Systeme scannt, meldete Ende August rund 21.900 ungepatchte Exchange-Instanzen weltweit (ShadowServer-Bericht vom 28.08.2026, via Borncity). Auf Deutschland entfallen etwa 5.100 Systeme – laut Bericht ein erheblicher Teil der hierzulande aus dem Internet erreichbaren Exchange-Server. Der Autor des Berichts findet dafür deutliche Worte: Wer die August-Updates drei Wochen nach Erscheinen nicht eingespielt habe, handle „grob fahrlässig".

Diese Trägheit hat System: Viele KMU betreiben Exchange on-premises, ohne dass jemand die Verantwortung für zeitnahes Patchen trägt. Der IT-Dienstleister kommt einmal im Monat, das Wartungsfenster wird verschoben, und der Server läuft „ja stabil". Genau diese Lücke zwischen Patch-Veröffentlichung und Patch-Einspielung ist das Zeitfenster, in dem Angreifer automatisiert scannen und zuschlagen.

Warum ein ungepatchter Exchange Server für KMU existenzbedrohend ist

Vom Mailserver zur Komplettübernahme

Ein kompromittierter Exchange Server ist selten das Endziel – er ist der Einstiegspunkt. Exchange ist tief ins Active Directory integriert; wer den Mailserver kontrolliert, hat oft einen kurzen Weg zu Domänenrechten und damit zum gesamten Netzwerk. Die typische Angriffskette: Zugriff über die Schwachstelle, Einrichten einer Hintertür (Webshell), Ausspähen von Zugangsdaten, laterale Bewegung – und am Ende Datenabfluss oder Ransomware. Die ProxyShell-Welle 2021 hat gezeigt, wie schnell aus einer Exchange-Lücke tausende verschlüsselte Unternehmensnetze werden.

Besondere Brisanz für Kanzleien und Arztpraxen

Für Berufsgeheimnisträger gilt das doppelt: In Mandanten- und Patientenkorrespondenz liegen Daten, deren Abfluss nicht nur DSGVO-Meldepflichten auslöst, sondern auch strafrechtliche Relevanz (§ 203 StGB) und massiven Vertrauensschaden bedeutet. Und NIS2-regulierte Unternehmen müssen ohnehin nachweisen können, dass sie Schwachstellen systematisch und zeitnah behandeln – ein drei Wochen ungepatchter, aus dem Internet erreichbarer Mailserver ist das Gegenteil davon.

Was ein Vorfall wirklich kostet

Rechnen Sie kurz mit: Ein verschlüsseltes oder kompromittiertes Mailsystem bedeutet für ein mittelständisches Unternehmen typischerweise mehrere Tage Stillstand der Kommunikation, forensische Untersuchung, DSGVO-Meldung an die Aufsichtsbehörde und – wenn Kundendaten betroffen sind – die Benachrichtigung jedes einzelnen Betroffenen. Dem stehen auf der anderen Seite wenige Stunden Wartungsfenster für ein Sicherheitsupdate gegenüber. Diese Rechnung geht in jedem Szenario zugunsten des Patchens aus; dass sie in tausenden Unternehmen trotzdem anders entschieden wird, liegt selten an Kosten, sondern an fehlender Zuständigkeit. Wer im Unternehmen kennt heute die Antwort auf die Frage: „Sind unsere August-Updates drauf – und wer hat das geprüft?" Wenn die Antwort Schweigen ist, ist das der eigentliche Befund dieses Artikels.

So sichern Sie Ihren Exchange Server jetzt ab

Schritt 1: Sofort patchen und prüfen

Spielen Sie die August-2026-Updates von Microsoft unverzüglich ein, falls noch nicht geschehen. Wichtig: Prüfen Sie anschließend, ob der Server bereits kompromittiert wurde – ein Patch schließt die Tür, wirft aber niemanden hinaus, der schon drin ist. Achten Sie auf ungewöhnliche Postfachregeln, unbekannte Administratorkonten und auffällige Web-Verzeichnisse. Im Zweifel gehört diese Prüfung in die Hände von Forensikern – die Incident-Response-Spezialisten von Valyros unterstützen bei der Kompromittierungsanalyse. Kompromittierungsprüfung anfragen.

Schritt 2: Angriffsfläche reduzieren

Stellen Sie die Frage, die zu selten gestellt wird: Muss dieser Exchange Server überhaupt direkt aus dem Internet erreichbar sein? Vorgelagerte Schutzschichten, moderne Authentifizierung und eine saubere Netzsegmentierung reduzieren das Risiko erheblich. Ein Penetrationstest zeigt Ihnen, wie Ihre Exchange-Umgebung aus Angreifersicht aussieht – oft mit ernüchternden, aber heilsamen Ergebnissen.

Schritt 3: Patch-Management zum Prozess machen

Die eigentliche Lehre aus den 5.100 ungepatchten Servern ist nicht technisch, sondern organisatorisch: Patchen braucht einen Verantwortlichen, eine Frist und eine Kontrolle. Ein externer Informationssicherheitsbeauftragter (ISB) etabliert genau diese Prozesse – inklusive der Dokumentation, die NIS2 und Versicherer zunehmend verlangen. Und weil zwischen Patch-Erscheinen und Einspielen immer ein Restfenster bleibt, sorgt ein 24/7-Monitoring per Managed Detection & Response dafür, dass ein Ausnutzungsversuch in diesem Fenster nicht unbemerkt bleibt.

Fazit

CVE-2026-62911 ist weniger eine Geschichte über eine einzelne Lücke als über ein strukturelles Problem: Tausende deutsche Unternehmen erfahren von kritischen Schwachstellen zu spät – oder handeln zu spät. Wenn Sie unsicher sind, wie es um den Patchstand und die Erreichbarkeit Ihrer Systeme steht, verschaffen wir Ihnen gern Klarheit: mit einem kompakten Sicherheitscheck Ihrer extern erreichbaren Dienste. Jetzt unverbindlich anfragen.

Quelle: Borncity – Fast 22.000 Exchange-Server angreifbar (02.09.2026), auf Basis von Scans der ShadowServer Foundation vom 28.08. und 01.09.2026.