Exchange-Sicherheitslücke CVE-2026-62911: Jetzt handeln und sicher in die Cloud umziehen

Worum geht es – und warum sollten Sie jetzt weiterlesen?

Die E-Mail ist für die meisten Unternehmen das wichtigste Kommunikationsmittel: Angebote, Rechnungen, Verträge, Kundenanfragen – alles läuft über das Postfach. Genau dort klafft aktuell eine ernste Sicherheitslücke. Sie trägt den Namen CVE-2026-62911 und betrifft Microsoft Exchange, also den E-Mail-Server, den viele Firmen bis heute im eigenen Haus betreiben.

Kurz zur Einordnung: „On-Premises“ (gesprochen: on premisses) bedeutet einfach, dass der E-Mail-Server bei Ihnen im Unternehmen steht – im Serverraum oder im Keller – und von Ihnen selbst gewartet wird. Das Gegenstück ist die Cloud, bei der Microsoft den Server betreibt und pflegt. Betroffen von dieser Lücke ist nur die eigene Variante im Haus. Und davon gibt es in Deutschland viele: Rund 5.100 solcher Server sind angreifbar – damit ist Deutschland nach den USA das am zweitstärksten betroffene Land der Welt.

In diesem Beitrag erklären wir ohne Fachchinesisch, was die Lücke bedeutet, wie gefährlich die Lage wirklich ist, was Sie jetzt sofort tun sollten – und warum der Umzug in die Cloud die einzige Lösung ist, die das Problem dauerhaft aus der Welt schafft.

Was ist CVE-2026-62911? Die Sicherheitslücke einfach erklärt

„CVE“ ist nur ein weltweit einheitliches Nummernschild für Sicherheitslücken. Jede neu entdeckte Schwachstelle bekommt so eine eindeutige Nummer, damit alle Beteiligten über dasselbe Problem sprechen. CVE-2026-62911 ist die Nummer für genau die eine Lücke in Microsoft Exchange, um die es hier geht.

Fachleute nennen die Schwachstelle einen „Authentication Bypass per Capture-Replay“. Das klingt kompliziert, meint aber etwas Anschauliches: Normalerweise muss sich jeder am Server anmelden, bevor er etwas darf – wie an einer Tür mit Schlüsselkarte. Bei dieser Lücke kann ein Angreifer den Anmeldevorgang gewissermaßen mitschneiden und später erneut abspielen. Er verschafft sich damit Zugang, ohne das eigentliche Passwort zu kennen – so, als hätte er heimlich eine Kopie der Schlüsselkarte gezogen.

Microsoft bewertet die Gefahr mit einem Wert von 8,0 von 10 möglichen Punkten (dem sogenannten CVSS-Wert) – das gilt als „hoch“. Entdeckt wurde die Lücke vom renommierten Sicherheitsforscher Orange Tsai und öffentlich beim Hacker-Wettbewerb Pwn2Own vorgeführt. Es handelt sich also nicht um Panikmache, sondern um ein handfestes, bestätigtes Problem.

Was kann ein Angreifer damit anrichten?

Das Unangenehme an dieser Lücke: Es reicht schon ein einfacher Zugang mit Basisrechten, um sie auszunutzen. Gelingt der Angriff, kann der Angreifer die Postfächer aller Nutzer auf diesem Server übernehmen. Konkret heißt das: E-Mails mitlesen, Anhänge herunterladen und Nachrichten in Ihrem Namen verschicken. Für ein Unternehmen ist das ein Albtraum – von abgegriffenen Geschäftsgeheimnissen bis zu gefälschten Rechnungen an Ihre Kunden ist damit vieles möglich.

Wie ernst ist die Lage in Deutschland?

Weltweit gelten rund 22.000 Exchange-Server als ungeschützt und aus dem Internet erreichbar. Auf Deutschland entfallen davon etwa 5.100 Systeme – das ist der zweithöchste Wert nach den USA (rund 6.200). Besonders alarmierend: Schätzungen zufolge sind etwa 85 Prozent der aus dem Internet erreichbaren deutschen Exchange-Server noch nicht mit dem Update versorgt.

Warum das jetzt so dringend ist: Seit Ende August 2026 kursiert im Internet fertiger Angriffs-Code, mit dem sich die Lücke ausnutzen lässt. Das niederländische Cyber-Sicherheitszentrum NCSC bestätigt, dass dieser Code frei verfügbar ist. Man kann sich das wie einen veröffentlichten Nachschlüssel vorstellen: Solange die Tür nicht ausgetauscht ist, kann ihn im Prinzip jeder nachbauen. Breitflächige Angriffe sind bislang zwar nicht offiziell bestätigt – doch mit jedem Tag, an dem ein Server ungepatcht am Netz hängt, steigt das Risiko spürbar.

Das müssen Sie jetzt tun – Schritt für Schritt

Die gute Nachricht: Sie sind der Lücke nicht hilflos ausgeliefert. Fünf Schritte bringen Sie zügig auf die sichere Seite. Die ersten drei sollten Sie sofort angehen, die letzten beiden planen Sie am besten gemeinsam mit einem Partner wie CodeKlar.

Abbildung 1: Ihre fünf Schritte gegen CVE-2026-62911 – von der sofortigen Absicherung bis zum sicheren Umzug in die Cloud.

Schritt 1 – Inventur: Verschaffen Sie sich zuerst einen Überblick. Betreiben Sie überhaupt Exchange im eigenen Haus oder eine Mischform aus eigenem Server und Cloud (eine sogenannte „Hybrid“-Umgebung)? Nur was Sie kennen, können Sie auch absichern.

Schritt 2 – Patchen: Spielen Sie das Sicherheitsupdate ein. Microsoft hat es bereits am 11. August 2026 im Rahmen des monatlichen Update-Termins (dem „Patchday“) veröffentlicht. „Patchen“ bedeutet dabei nichts anderes als das Aufspielen dieser Korrektur – so wird die offene Tür wieder verschlossen.

Schritt 3 – Abschotten: Können Sie ein System aus technischen Gründen nicht sofort aktualisieren, trennen Sie es umgehend vom Internet. Ein Exchange-Server, der nur intern erreichbar ist, bietet Angreifern von außen keine Angriffsfläche mehr. Diese Empfehlung geben ausdrücklich auch die offiziellen Sicherheitsbehörden.

Schritt 4 – Umziehen: Ein Patch schließt zwar diese eine Lücke, löst aber nicht das grundsätzliche Problem eines alten Servers im Haus (dazu gleich mehr). Der nachhaltige Weg ist der Umzug der Postfächer in die Microsoft-Cloud – zu Exchange Online.

Schritt 5 – Absichern: Nach dem Umzug sorgen ein durchdachter Schutz und ein laufender Betrieb dafür, dass Ihre E-Mail dauerhaft sicher bleibt und Updates automatisch im Hintergrund passieren.

Warum Patchen allein nicht reicht: das Support-Ende

Selbst wenn Sie das Update sofort einspielen, bleibt ein Problem: Microsoft hat den Support für Exchange Server 2016 und 2019 bereits am 14. Oktober 2025 offiziell eingestellt. Sicherheitsupdates gibt es seitdem nur noch über einen kostenpflichtigen Sonderweg, das ESU-Programm.

„ESU“ steht für „Extended Security Updates“, also verlängerte Sicherheitsupdates. Vereinfacht gesagt kaufen Sie sich damit zusätzliche Zeit: Gegen Gebühr liefert Microsoft weiterhin Korrekturen für ein eigentlich veraltetes Produkt. Der Haken: Dieses Programm läuft im Oktober 2026 endgültig aus, und eine weitere Verlängerung hat Microsoft ausgeschlossen. Danach erhält ein Exchange-Server im eigenen Haus überhaupt keine Sicherheitsupdates mehr – jede neue Lücke bliebe dann für immer offen.

Anders gesagt: Wer jetzt patcht, gewinnt Zeit. Wer umzieht, löst das Problem. Und die Frist für den Umzug ist ohnehin dieselbe – Oktober 2026. Es ist also klug, beides in einem Aufwasch zu erledigen, statt zweimal zu handeln.

Die nachhaltige Lösung: Umzug in die Microsoft-Cloud

Bei Exchange Online betreibt Microsoft den E-Mail-Server für Sie in der Cloud. Der entscheidende Unterschied: Es steht kein angreifbarer Server mehr bei Ihnen im Haus, der am Internet hängt, und um Updates müssen Sie sich nicht mehr kümmern – sie passieren automatisch. Lücken wie CVE-2026-62911 sind damit schlicht kein Thema mehr für Sie.

Abbildung 2: Vom verwundbaren Server im eigenen Haus zur sicheren E-Mail in der Cloud – Microsoft patcht und betreibt, Schutz ist eingebaut.

Für Unternehmen ist Exchange Online meist Teil von Microsoft 365 Business Premium. Das ist ein Rundum-Paket für bis zu 300 Mitarbeitende: Es enthält die vertrauten Office-Programme (Word, Excel, Outlook, Teams), die E-Mail in der Cloud und – besonders wichtig – zusätzliche Schutzfunktionen gegen Viren und Phishing (der Microsoft Defender). Sicherheit ist hier also von Haus aus eingebaut und nicht mehr Ihre alleinige Aufgabe.

CodeKlar plant und begleitet diesen Wechsel Schritt für Schritt – vom Umzug nach Exchange Online bis zur passenden Security & Compliance. Auf Wunsch übernehmen wir mit unseren Managed Services danach auch den laufenden, sicheren Betrieb.

Häufige Fragen (FAQ)

Sind wir betroffen, wenn wir bereits Microsoft 365 nutzen?

Wenn Ihre Postfächer vollständig in der Cloud liegen (Exchange Online), betrifft Sie diese Lücke nicht. Kritisch wird es, wenn Sie noch einen eigenen Exchange-Server im Haus haben – auch in einer Mischform aus Cloud und eigenem Server (Hybrid). Im Zweifel prüfen wir das für Sie in einem kurzen Check.

Wir haben doch eine Firewall – reicht das nicht aus?

Leider nein. Der Exchange-Server ist auf bestimmten Wegen bewusst aus dem Internet erreichbar, damit E-Mails auch von unterwegs funktionieren. Genau diese Wege nutzt der Angriff. Eine Firewall allein schließt die Lücke nicht – nur das Update, die Abschottung vom Internet oder der Umzug in die Cloud tun das.

Lohnt sich der Umzug auch für kleine Unternehmen?

Ja – und zwar unabhängig von der Größe. Gerade kleinere Betriebe ohne eigene IT-Abteilung profitieren am stärksten, weil Microsoft Betrieb, Updates und einen Teil der Absicherung übernimmt. So sinkt der eigene Aufwand, während die Sicherheit steigt.

Fazit

CVE-2026-62911 ist ein deutliches Warnsignal: Rund 5.100 Server in Deutschland sind angreifbar, ein fertiger Angriffs-Code kursiert bereits, und das Support-Ende für ältere Exchange-Versionen rückt näher. Wer jetzt nur patcht und den Server vom Internet trennt, gewinnt wertvolle Zeit – gelöst ist das Problem damit aber noch nicht.

Machen Sie aus dem Zwang eine Chance: Der Umzug nach Exchange Online steht ohnehin bis Oktober 2026 an. Wer ihn jetzt angeht, schließt die aktuelle Lücke, spart sich das teure ESU-Programm und ist für die Zukunft sicher aufgestellt. CodeKlar begleitet Sie dabei – klar, sicher und ohne Fachchinesisch.

Sie sind unsicher, ob und wie stark Sie betroffen sind? Sprechen Sie mit CodeKlar – wir prüfen Ihre Lage und zeigen Ihnen den schnellsten sicheren Weg.