IT-Consulting Blog

Stand: 27. August 2026

Mit Microsoft Intune 2608 liefert Microsoft im August 2026 ein umfangreiches Service-Release aus. Besonders relevant sind aus meiner Sicht Unattended Remote Help für Windows, Apple Declarative Device Management für VPP-Apps, das deutlich erweiterte eSIM-Management für Android Enterprise sowie neue Security-Funktionen für Linux. Dazu kommen Änderungen an der Single Device Page, Assignment Filters und mehrere kleinere Verbesserungen, die im täglichen Intune-Betrieb durchaus relevant werden können.

Viele Funktionen wirken für sich betrachtet wie kleinere Ergänzungen. Im Gesamtbild wird aber deutlich, dass Microsoft Intune weiter zu einer plattformübergreifenden Endpoint-Management-Plattform ausbaut, die Bereitstellung, Konfiguration, Support, Security und den kompletten Device-Lifecycle möglichst zentral abdecken soll.

Das Wichtigste in Kürze zu Microsoft Intune 2608

• Unattended Remote Help ermöglicht unbeaufsichtigten Support auf physischen, unternehmenseigenen Windows-Geräten.
• Apple VPP-Apps können über Declarative Device Management auf iOS, iPadOS und macOS verwaltet werden.
• Android Enterprise erhält neue Funktionen für Inventarisierung, Aktivierung und Entfernung von eSIMs.
• Die neue Single Device Page wird Standard und ist Voraussetzung für die neuen eSIM-Aktionen.
• Microsoft Defender für Linux erhält den neuen Wert Audit für die Einstellung Enforcement level.

Unattended Remote Help für Windows in Microsoft Intune 2608

Eine der für mich interessantesten Neuerungen in Intune 2608 ist Unattended Remote Help für Windows. Bei klassischen Remote-Help-Sitzungen auf Windows und macOS war bisher die Beteiligung eines Benutzers erforderlich. Für Android Enterprise Dedicated Devices gab es Unattended Control dagegen bereits vorher, neu ist jetzt die Erweiterung auf Windows.

Autorisierte Helpdesk-Mitarbeiter können sich auf einem unterstützten physischen Windows-Gerät mit ihren eigenen Zugangsdaten anmelden, ohne dass der Benutzer die Sitzung aktiv annehmen muss. Das ist insbesondere für Kiosk-Geräte, Shared Devices, Systeme im Schichtbetrieb oder Wartungsarbeiten außerhalb der Geschäftszeiten interessant.

Remote Help ist außerdem seit Juli 2026 in Microsoft 365 E3 und E5 enthalten, zuvor war die Funktion Teil eines kostenpflichtigen Intune-Suite-Add-ons. Damit dürfte Unattended Remote Help für deutlich mehr Unternehmen praktisch relevant werden als noch vor wenigen Monaten.

Voraussetzungen und Einschränkungen

Unattended Remote Help sollte allerdings nicht mit einem allgemeinen unbeaufsichtigten Fernzugriff auf sämtliche Windows-Systeme verwechselt werden. Microsoft definiert dafür klare Voraussetzungen:

• Unterstützt werden nur physische, unternehmenseigene Windows-Geräte, die in Intune registriert und Microsoft Entra joined oder Entra hybrid joined sind.
• Das Gerät benötigt eine x64-Architektur.
• BYOD- und private Geräte, Windows 365 Cloud PCs, Azure Virtual Desktop und andere virtuelle Maschinen werden nicht unterstützt.
• Das Gerät muss eingeschaltet und mit dem Internet verbunden sein.
• Die Intune Management Extension ist erforderlich.
• Remote Desktop muss auf dem Zielgerät aktiviert sein.
• Die Umsetzung nutzt Azure Virtual Desktop Agent und Bootloader, entsprechend müssen die AVD-Session-Host-Endpunkte netzwerkseitig erreichbar sein.
• Für unbeaufsichtigte Sitzungen existiert eine eigene RBAC-Berechtigung, die explizit zugewiesen und über Scope Tags eingegrenzt werden muss.
• Attended und Unattended laufen unter getrennten Remote-Help-Anwendungen.

Aus meiner Sicht ist gerade das RBAC-Modell ein wichtiger Punkt. Helpdesk-Mitarbeiter erhalten hier einen deutlich erhöhten Zugriff auf Endgeräte, deshalb sollten Rollentrennung und Least Privilege bereits vor dem Rollout sauber definiert werden. Die Logik ist vergleichbar mit dem AD-Tiering-Modell, bei dem privilegierte Zugriffe ebenfalls bewusst getrennt und auf den tatsächlich notwendigen Bereich beschränkt werden.

Datenschutz bei Unattended Remote Help

Laut Microsoft-Dokumentation kann der Benutzer die Aktionen des Support-Mitarbeiters während einer unbeaufsichtigten Sitzung nicht mitverfolgen, wird aber benachrichtigt, wenn eine solche Sitzung aktiv ist. Der Helper meldet sich mit eigenen Zugangsdaten in einer separaten Windows-Session am Anmeldebildschirm an und übernimmt damit nicht die laufende Sitzung des Benutzers. Sitzungsaufzeichnungen werden vom Dienst nicht gespeichert. In Deutschland würde ich die Einführung trotzdem vor dem produktiven Rollout mit Betriebsrat und Datenschutz abstimmen, da eine solche technische Einrichtung je nach Einsatzszenario mitbestimmungsrelevant sein kann. Zusätzlich würde ich die Unattended-RBAC-Rolle sehr eng scopen und Conditional Access für Helper-Konten erzwingen, das ist eine Praxisempfehlung aus Security-Sicht und keine Rechtsberatung.

Apple DDM für VPP-Apps in Microsoft Intune 2608

Auch beim Apple-Management geht Microsoft mit Intune 2608 weiter in Richtung Declarative Device Management, DDM. Erforderliche VPP-Apps können jetzt auf Geräten mit iOS und iPadOS ab 17.2 sowie macOS ab Version 26 über DDM verwaltet werden.

Der Unterschied zum klassischen MDM-Modell ist technisch relevant. Beim deklarativen Ansatz erhält das Endgerät stärker einen gewünschten Zielzustand und kann selbstständiger auf Änderungen reagieren. Bei der App-Bereitstellung ermöglicht das effizientere Abläufe, aktuellere Statusinformationen und zusätzliche Optionen wie automatische App-Updates.

Wichtig für bestehende Apple-Umgebungen ist der operative Aspekt: Der Management-Typ wird beim Hochladen eines neuen VPP-Tokens auf DDM umgestellt. Es handelt sich damit nicht einfach um einen Schalter an bestehenden Tokens, sondern um einen Migrationsschritt, den Unternehmen mit historisch gewachsenen VPP-Strukturen einplanen sollten.

Die Richtung ist übrigens nicht nur bei Apple zu beobachten. Auch Microsoft arbeitet bei Windows immer stärker mit deklarativen Management-Modellen. Mehr dazu habe ich bereits im Beitrag zu MMP-C und deklaratives Windows-Client-Management beschrieben.

Android eSIM-Management in Microsoft Intune 2608

Bei Android Enterprise erweitert Microsoft Intune 2608 den eSIM-Lifecycle erheblich. Administratoren können zusätzliche SIM-Daten inventarisieren, eSIMs auf unterstützten Geräten aktivieren, einzelne eSIMs entfernen und das Verhalten von eSIMs bei einem Device-Wipe steuern.

Die Funktionen haben allerdings unterschiedliche Mindestversionen:

Beim Entfernen einer einzelnen eSIM wird die ICCID aus dem Geräteinventar benötigt. Für den Wipe eines einzelnen Gerätes bleiben eSIMs standardmäßig erhalten, bei Bedarf kann der Administrator dort die Entfernung auswählen. Persönlich verwaltete Work-Profile-Geräte werden bei der eSIM-Aktivierung und bei dieser Wipe-Option nicht unterstützt.

Zusätzlich gibt es im Settings Catalog die Richtlinie Remove all eSIMs during a device wipe. Sie fordert bei unterstützten unternehmenseigenen Geräten die Entfernung aller eSIMs während eines Wipes an. Microsoft kennzeichnet die neuen eSIM-Funktionen ausdrücklich als schrittweise ausgerollt, sie können deshalb aktuell noch nicht in jedem Tenant verfügbar sein.

Besonders wichtig ist die Verbindung zur neuen Geräteansicht: Die eSIM-Aktionen zum Aktivieren einer eSIM, zum Entfernen einer einzelnen eSIM und zur Auswahl des eSIM-Verhaltens bei einem Einzelgeräte-Wipe sind ausschließlich über die neue Single Device Page verfügbar. Wer Preview new device view deaktiviert, kann diese Aktionen nicht verwenden. Damit gibt es neben der geänderten Navigation einen sehr konkreten funktionalen Grund, die neue Geräteansicht jetzt produktiv zu übernehmen.

Android Enterprise Settings Catalog: neue Einstellungen in Intune 2608

Neben dem eSIM-Management erweitert Microsoft den Android Enterprise Settings Catalog um mehrere Einstellungen, die im Betrieb durchaus interessant sind.

Screen Timeout für Android Enterprise

Mit Screen timeout lässt sich festlegen, nach wie vielen Sekunden das Display ausgeschaltet wird. Der konfigurierte Wert muss kleiner oder gleich Time to lock screen sein. Für COBO- und COSU-Geräte wird die Einstellung ab Android 9 unterstützt, bei COPE-Geräten ab Android 15.

Getrennte Kennwörter für Gerät und Work Profile

Die Einstellung Block one lock for device and work profile gilt ausschließlich für COPE-Geräte ab Android 9. Sie muss auf True gesetzt werden, nachdem eine Kennwortanforderung für das Arbeitsprofil konfiguriert wurde. Standardmäßig steht die Einstellung auf False, Gerät und Arbeitsprofil verwenden dann eine gemeinsame Sperre.

Work Profile nur begrenzte Zeit deaktivieren

Mit Number of days work profile is allowed to be switched off kann festgelegt werden, wie lange ein Benutzer das Arbeitsprofil deaktiviert lassen darf. Der Mindestwert beträgt drei Tage, mit 0 wird die Beschränkung deaktiviert, ein dokumentiertes Maximum gibt es nicht. Die Einstellung gilt nur für COPE-Geräte.

Bildschirm während des Ladens eingeschaltet lassen

Für COBO- und COSU-Geräte können die Modi AC, USB und Wireless einzeln oder kombiniert ausgewählt werden. AC und USB werden ab Android 6.0 unterstützt, Wireless ab Android 8.1. Standardmäßig ist keiner der Modi aktiv, für Kiosk-, Informationsdisplay- und ähnliche Dedicated-Device-Szenarien kann die Einstellung aber sehr praktisch sein.

Neue Single Device Page in Microsoft Intune 2608

Die überarbeitete Single Device Page ist mit Intune 2608 standardmäßig für alle Kunden aktiviert. Geräteinformationen, Aktivitäten, Device-Aktionen, Tools, Reports, Remediations und weitere Funktionen werden stärker in einer zentralen Ansicht gebündelt.

Aktuell kann über Preview new device view noch auf die bisherige Geräteansicht zurückgeschaltet werden. Laut aktualisierter Microsoft-Dokumentation soll die alte Ansicht mit Intune 2609 vollständig ersetzt werden.

Aus meiner Sicht sollte man deshalb nicht mehr viel Zeit in Dokumentationen oder Helpdesk-Prozesse investieren, die ausschließlich auf der bisherigen Ansicht basieren. Zusätzlich sind, wie im eSIM-Abschnitt beschrieben, mehrere der neuen Android-eSIM-Aktionen nur in der neuen Single Device Page verfügbar. Damit ist die Umstellung inzwischen nicht mehr nur eine Frage der Gewöhnung an eine neue Oberfläche.

Assignment Filters mit operatingSystemVersion in Intune 2608

Die Eigenschaft operatingSystemVersion für Intune Assignment Filters ist mit Release 2608 allgemein verfügbar. Apps und Richtlinien lassen sich damit gezielt auf Geräte mit bestimmten Betriebssystemversionen oder Build-Bereichen einschränken.

In Kundenumgebungen finde ich das besonders für Pilotierungen interessant. Eine neue Konfiguration kann beispielsweise zunächst nur auf einer aktuellen Windows-Version getestet werden, ältere Builds lassen sich gleichzeitig aus der Zuweisung ausschließen. Solche Filter sind häufig übersichtlicher als zusätzliche dynamische Entra-Gruppen für jede einzelne Deployment-Logik.

Wer sich generell mit der schnelleren und kontrollierteren Verarbeitung von Intune-Richtlinien beschäftigt, findet ergänzende Informationen in meinem Beitrag zu Config Refresh in Intune.

Microsoft Defender für Linux in Intune 2608

Bei Linux handelt es sich nicht um einen neuen eigenständigen „Audit Mode“. Korrekt ist, dass das Microsoft Defender Antivirus Template für Linux einen neuen Wert Audit für die bereits vorhandene Einstellung Enforcement level erhält. Das Template ist Teil der Endpoint-Security-Antivirus-Richtlinie.

Mit Audit erkennt Microsoft Defender Bedrohungen in Echtzeit und meldet diese im Microsoft Defender Portal, führt aber keine automatische Bereinigung oder Quarantäne durch. Damit kann eine neue Security-Konfiguration zunächst beobachtet werden, bevor ein stärkeres Enforcement aktiviert wird.

Das Template wird sowohl für direkt durch Intune verwaltete Linux-Geräte als auch im MDE-Attach-Szenario über Microsoft Defender for Endpoint Security Settings Management unterstützt. Die ebenfalls neue Memory-Scan-Einstellung bezieht sich auf Linux-Geräte, die über MDE Security Settings Management verwaltet werden.

Gerade bei Servern oder Entwickler-Workstations würde ich neue Security-Policies zunächst kontrolliert validieren. Wer Microsoft Defender gleichzeitig als Signal für Zugriffsentscheidungen nutzt, sollte auch die Wechselwirkungen mit Conditional Access und Defender for Endpoint berücksichtigen.

Windows 365 for Agents Security Baseline in Intune 2608

Neu ist außerdem eine Security Baseline für Windows 365 for Agents Cloud PCs. Administratoren erhalten damit empfohlene, gerätebezogene Einstellungen für Windows 11, Microsoft Edge und Microsoft Defender for Endpoint, die anschließend an die eigenen Anforderungen angepasst werden können.

Für viele Intune-Umgebungen dürfte dieses Feature aktuell noch keine unmittelbare Priorität haben. Strategisch finde ich es trotzdem interessant, weil auch agentische Workloads von Beginn an als verwaltete Systeme betrachtet werden. Solche Cloud PCs gehören aus meiner Sicht genauso in bestehende Governance-, Security- und Endpoint-Management-Prozesse wie klassische Benutzer-Clients.

Geschützte Apps in Microsoft Intune 2608

Mit Intune 2608 erweitert Microsoft außerdem die Liste der Apps, die Intune App Protection Policies unterstützen. Neu hinzugekommen sind:

• Notion, Notion Labs
• Superhuman Mail, Superhuman Labs
• Calven, Calven Pty Limited
• Heijmans, Heijmans
• Notability, Ginger Labs, nur iOS
• Ben for Intune, Thanks Ben Ltd
• SDP – On Premises | Intune, Zoho Corporation

Das ist insbesondere für BYOD-Strategien relevant. Je mehr Business-Anwendungen App Protection Policies unterstützen, desto mehr Unternehmensdaten lassen sich auf Anwendungsebene schützen, ohne zwangsläufig das komplette Endgerät verwalten zu müssen.

Weitere Neuerungen in Intune 2608 im Kurzüberblick

Geräteinventar für persönlich verwaltete Android-Geräte mit AMAPI

Persönlich verwaltete Android-Enterprise-Geräte mit Arbeitsprofil, die über die Android Management API verwaltet werden, erscheinen jetzt auf der Inventory-Seite, im Resource Explorer und in Multi-Device Query. Der verfügbare Datensatz ist bewusst kleiner als bei Corporate-owned-Geräten, IMEI, ICCID und MAC-Adresse stehen beispielsweise nicht zur Verfügung. Aus BYOD- und Datenschutzsicht halte ich diese Begrenzung für sinnvoll, weil Intune mehr betriebliche Transparenz erhält, ohne dieselbe Hardware-Tiefe wie bei Unternehmensgeräten zu erfassen.

Enhanced Logging für supervised Apple-Geräte

Intune unterstützt Apples Enhanced-Logging-Geräteaktion für unterstützte supervised Geräte. Administratoren können mit einem von AppleCare bereitgestellten Token eine AppleCare-Diagnoseprotokollsammlung starten und den vom Gerät gemeldeten Status anschließend über DDM verfolgen. Das kann die Fehlersuche vereinfachen, wenn klassische Diagnosedaten nicht ausreichen.

Apple Settings Catalog für OS 27 Betas

Im Apple Settings Catalog stehen neue Optionen zum Testen der OS-27-Betas zur Verfügung. Dazu gehören DDM-Bereiche wie App Settings, Web Content Filter und Siri Settings für iOS, iPadOS und macOS. Für Unternehmen mit strukturierten Apple-Testgruppen können diese Einstellungen interessant sein, um Management-Änderungen vor einem breiteren OS-Rollout zu evaluieren.

Neue Setup-Assistant-Skip-Keys

Für Apple Automated Device Enrollment ergänzt Microsoft neue OS-27-Skip-Keys für Liquid Glass und Accessibility Appearance. Damit lassen sich diese Setup-Assistant-Seiten bei unterstützten iPhone-, iPad- und Mac-Geräten ausblenden. Für standardisierte ADE-Prozesse reduziert das zusätzliche Benutzerinteraktionen während des Rollouts.

Neue Windows-Einstellungen im Settings Catalog

Auch der Windows Settings Catalog wächst weiter. Neu sind unter anderem die Steuerung für Turn on Protected Mode in den Internet-Explorer-Sicherheitszonen, Richtlinien aus dem Microsoft-Edge-150-Template-Refresh und Disconnect if a Remote Desktop Services session when no smart card is present. Zusätzlich wurden weitere Einstellungen in den Microsoft-Office-Templates ergänzt.

Was Unternehmen mit Intune 2608 jetzt prüfen sollten

Nicht jede Neuerung muss sofort produktiv aktiviert werden. Aus meiner Sicht würde ich nach dem Release trotzdem einige Punkte konkret bewerten:

• Unattended Remote Help: Voraussetzungen, Netzwerkzugriffe, RBAC, Scope Tags, Conditional Access sowie Datenschutz und Mitbestimmung vor einem Rollout klären.
• Single Device Page: Helpdesk-Dokumentationen und interne Anleitungen auf die neue Ansicht umstellen, insbesondere wenn Android-eSIM-Funktionen genutzt werden sollen.
• Android eSIM: Gerätebestand und Android-Versionen prüfen und bestehende Carrier-Prozesse mit den neuen Intune-Möglichkeiten vergleichen.
• Apple DDM: VPP-Token-Struktur prüfen und eine mögliche DDM-Migration bewusst planen.
• Assignment Filters: Prüfen, ob bestehende dynamische Gruppen durch operatingSystemVersion-Filter vereinfacht werden können.
• Linux Defender: Audit gezielt für Pilotierungen einsetzen, bevor ein stärkeres Enforcement aktiviert wird.

Häufige Fragen zu Microsoft Intune 2608

Was ist neu in Microsoft Intune 2608?

Microsoft Intune 2608 bringt unter anderem Unattended Remote Help für Windows, Apple DDM für erforderliche VPP-Apps, ein erweitertes Android-eSIM-Management und neue Funktionen für Microsoft Defender auf Linux. Zusätzlich werden die neue Single Device Page zum Standard, operatingSystemVersion für Assignment Filters allgemein verfügbar und weitere Einstellungen für Android, Apple und Windows ergänzt.

Welche Voraussetzungen hat Unattended Remote Help für Windows?

Unattended Remote Help setzt unter anderem ein physisches, unternehmenseigenes und Intune-registriertes Windows-Gerät mit x64-Architektur voraus, das Microsoft Entra joined oder Entra hybrid joined ist. Zusätzlich werden die Intune Management Extension, aktiviertes Remote Desktop, Internetzugriff sowie Azure Virtual Desktop Agent und Bootloader benötigt, virtuelle Maschinen und BYOD-Geräte werden nicht unterstützt.

Ab welcher Android-Version funktioniert die eSIM-Aktivierung über Intune?

Die Aktivierung einer eSIM über Intune wird ab Android 15 auf unterstützten unternehmenseigenen Android-Enterprise-Geräten unterstützt. Die Aktion steht ausschließlich in der neuen Single Device Page zur Verfügung und erfordert einen Aktivierungscode des Mobilfunkproviders.

Wann ersetzt Microsoft die alte Geräteansicht im Intune Admin Center?

Die neue Single Device Page ist mit Intune 2608 standardmäßig aktiviert, aktuell kann noch auf die bisherige Ansicht zurückgeschaltet werden. Laut aktualisierter Microsoft-Dokumentation soll die alte Geräteansicht mit dem Service-Release 2609 ersetzt werden.

Mein Fazit zu Microsoft Intune 2608

Microsoft Intune 2608 ist aus meiner Sicht vor allem deshalb interessant, weil mehrere langfristige Entwicklungen gleichzeitig sichtbar werden. Endpoint-Management wird deklarativer, Remote-Support wird stärker automatisiert und mobile Geräte werden immer vollständiger über ihren gesamten Lifecycle verwaltet.

Operativ halte ich Unattended Remote Help und die neuen Android-eSIM-Funktionen für besonders relevant. Beide können bestehende Prozesse im Helpdesk beziehungsweise im Mobile-Device-Management deutlich verändern, sie benötigen aber auch eine saubere technische und organisatorische Vorbereitung.

Langfristig ist für mich die Entwicklung rund um Declarative Device Management mindestens genauso wichtig. Apple verschiebt immer mehr Management-Funktionen in Richtung DDM und auch Microsoft verfolgt bei Windows ähnliche Konzepte.

Intune entwickelt sich damit weiter weg von einer reinen Plattform zum Verteilen einzelner Policies und hin zu einer zentralen Management- und Security-Plattform für sehr unterschiedliche Geräte und Workloads. Genau deshalb lohnt es sich aus meiner Sicht, auch monatliche Service-Releases wie 2608 nicht nur auf neue Features zu prüfen, sondern auf die Auswirkungen für bestehende Betriebsmodelle.

Quellen zu Microsoft Intune 2608

• Microsoft Learn, Neuerungen in Microsoft Intune
• Microsoft Learn, Planen von Remote Help
• Big Hat Group, Intune 2608 Überblick vom 26. August 2026

Microsoft rollt monatliche Intune-Service-Updates und einzelne Funktionen schrittweise aus. Dadurch können Neuerungen abhängig vom Tenant zu unterschiedlichen Zeitpunkten sichtbar werden.

Wer in Entra ID mit Gästen arbeitet und gleichzeitig phishing-resistente MFA durchsetzen will, kennt die Sackgasse: Der Ressourcentenant fordert eine starke Methode, der Gast kann einen Passkey dort bisher aber nicht registrieren.

Microsoft schließt diese Lücke. Interessant ist dabei nicht nur die Funktion selbst, sondern auch der Zeitpunkt, denn die Einführung fällt in die Phase, in der Microsoft gleichzeitig seine eigene Bereitstellung von SMS- und Voice-Authentifizierung zurückfährt.

Der Status quo

In der aktuellen Dokumentation zu Passkeys steht unter den Known Issues weiterhin, dass die Registrierung von Passkey-Credentials für interne und externe Gastbenutzer nicht unterstützt wird, einschließlich B2B-Collaboration-Benutzern im Ressourcentenant. (Microsoft Learn)

Das ist keine Randnotiz, sondern der Kern des Problems. Der Ressourcentenant ist für die Durchsetzung seiner MFA-Anforderungen verantwortlich. Fordert eine Conditional-Access-Regel MFA für Gäste und vertraut der Ressourcentenant der MFA des Home Tenants nicht, muss ein B2B-Collaboration-Benutzer die MFA-Anforderung im Ressourcentenant erfüllen. Passkeys stehen ihm dort bisher nicht als registrierbare Methode zur Verfügung. (Microsoft Learn)

Der etablierte Weg, dies bei Microsoft-Entra-Partnerorganisationen zu vermeiden, sind die Cross-Tenant Access Settings. Aktiviert man im Ressourcentenant unter Inbound Trust die Option, der MFA des Partnertenants zu vertrauen, kann der MFA-Claim aus dem Home Tenant akzeptiert werden.

Das gilt auch im Zusammenspiel mit Authentication Strengths. Ist MFA-Trust aktiviert, prüft Entra, ob die im Home Tenant durchgeführte Authentifizierung die vom Ressourcentenant verlangte Authentication Strength erfüllt. Ist MFA-Trust deaktiviert, muss der externe Benutzer die Anforderung im Ressourcentenant mit einer dort unterstützten Methode erfüllen. (Microsoft Learn)

Dieser Weg funktioniert weiterhin und bleibt für viele Partnerschaften sinnvoll. Man sollte sich aber bewusst machen, was der Trust bedeutet: Der Ressourcentenant entscheidet zwar weiterhin über seine Zugriffsanforderungen, akzeptiert für die Erfüllung der MFA-Anforderung jedoch das Authentifizierungsergebnis des fremden Home Tenants. Die konkrete MFA-Konfiguration dort liegt außerhalb der eigenen administrativen Kontrolle.

Was Microsoft angekündigt hat

Microsoft nennt in der öffentlichen FAQ zur Abschaltung der von Microsoft bereitgestellten SMS- und Voice-Authentifizierung einen groben Rahmen: Passkey-Unterstützung für B2B-Benutzer und interne Gastbenutzer soll bis Ende des Kalenderjahres 2026 verfügbar sein. (Microsoft Learn)

Detaillierter wird es in der zugehörigen Meldung im Microsoft 365 Message Center. Da diese Ankündigungen mandantenspezifisch ausgespielt und regelmäßig aktualisiert werden, lohnt der Blick in das eigene Message Center. Suchen Sie dort nach Meldungen zu Passkeys und B2B-Benutzern, die Angaben unten stammen aus dieser Ankündigung:

• B2B-Benutzer sollen einen Passkey im Ressourcentenant registrieren und damit dessen MFA-Anforderungen erfüllen können.
• Die Registrierung soll über My Security Info des Ressourcentenants, über einen Proof-up-Prompt oder über eine Registration Campaign möglich sein.
• Für interne Gastbenutzer sind auch Passkeys in der Microsoft Authenticator App vorgesehen. Für externe Benutzer werden Microsoft-Authenticator-App-Passkeys zunächst nicht unterstützt.
• Die Funktion wird standardmäßig verfügbar. Entscheidend ist, ob der Benutzer über die Authentication Methods Policy für Passkeys im Scope liegt.
• Der übergeordnete GA-Rollout für Worldwide und GCC soll Anfang Oktober 2026 beginnen und nach aktueller Planung bis Ende Februar 2027 abgeschlossen werden.
• Für interne Gastbenutzer ist der Rollout von Anfang bis Ende Oktober 2026 vorgesehen.
• Für externe Benutzer soll der konkrete Rollout-Zeitplan noch in einem weiteren Message-Center-Update bekannt gegeben werden.

Gerade der letzte Punkt ist wichtig: Aus dem allgemeinen GA-Fenster sollte man nicht ableiten, dass alle externen B2B-Benutzer bereits im Oktober Passkeys im Ressourcentenant verwenden können.

Auch zwischen der öffentlichen FAQ und der detaillierteren Message-Center-Planung besteht derzeit eine gewisse Unschärfe: Die FAQ spricht von einer Verfügbarkeit bis Ende 2026, während das übergeordnete Rollout-Fenster der Message-Center-Meldung bis Ende Februar 2027 reicht. Für die konkrete Planung ist deshalb die Meldung im eigenen Message Center die maßgebliche Quelle.

Worldwide und GCC bedeutet außerdem nicht automatisch, dass derselbe Zeitplan für GCC High, DoD oder andere souveräne Cloud-Umgebungen gilt. Diese Umgebungen sollten separat betrachtet werden.

Der Zusammenhang mit dem Ende der Microsoft-SMS- und Voice-Zustellung

Passkeys für Gäste sind nicht nur eine Komfortverbesserung. Die Funktion kommt zu einem Zeitpunkt, an dem Microsoft gleichzeitig den Weg weg von SMS und Voice deutlich beschleunigt.

Ab dem 1. September 2026 werden Benutzer, die in der Authentication Methods Policy oder den entsprechenden Legacy-MFA-Einstellungen für SMS oder Voice aktiviert sind, automatisch für Passkeys aktiviert. Diese Benutzer werden einem Passkey Profile zugeordnet, das alle Passkey-Typen erlaubt. Außerdem wird die Registration Campaign für diese Benutzer auf Microsoft Managed gesetzt und auf Passkeys ausgerichtet. (Microsoft Learn)

Ab dem 1. Februar 2027 stellt Microsoft dann die von Microsoft bereitgestellte Telekom-Zustellung für SMS und Voice ein. Das ist ein wichtiger Unterschied zur Aussage, SMS und Voice würden vollständig aus Entra ID verschwinden.

Organisationen, die diese Methoden aus betrieblichen oder regulatorischen Gründen weiterhin benötigen, sollen stattdessen einen kundenseitig verwalteten Telekommunikationsanbieter über den Microsoft Security Store konfigurieren können. (Microsoft Learn)

Für Benutzer, deren einzige verfügbare MFA-Methode weiterhin Microsoft-bereitgestellte SMS oder Voice ist und für die kein alternativer Telekom-Provider eingerichtet wurde, wird es ab dem 1. Februar 2027 ernst: Sie können SMS oder Voice nicht mehr wie bisher zur Erfüllung der MFA-Anforderung verwenden.

Microsoft beschreibt für diese Benutzer allerdings nicht einfach einen Lockout. Stattdessen sollen Benutzer, deren einzige MFA-Methode SMS oder Voice ist, während der Anmeldung einen blockierenden Prompt zur Registrierung eines Passkeys erhalten. Die Registrierung muss abgeschlossen werden, bevor die Anmeldung fortgesetzt werden kann. Für dieses Verhalten gibt es laut Microsoft keinen Opt-out. (Microsoft Learn)

B2B- und interne Gastbenutzer sind laut Microsoft ausdrücklich im Scope dieser Änderung. Gleichzeitig soll die Unterstützung von Passkeys für diese Benutzergruppe bis Ende 2026 bereitstehen. (Microsoft Learn)

Genau hier liegt das operative Risiko.

Ein Blick in die Methodenmatrix für externe Benutzer macht das deutlich. Microsoft listet dort getrennt auf, welche Methoden eine Authentication Strength erfüllen können, wenn die MFA im Home Tenant beziehungsweise im Ressourcentenant erfolgt. In der Spalte für den Ressourcentenant stehen im Wesentlichen Textnachricht als zweiter Faktor, Anruf, Microsoft Authenticator Push und OATH Software Token. FIDO2 Security Keys und Windows Hello for Business sind dort nicht aufgeführt. (Microsoft Learn)

Zwei der vier Methoden, die einem externen Benutzer im Ressourcentenant heute zur Verfügung stehen, sind also genau die, deren Microsoft-Zustellung am 1. Februar 2027 endet.

Für interne Gäste ist das Rollout-Fenster bereits relativ klar. Bei externen B2B-Benutzern ist der genaue Zeitplan dagegen noch offen. Zwischen der geplanten Passkey-Unterstützung und dem Ende der Microsoft-Telekom-Zustellung könnte deshalb nur ein relativ kleines Migrationsfenster liegen.

Das gehört auf das Risk Register und nicht in die Kategorie „regelt sich von selbst“.

Zwei Dinge lassen sich schon heute tun: die eigenen Gastbenutzer daraufhin inventarisieren, welche Methoden sie im Ressourcentenant verwenden, und für relevante Microsoft-Entra-Partnerorganisationen prüfen, ob MFA-Trust bereits konfiguriert ist oder künftig bewusst eingesetzt werden soll.

Wer bei dieser Inventur ohnehin durch den Gastbestand geht, sollte den Termin gleich doppelt nutzen. Die Werkzeuge, um verwaiste externe Identitäten automatisiert zu erkennen und abzubauen, habe ich im Beitrag zu den Entra-Neuerungen im August 2026 beschrieben, unter anderem die Erkennung sponsorloser Gäste über Lifecycle Workflows. Ein Gastkonto, für das niemand mehr verantwortlich ist, braucht auch keine neue Authentifizierungsmethode.

Was das für Conditional Access ändert

Der eigentliche Gewinn liegt im Zusammenspiel mit Authentication Strengths.

Bisher lässt sich phishing-resistente MFA für externe Microsoft-Entra-Benutzer insbesondere dann gut durchsetzen, wenn der Home Tenant eine geeignete Methode verwendet und der Ressourcentenant dessen MFA über Cross-Tenant Access Settings vertraut.

Ohne MFA-Trust muss der externe Benutzer die Authentication Strength im Ressourcentenant erfüllen. Genau hier war die Auswahl bisher eingeschränkt, wie die oben genannte Matrix zeigt.

Mit Resource Tenant Passkeys bekommt der Ressourcentenant künftig eine zusätzliche phishing-resistente Möglichkeit, die er seinen B2B-Benutzern selbst bereitstellen kann. Das reduziert die Abhängigkeit davon, welche Methoden der fremde Home Tenant eingerichtet hat.

Typische Kandidaten für solche Anforderungen sind administrative Zugriffe, sensible Azure-Ressourcen, interne Verwaltungsportale, Entwicklungsumgebungen, Finanz- und HR-Anwendungen sowie externe Dienstleister auf geschäftskritischen Systemen.

Eine Einschränkung sollte dabei klar benannt werden: Authentication Strengths können laut aktueller Microsoft-Dokumentation nur auf externe Benutzer angewendet werden, die sich mit Microsoft Entra ID authentifizieren.

Für Email One-Time Passcode, SAML/WS-Fed, Google Federation und persönliche Microsoft-Konten empfiehlt Microsoft stattdessen den normalen MFA Grant Control. Eine gemischte externe Benutzerlandschaft sollte deshalb nicht mit einer einzigen Authentication-Strength-Policy als vollständig abgedeckt betrachtet werden. (Microsoft Learn)

Und noch eine zweite Einschränkung, die man beim Planen mitdenken sollte: Das Häkchen „phishing-resistente MFA erfüllt“ ist ein Kontrollpunkt, keine Garantie. Warum sich dieses Kriterium unter bestimmten Bedingungen erfüllen lässt, obwohl die Identität kompromittiert wurde, habe ich in der Analyse zu Pass-the-Passkey ausgeführt. Für externe Zugriffe gilt das genauso wie für interne.

Vier Dinge, die vor dem Rollout auf den Tisch gehören

Microsoft schreibt zur neuen B2B-Passkey-Unterstützung „keine Aktion erforderlich“. Das bezieht sich auf die Bereitstellung der Funktion, nicht darauf, dass Administratoren ihre Konfiguration nicht überprüfen sollten.

1. Authentication Methods Policy und Passkey Profiles

Microsoft hat mit Passkey Profiles eine wesentlich granularere Konfiguration für FIDO2-Passkeys eingeführt. Damit können unterschiedliche Profile beispielsweise für synchronisierte und device-bound Passkeys, Attestation-Anforderungen oder bestimmte AAGUIDs definiert und verschiedenen Gruppen zugeordnet werden. (Microsoft Learn)

Wichtig ist der Zustand des eigenen Tenants. Passkey Profiles wurden zunächst als Opt-in eingeführt. Tenants, die dieses Opt-in nicht aktiv genutzt haben, wurden anschließend automatisch migriert, wobei die bestehenden globalen FIDO2-Einstellungen in ein Default Passkey Profile übernommen wurden. Der Zeitplan dieser automatischen Migration unterscheidet sich je nach Cloud-Umgebung. Wer opt-in gemacht hat, sollte außerdem wissen, dass sich diese Entscheidung nicht zurücknehmen lässt. (Microsoft Learn, MC1221452)

Verlassen Sie sich deshalb nicht auf die Annahme, der Tenant sei noch in der alten Konfiguration. Sehen Sie nach, welche Profile existieren und welche Gruppen ihnen zugeordnet sind.

Prüfen Sie anschließend sowohl den Scope der Authentication Methods Policy als auch die zugeordneten Passkey Profiles. Wenn dort „All users“ oder eine Gruppe verwendet wird, die auch B2B-Benutzer umfasst, kann das nach dem Rollout eine andere Wirkung haben als heute. Bisher scheitert die Registrierung für Gastbenutzer grundsätzlich an der fehlenden Unterstützung. Künftig können Benutzer im Scope tatsächlich zur Registrierung berechtigt sein.

Bei der Profilgestaltung lohnt außerdem ein Gedanke an die Art des Passkeys. Für privilegierte Konten und externe Dienstleister mit weitreichenden Rechten sprechen gute Gründe für gerätegebundene Authenticatoren mit erzwungener Attestation statt für synchronisierte Passkeys. Die Begründung dafür steht ebenfalls im Pass-the-Passkey-Beitrag.

2. Die Änderungen vom 1. September 2026

Für Benutzer, die zu diesem Zeitpunkt für SMS oder Voice aktiviert sind, nimmt Microsoft selbst Änderungen vor.

Sie werden für Passkeys in der Authentication Methods Policy aktiviert, einem Passkey Profile zugeordnet, das alle Passkey-Typen erlaubt, und über eine auf Microsoft Managed gesetzte Registration Campaign zur Passkey-Registrierung geführt. (Microsoft Learn)

Wer diese automatische Migration nicht möchte, kann sich für die Übergangsphase bis zum 1. Februar 2027 vorübergehend herausnehmen. Dafür wird in der Authentication Methods Policy über Microsoft Graph die Eigenschaft passkeyDynamicMigration innerhalb von optOutSettings auf true gesetzt. Microsoft dokumentiert das aktuell gegen den Beta-Endpunkt, die API-Unterstützung steht seit dem 1. August 2026 bereit. Für die Durchsetzung ab dem 1. Februar 2027 gibt es diesen Opt-out nicht. (Microsoft Learn)

Wer seine Passkey-Scopes im Oktober bewertet, sollte deshalb berücksichtigen, dass Microsoft sie im September möglicherweise bereits verändert hat.

3. Registration Campaigns

Sind B2B-Benutzer im Scope einer Registration Campaign, können sie nach Verfügbarkeit der Funktion während der Anmeldung zur Passkey-Registrierung aufgefordert werden.

Das kann ausdrücklich gewollt sein. Es sollte nur nicht der Helpdesk sein, der als Erstes davon erfährt.

Und es gibt einen zweiten Grund, hier sauber zu kommunizieren. Genau diese legitime Aufforderung zur Passkey-Registrierung dient Angreifern derzeit als Vorwand. Die Vishing-Kampagne gegen Microsoft-365-Benutzer baut ihren Anruf darauf auf, dass „aus Sicherheitsgründen ein neuer Passkey eingerichtet werden muss“. Eine unangekündigte Registrierungsaufforderung bei externen Partnern, die den internen Kommunikationskanälen ohnehin nicht folgen, ist für so eine Masche der ideale Nährboden. Kündigen Sie den Rollout an, benennen Sie die legitimen Registrierungswege, und sagen Sie dazu, dass niemand telefonisch durch diesen Prozess führt.

Dass der Registrierungsprozess und nicht die Kryptografie das eigentliche Angriffsziel ist, zeigt auch die Forschung zu Borrowing Windows Hello Keys. Wer B2B-Benutzern künftig erlaubt, Authentifizierungsmethoden im eigenen Tenant zu hinterlegen, sollte diese Registrierungen protokollieren und auswerten.

4. Conditional Access

Konkret sollte geprüft werden:

• Wo wird MFA für Gäste verlangt?
• Wo sind Authentication Strengths im Einsatz?
• Ist MFA-Trust für bestimmte Partner oder über die Default Settings konfiguriert?
• Welche externen Benutzer authentifizieren sich tatsächlich über Microsoft Entra ID und welche beispielsweise über Email OTP oder andere Identity Provider?
• Ist die Registrierung von Sicherheitsinformationen selbst über eine Conditional-Access-Richtlinie abgesichert, und gilt das auch für externe Benutzer?

Wenn Resource Tenant Passkeys verfügbar sind, kann man bei bestimmten Partnern bewusster entscheiden, ob man dem MFA-Claim des Home Tenants vertraut oder die MFA-Anforderung mit einer eigenen Methode im Ressourcentenant erfüllen lassen möchte.

Diese Entscheidung trifft man besser im Architektur- und Security-Review als im Support-Ticket.

Helpdesk und Datenschutz

Die Fragen, die kommen werden, sind absehbar:

• Warum soll ich hier noch einen Passkey registrieren?
• Warum reicht mein bestehender Passkey aus meinem eigenen Tenant nicht?
• Warum funktioniert Microsoft Authenticator bei mir nicht, beim Kollegen aber schon?

Vor allem die Unterscheidung zwischen internen Gästen und externen Benutzern ist für Endanwender kaum sichtbar.

Microsoft beschreibt interne Gäste als Benutzer, die im eigenen Tenant über interne Anmeldeinformationen verfügen, deren UserType aber auf Guest gesetzt ist. Solche Konten stammen häufig noch aus Szenarien, die vor der breiten Einführung von B2B Collaboration üblich waren. Externe Benutzer authentifizieren sich dagegen außerhalb des Ressourcentenants, beispielsweise in ihrem eigenen Microsoft-Entra-Tenant. (Microsoft Learn)

Dass Passkeys in Microsoft Authenticator zunächst für interne Gastbenutzer, nicht aber für externe Benutzer vorgesehen sind, ist deshalb ein Detail, das der Helpdesk kennen sollte.

Ebenso wichtig: Der Helpdesk braucht ein Verfahren, mit dem sich externe Anrufer verifizieren lassen, und Endanwender brauchen einen bekannten Rückkanal. Bei internen Mitarbeitenden ist das meist etabliert, bei Partnern und Dienstleistern in der Regel nicht.

Auf der Governance-Seite entstehen durch die Passkey-Registrierung zusätzliche Authentifizierungsdaten im Ressourcentenant. In Umgebungen mit strengen Compliance- oder Datenschutzvorgaben sollte deshalb geprüft werden, ob bestehende Dokumentationen und Prozesse zur Verwaltung von Authentifizierungsdaten auch diese Benutzergruppe abdecken.

Einordnung

Technisch wirkt die Änderung zunächst überschaubar: Eine Benutzergruppe, die bisher keine Passkeys im Ressourcentenant registrieren konnte, bekommt diese Möglichkeit.

Praktisch ist sie deutlich wichtiger.

Resource Tenant Passkeys schließen eine Lücke zwischen dem Anspruch, phishing-resistente MFA auch für externe Zugriffe durchzusetzen, und den Methoden, die einem B2B-Benutzer bisher direkt im Ressourcentenant zur Verfügung standen.

Der zusätzliche Zeitdruck entsteht durch den 1. Februar 2027. An diesem Tag verschwindet zwar nicht SMS und Voice grundsätzlich aus Entra ID, aber die von Microsoft bereitgestellte Telekom-Zustellung endet. Für externe Benutzer trifft das eine Methodenauswahl, die im Ressourcentenant ohnehin schmal ist.

Wer Gäste oder andere Benutzer mit Microsoft-bereitgestellter telefonbasierter MFA im Bestand hat, sollte deshalb jetzt inventarisieren, welche Benutzer betroffen sind und welche Zielmethode für sie vorgesehen ist.

Für viele sollte die Antwort Passkey lauten. Je nach Szenario können aber auch MFA-Trust, andere starke Authentifizierungsmethoden oder ein kundenseitig verwalteter Telekommunikationsanbieter Teil der Übergangsstrategie sein.

Darauf zu warten, dass der B2B-Passkey-Rollout das Problem automatisch löst, wäre dagegen keine gute Planung.

Und noch ein Gedanke zum Schluss: Externe Identitäten sind seit Jahren einer der bevorzugten Einstiegspunkte in Cloud-Umgebungen, wie die Analyse zu Storm-2949 zeigt. Dass Gäste künftig eine eigene phishing-resistente Methode im Ressourcentenant bekommen können, ist deshalb mehr als eine Komfortfunktion. Es ist eine der wenigen Änderungen, die den Abstand zwischen internem und externem Sicherheitsniveau tatsächlich verkleinert.

Weiterführende Artikel auf diesem Blog

• Pass-the-Passkey: Wie sicher sind Passkeys wirklich?: warum „phishing-resistente MFA“ als alleiniges Conditional-Access-Kriterium nicht genügt und wann gerätegebundene Authenticatoren Pflicht sind.
• Neue Passkey-Betrugsmasche gegen Microsoft 365: Vishing gegen die Entra-Passkey-Registrierung, direkt relevant für jeden angekündigten Rollout.
• Wenn passwortlose Authentifizierung zur Angriffsfläche wird: der Registrierungsprozess als Ziel, nicht die Kryptografie.
• Microsoft Entra im August 2026: Lifecycle Workflows für sponsorlose Gäste und die Abrechnung von Guest Governance.
• Storm-2949: Identität als Sicherheitsperimeter: warum externe und vergessene Identitäten in realen Cloud-Angriffen den Einstieg liefern.

Passkeys gelten als das Ende des Passwort-Phishings. Kein geteiltes Geheimnis, keine wiederverwendbaren Passwörter, keine abfangbaren Einmalcodes – stattdessen ein privater Schlüssel, der das Gerät nie verlässt. Ein neues White Paper von Michael Grafnetter (SpecterOps), vorgestellt auf der Black Hat USA 2026, zeigt jedoch: Die kryptografische Stärke von WebAuthn nützt wenig, wenn die Implementierung drumherum patzt. Grafnetter fasst die Schwächen unter dem Begriff Pass-the-Passkey zusammen – bewusst in Anlehnung an die aus der Windows-Welt bekannten Angriffe Pass-the-Hash und NTLM-Relay.

Für IT-Verantwortliche und Berater ist die Kernbotschaft doppelt: Passkeys bleiben der richtige Weg – aber ihre Einführung ersetzt weder eine saubere Server-Implementierung noch eine durchdachte Endpoint-Härtung. Der Name ist bewusst gewählt: Wie bei Pass-the-Hash und NTLM-Relay zielt der Angriff nicht auf die Kryptografie, sondern auf die Schicht darum herum.

Das Wichtigste in Kürze

• Passkeys sind nicht „kaputt“. Sie bleiben ein deutlicher Fortschritt gegenüber Passwörtern. Das Problem liegt, wie so oft, in der Umsetzung, nicht im Konzept.
• Drei Zero-Days in Windows 11 und Microsoft Entra ID, davon zwei als Replay-Kette kombinierbar.
• Zwei sind gepatcht, eine bleibt offen: Das Credential-UI-Window-Handle-Spoofing wurde von Microsoft als „Low / Defense in Depth“ bewertet und nicht behoben.
• Malware-basiertes Passkey-Phishing funktioniert ganz ohne Microsoft-Bug – es genügt Schadcode auf dem Endgerät.
• Synchronisierte Passkeys sind bequemer, aber exponierter. Für privilegierte Konten gehören gerätegebundene Authenticatoren mit Attestation her.

Warum WebAuthn eigentlich phishing-resistent ist

Stellen wir uns einen Passkey als Schlüssel vor, der fest im Türschloss verbaut ist – er lässt sich nicht herausziehen, nicht kopieren und nicht mitnehmen. Sie können damit auf- und zusperren, aber niemand kann Ihnen den Schlüssel selbst entwenden. Genau das ist der private Schlüssel eines Passkeys: Er verlässt das Gerät nie.

Der Schutz ruht im Kern auf zwei Design-Entscheidungen.

Origin-Binding (Phishing-Schutz): Der Browser trägt die echte Herkunft der aufrufenden Seite in die signierten Daten ein, nicht die Webseite selbst. Im Bild gesprochen passt Ihr Schlüssel nur in das Schloss einer bestimmten Haustür. Baut ein Betrüger eine täuschend echte Kulisse Ihres Hauses nach, bleibt sein nachgemachtes Schloss außen vor – Ihr Schlüssel dreht sich dort schlicht nicht. Eine Phishing-Seite kann deshalb keine gültige Assertion erzeugen.

Frische Challenges und Signaturzähler (Replay-Schutz): Jede Anmeldung nutzt eine einmalige Zufalls-Challenge. Das ist wie ein Pförtner, der Ihnen bei jedem Besuch einen neuen, frisch gestempelten Losungszettel gibt – ein alter Zettel von gestern ist wertlos. Zusätzlich führen Hardware-Authenticatoren einen hochzählenden Zähler mit, vergleichbar mit einem Kilometerzähler: Tauchen plötzlich zwei Schlüssel mit demselben Zählerstand auf, muss einer davon eine Kopie sein.

Der entscheidende Haken: Diese Garantien sind nur so stark wie die Prüflogik der Gegenstelle. Es nützt der beste Losungszettel nichts, wenn der Pförtner gar nicht kontrolliert, ob er schon einmal benutzt wurde. Die WebAuthn-Spezifikation definiert ein 25-Schritte-Verfahren zur Verifikation einer Assertion. Lässt ein Betreiber wichtige Prüfungen weg – Einmaligkeit der Challenge, Bindung an die Session, Zählerkontrolle – degradiert das „unphishbare“ Verfahren still und leise zu etwas, das sich weiterleiten oder erneut abspielen lässt.

Drei Passkey-Schwachstellen in Windows 11 und Entra ID

Das Herzstück der Forschung sind drei praktisch ausnutzbare Schwachstellen. Zwei davon bilden zusammen eine komplette Replay-Kette.

1. Vollständige Assertions im Windows Event Log (CVE-2026-34348)

Bildlich gesprochen notierte hier der Pförtner den kompletten geheimen Handschlag inklusive Losungswort in ein Logbuch, das im ganzen Gebäude offen auslag. Konkret: Windows 11 schrieb vollständige WebAuthn-Assertions im Klartext in das Ereignisprotokoll Microsoft-Windows-WebAuthN/Operational.

Das betraf praktisch alle Authenticator-Typen – Windows Hello, YubiKeys, Passwort-Manager-Plugins und hybride Flows via Smartphone. Ausgenommen waren nur private Browserfenster (InPrivate/Inkognito) und einige Passwort-Manager, die den Windows-WebAuthn-Weg umgehen.

Brisant ist die Berechtigungslage: Lokal reicht Mitgliedschaft in der Gruppe „Benutzer“, remote genügen bereits Gruppen wie „Ereignisprotokollleser“ oder „Remotedesktopbenutzer“. Ein Angreifer mit geringen Rechten auf einem geteilten Rechner konnte so die Assertion eines dort angemeldeten Global Admins auslesen – ein klassischer Privilege-Escalation-Pfad in die Cloud.

Der Forscher meldete das Ganze als Privilege Escalation (CVSS 8.6). Microsoft stufte es abweichend als „Information Disclosure“ ein (CVSS 6.5, CWE-693), zahlte 1.000 US-Dollar Bounty und lieferte am 14. Juli 2026 einen Fix, der die Signatur in den geloggten Assertions auf sechs Bytes kürzt – gerade genug fürs Debugging, zu wenig für einen Replay.

2. Fehlender Replay-Schutz in Microsoft Entra ID

Genau hier machte der Pförtner den entscheidenden Fehler: Er kontrollierte nicht, ob ein Losungszettel schon einmal vorgelegt wurde. Entra ID prüfte weder die Wiederverwendung von Challenges noch Signaturzähler.

Statt Challenges serverseitig zu speichern, setzte Microsoft aus Skalierungsgründen auf kurzlebige, signierte JWT-Tokens – nominell fünf Minuten gültig, in der Praxis bis zu zehn Minuten akzeptiert (zum Ausgleich von Zeitversatz). Für automatisierte Angriffe ist das ein komfortables Zeitfenster.

Für sich genommen ist diese Lücke moderat, weil ein Angreifer zunächst HTTPS-Verkehr abfangen müsste. Kombiniert mit der Event-Log-Schwäche (Nr. 1) entsteht jedoch eine praktikable Angriffskette, die phishing-resistente MFA aushebelt – ohne dass die getesteten XDR-Lösungen (inklusive Defender for Identity unter Microsoft 365 E5) Alarm schlugen.

Microsoft rollte im Mai 2026 stillschweigend eine Zähler-Prüfung aus – allerdings nur für FIDO2-Sicherheitsschlüssel und VBS-basiertes Windows Hello. Reguläre Windows-Hello-Passkeys bleiben anfällig, weil sie stets den Zählerwert 0 senden. Auch manche synchronisierten Passkeys (etwa aus KeePassXC) unterstützen keine Zähler.

3. Credential-UI-Window-Handle-Spoofing (ungepatcht)

Man stelle sich einen unbekannten Handwerker vor, der seinen Auftragszettel direkt unter das Firmenschild eines vertrauten Unternehmens hält – schon wirkt er seriös. Technisch: Die Windows-API WebAuthNAuthenticatorGetAssertionvalidiert das übergebene Fenster-Handle (hWnd) nicht sauber. Angreifer können den Passkey-Dialog dadurch in den Kontext einer anderen, vertrauenswürdigen Anwendung – etwa des Browsers – einhängen, selbst über Benutzergrenzen hinweg.

Microsoft stufte die Schwachstelle als „Low“ in der Kategorie „Defense in Depth“ ein und schloss den Fall, ohne einen Fix zu liefern (der Forscher bewertet sie mit CVSS 8.0). Genau diese offene Lücke macht die folgenden Phishing-Techniken so überzeugend.

Passkey-Phishing: Der Angriff, der keinen Bug braucht

Der praxisrelevanteste Teil des Papers sind Angriffe, die keine spezifische Microsoft-Lücke voraussetzen – nur Malware auf dem Endgerät des Opfers.

Der Kerngedanke lässt sich wieder mit dem eingebauten Schlüssel erklären: Der Angreifer muss ihn gar nicht herausbrechen. Es reicht, im richtigen Moment höflich zu fragen „Würden Sie bitte kurz aufsperren?“ – und der Bewohner sperrt reflexartig auf. Übertragen: Ein Angreifer muss den privaten Schlüssel nicht extrahieren. Es genügt, das Betriebssystem um eine signierte Assertion zu bitten.

Ruft eine gewöhnliche Anwendung die Windows-WebAuthn-API direkt auf, gibt sie den Origin selbst an – anders als ein Browser ist sie nicht an die echte Seitenherkunft gebunden. Sie kann also eine Assertion für login.microsoft.com, github.comoder jeden beliebigen Dienst anfordern. Aus Sicht des Opfers sieht alles normal aus: Der gewohnte Windows-Hello-Dialog erscheint, man legt den Finger auf den Sensor – und die Malware erhält die fertige Assertion und reicht sie an den Operator weiter.

Mehrere Bausteine machen das alltagstauglich und gefährlich:

• Prompt Flooding – das Passkey-Äquivalent zur MFA-Fatigue, im Grunde ein Angreifer, der so lange Sturm klingelt, bis man nur zum Ruhigwerden öffnet. Nach jedem Abbrechen startet er die Zeremonie neu, bis die Challenge abläuft. Grafnetter merkt an, dass selbst erfahrene Security-Leute solche Prompts reflexartig bestätigen.
• Application-Metadata-Spoofing – der im Dialog angezeigte Anwendungsname stammt aus den Versionsinformationen der EXE. Wenige Zeilen im .NET-Projekt (AssemblyTitle, Authors) genügen, damit „Requested by Microsoft Edge (Microsoft Corporation)“ erscheint.
• Window-Handle-Injection – dank der ungepatchten Lücke (Nr. 3) erscheint der Prompt als modaler Dialog des echten Browsers und wird so nahezu ununterscheidbar von einer legitimen Anfrage.
• Remote-Desktop-Phishing – Windows leitet Passkey-Anfragen standardmäßig über RDP und Hyper-V-Enhanced-Session weiter (via MS-RDPEWA). Läuft Malware auf dem entfernten Host, kann sie den Prompt lokal beim Nutzer auslösen.

Ergänzend beschreibt das Paper den Passkey Detour Attack: Eine mit Microsoft Detours in webauthn.dll eingeklinkte Hook leitet die Zeremonie in Echtzeit um – wahlweise zum Abgreifen der Assertion, zum Unterschieben einer eigenen Challenge oder beidem gleichzeitig.

Eng verwandt ist der Angriff auf den Registrierungsprozess: Statt eine einzelne Anmeldung abzugreifen, hinterlegt ein Angreifer mit ausreichenden Rechten einen eigenen, dauerhaften Passkey im Konto des Opfers (im Paper als Shadow Passkey bezeichnet). Wie sich dieser Persistenz-Mechanismus in der Praxis über Social Engineering und legitime Registrierungs-Flows ausnutzen lässt, zeigen die realen Kampagnen in unseren Beiträgen zu Windows-Hello-Schlüsseln als Angriffsfläche und zur Passkey-Vishing-Masche gegen Microsoft 365.

Synchronisierte vs. gerätegebundene Passkeys

Ein eigenes Kapitel gilt Software-Authenticatoren. Gerätegebundene Passkeys verlassen ihre Hardware nie – der Schlüssel bleibt fest im Schloss. Synchronisierte Passkeys sind eher wie Kopien Ihres Hausschlüssels, die Sie in einem Cloud-Schließfach ablegen, damit Sie von Handy, Tablet und Laptop aus hineinkommen. Bequem – aber die ganze Sammlung ist nur so sicher wie das Zahlenschloss am Schließfach, also das Konto-Passwort des Vaults. Das kehrt das Sicherheitsversprechen um: Ein phishing-resistentes Credential wird aus einem phishbaren Passwort abgeleitet.

Das Paper zeigt konkret, wie Exportformate zum Problem werden: KeePassXC exportiert Passkeys im Klartext (immerhin mit deutlicher Warnung), Bitwarden schreibt sie im standardmäßig unverschlüsselten JSON-Export offen heraus, und auch das aufkommende Credential Exchange Format (CXF) legt das Schlüsselmaterial offen, sobald eine Datei außerhalb des geschützten Transfers landet. Malware, die Laufwerke gezielt nach solchen Dateien durchsucht, ist leicht vorstellbar.

Die klare Empfehlung: Für hochwertige Konten – der Entra-ID-Global-Admin ist das Paradebeispiel – gehören gerätegebundene Authenticatoren her, nicht synchronisierte.

Handlungsempfehlungen für die Praxis

Grafnetter bleibt trotz allem ausdrücklich optimistisch: Passkeys sind ein klarer Fortschritt gegenüber Passwörtern, und der Umstieg sollte weitergehen. Die Botschaft ist nicht „Passkeys sind unsicher“, sondern „Passkeys allein reichen nicht“.

Für Web-Application-Entwickler:

• Alle serverseitigen Prüfungen gemäß WebAuthn-Spezifikation implementieren – inklusive Erkennung wiederverwendeter Challenges und geklonter Schlüssel.
• Challenges an die Nutzer-Session binden.
• Bewährte WebAuthn-SDKs statt Eigenbau einsetzen.
• Keine sensiblen Authentifizierungsdaten in Logs schreiben.

Für Pentester und Red Teamer:

• Passkey-Implementierungen aktiv in Engagements aufnehmen.
• Gezielt auf Replay- und Relay-Schwächen prüfen.
• Assertion-Tampering testen (UV-/UP-Flags, Signatur, Zähler).

Für IT-Administratoren:

• Windows 11 konsequent aktuell halten.
• In Conditional-Access-Policies nicht allein auf das Kriterium „phishing-resistente MFA“ vertrauen (siehe dazu auch unsere Analyse der identitätsbasierten Cloud-Angriffe rund um Storm-2949).
• Ausführung nicht autorisierter Anwendungen und Installation ungeprüfter Browser-Erweiterungen unterbinden.
• Passkey-Attestation für hochwertige Nutzer erzwingen und gerätegebundene Authenticatoren bevorzugen.
• WebAuthn-Nutzung durch Nicht-Browser-Anwendungen über die Windows-Ereignisprotokolle detektieren.
• Anwender sensibilisieren, unerwartete Passkey-Prompts nicht reflexartig zu bestätigen.

FAQ zu Passkey-Sicherheit

Sind Passkeys unsicher? Nein. Passkeys sind weiterhin deutlich sicherer als Passwörter. Die Pass-the-Passkey-Forschung zeigt Schwächen in der Implementierung (Windows 11, Entra ID, Passwort-Manager-Exporte), nicht im kryptografischen Konzept von WebAuthn selbst.

Was ist Pass-the-Passkey? Ein Sammelbegriff für Angriffe, bei denen gültige WebAuthn-Assertions abgegriffen, weitergeleitet oder erneut abgespielt werden – analog zu Pass-the-Hash und NTLM-Relay. Ziel ist es, eine Identität zu übernehmen, ohne den privaten Schlüssel je zu besitzen.

Bin ich als Anwender betroffen? Zwei der drei Schwachstellen sind mit aktuellen Windows- und Entra-ID-Updates behoben. Das Credential-UI-Window-Handle-Spoofing bleibt offen. Der wirksamste Schutz ist Wachsamkeit bei unerwarteten Passkey-Dialogen plus eine gehärtete Endpoint-Umgebung.

Synchronisierte oder gerätegebundene Passkeys – was ist besser? Für Alltagskonten sind synchronisierte Passkeys ein guter, bequemer Kompromiss. Für privilegierte oder hochsensible Konten sollten gerätegebundene Authenticatoren (z. B. FIDO2-Sicherheitsschlüssel oder TPM-gestütztes Windows Hello) mit erzwungener Attestation verwendet werden.

Reicht „phishing-resistente MFA“ in Conditional-Access-Policies als Schutz? Nicht allein. Die Forschung zeigt, dass sich dieses Kriterium unter bestimmten Bedingungen erfüllen lässt, obwohl die Identität kompromittiert wurde. Es sollte Teil eines mehrschichtigen Konzepts sein.

Weiterführende Artikel auf diesem Blog

• Wenn passwortlose Authentifizierung zur Angriffsfläche wird – „Borrowing Windows Hello Keys“ – warum nicht die Kryptografie, sondern der Registrierungsprozess das Ziel ist.
• Neue Passkey-Betrugsmasche gegen Microsoft 365 (Vishing) – Social Engineering gegen die Entra-Passkey-Registrierung.
• Storm-2949: Identität als Sicherheitsperimeter – Conditional Access, Device-Code-Phishing und phishing-resistente MFA im Kontext realer Cloud-Angriffe.
• KerberLoss und ResetNightmare – Identity-Confusion-Angriffe auf Active Directory als verwandtes Muster.

Fazit

Die Pass-the-Passkey-Reihe ist ein Lehrstück dafür, dass Sicherheitsversprechen an der Umsetzung hängen. WebAuthn ist kryptografisch solide – aber ausgelassene Server-Prüfungen, ein zu geschwätziges Event Log und ein nicht validiertes Fenster-Handle reichen, um phishing-resistente MFA praktisch zu umgehen. Wer Passkeys einführt (und das sollte man), plant serverseitige Konformität, Endpoint-Härtung und Monitoring von Anfang an mit ein. Für die wirklich kritischen Identitäten führt an gerätegebundenen Authenticatoren mit Attestation kaum ein Weg vorbei.

Quelle: Michael Grafnetter, „Pass-the-Passkey Family of Attacks“, SpecterOps / Black Hat USA 2026. Stand der Angaben: White Paper Version 1.0 vom 17. Juli 2026 – Microsoft kann seither weitere Mitigationen ausgerollt haben.

Stand: 7. August 2026 – beide Schwachstellen sind gepatcht (März bzw. April 2026)

Kurzfassung: Auf der Black Hat USA 2026 hat Semperis-Researcher Shai Laron zwei Active-Directory-Schwachstellen offengelegt, die er bereits Ende 2025 an Microsoft gemeldet hatte. KerberLoss (CVE-2026-25177, CVSS 8.8) und ResetNightmare (CVE-2026-27912, CVSS 8.0) nutzen beide dasselbe Grundmuster: unsichtbare Unicode-Zeichen bringen Domänencontroller dazu, zwei unterschiedliche Objekte für dasselbe zu halten. Ergebnis: Kerberos-Downgrade auf NTLM, Denial of Service – und im schlimmsten Fall vollständige Domänenübernahme. Microsoft hat beide Lücken geschlossen. Wer seine Domänencontroller auf einem Cumulative Update ab April 2026 hält, ist geschützt. Wer nicht, hat ein akutes Problem: Die technischen Details und ein PoC sind jetzt öffentlich.

Warum Active Directory hier so empfindlich ist

Seit Windows 2000 ist Kerberos das Standardprotokoll für die Authentifizierung innerhalb einer AD-Domäne. Es übernimmt die sichere Authentifizierung von Benutzern und Computern, stellt kryptografische Tickets aus, ermöglicht Single Sign-on und vermeidet die Übertragung von Kennwörtern über das Netz.

Damit das funktioniert, muss der Domänencontroller Identitäten eindeutig auflösen können. Genau an dieser Stelle setzen beide Schwachstellen an – nicht an der Kryptografie.

Eine wichtige Präzisierung, die in vielen Meldungen untergeht: Der eigentliche Fehler liegt nicht im Kerberos-Protokoll selbst, sondern in der Namensvalidierung von Active Directory Domain Services. Das NVD ordnet CVE-2026-25177 der Kategorie CWE-641 zu – „improper restriction of names for files and other resources“. Kerberos ist der Weg, über den sich der Fehler auswirkt.

Das gemeinsame Grundmuster: Identity Confusion

Laron ging der Frage nach, welche Unicode-Zeichen in AD-Objektnamen zulässig sind, dabei aber unsichtbar bleiben. Das Ergebnis: Es existieren Zeichen, die serverseitig durch die LDAP-Verarbeitung rutschen und dazu führen, dass zwei Werte optisch identisch, logisch aber verschieden sind. Prüfungen auf Eindeutigkeit greifen damit ins Leere.

Aus dieser einen Beobachtung entstehen zwei Angriffe.

KerberLoss (CVE-2026-25177): kollidierende SPNs

Service Principal Names identifizieren Dienstinstanzen gegenüber Kerberos – etwa cifs für SMB-Freigaben, TERMSRV für RDP, dazu LDAP und HTTP. SPNs müssen domänenweit eindeutig sein, sonst kann Kerberos ein Ticket nicht dem richtigen Dienstkonto zuordnen.

Über eingeschleuste unsichtbare Zeichen lässt sich diese Eindeutigkeitsprüfung umgehen und ein kollidierender SPN registrieren. Die Folgen gestaffelt:

• Kerberos-Downgrade: Der DC kann den SPN nicht sauber auflösen, die Kerberos-Authentifizierung schlägt fehl, Clients fallen auf NTLM zurück.
• Denial of Service: Betroffene Dienste sind nicht mehr per Kerberos erreichbar.
• Rechteausweitung: Microsoft stuft die Lücke als Elevation of Privilege ein.

Bewertung durch Microsoft: Wichtig, CVSS v3.1 8.8, Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Also netzwerkbasiert, geringe Privilegien nötig, keine Nutzerinteraktion, hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.

Warum der NTLM-Fallback der eigentliche Hebel ist: NTLM wird aus Kompatibilitätsgründen weiterhin unterstützt, ist aber seit Jahren Ziel von NTLM-Relay- und Pass-the-Hash-Angriffen. Ein erzwungener Downgrade entfaltet seine Wirkung erst dann, wenn NTLM in der Umgebung überhaupt noch verfügbar ist.

ResetNightmare (CVE-2026-27912): UPN gegen sAMAccountName

Die zweite Schwachstelle ist die kritischere. Hier wird einem kontrollierten Objekt ein UserPrincipalName zugewiesen, der dem sAMAccountName eines anderen – beliebigen – Kontos entspricht. Der DC verwechselt daraufhin die Identitäten, was bis zur Übernahme von Domain-Admin-Konten führt.

Was ein Angreifer dafür braucht:

1. GenericWrite-Berechtigungen auf ein beliebiges Benutzer- oder Computerobjekt der Domäne – oder die Möglichkeit, solche Objekte anzulegen (ohne Rückgriff auf MachineAccountQuota).
2. Ein Zielkonto, dessen Passwort ausreichend alt ist. Da die Minimum Password Age in AD standardmäßig bei einem Tag liegt, ist diese Bedingung in der Praxis fast immer erfüllt.

Punkt 1 ist die entscheidende Einschränkung – und zugleich der Grund, warum die Lücke in vielen gewachsenen Umgebungen trotzdem trägt: Delegierte Schreibrechte auf OUs, Helpdesk-Gruppen mit zu weiten ACLs und historisch vergebene GenericWrite-Rechte sind eher die Regel als die Ausnahme.

Microsoft führt die Lücke als Privilege-Escalation in Windows Kerberos mit CVSS 8.0. In der Advisory-Beschreibung ist von einer fehlerhaften Autorisierung bei der Prüfung von Kerberos-Service-Ticket-Anfragen die Rede, über die ein authentifizierter Angreifer Sicherheitsprüfungen umgehen und bis zu Domain-Admin-Rechten aufsteigen kann. Semperis beschreibt denselben Sachverhalt konkreter aus Angreifersicht – über den kollidierenden UPN.

Bemerkenswert ist die Fehlerklasse: kein Speicherfehler, kein Buffer Overflow, sondern ein Logikfehler im Identitäts-Handling. Solche Schwachstellen umgehen bestehende Schutzmechanismen, ohne dass Schadcode auf einem Domänencontroller ausgeführt werden muss – klassische EDR-Erkennung greift hier nicht.

Zeitleiste und Patch-Status

Die Offenlegung auf der Black Hat USA 2026 (4.–6. August, Mandalay Bay, Las Vegas) erfolgte damit koordiniert und rund vier Monate nach dem letzten Patch.

Konkrete Maßnahmen

Priorität 1 – Patchstand der Domänencontroller prüfen. Beide Fehler liegen serverseitig: KerberLoss in AD DS, ResetNightmare im Kerberos-KDC. Entscheidend ist damit ausschließlich der Patchstand der DCs, nicht der von Member-Servern oder Clients.

Da Windows-Updates kumulativ sind, deckt jedes Cumulative Update ab dem 14. April 2026 beide CVEs ab – der März-Fix ist darin enthalten. Prüfen Sie explizit auch selten gepatchte DCs in Außenstellen, DR-Standorten und RODCs.

Eine praktische Falle: Nicht jedes April-Update ist das richtige. KB5082123 stammt zwar aus dem April 2026, behebt CVE-2026-25177 aber nicht – es adressiert die auslaufenden Secure-Boot-Zertifikate. Wer nur dieses Paket eingespielt hat, bleibt exponiert. Verifizieren Sie den Build-Stand pro DC gegen die im MSRC Update Guide gelistete KB, statt sich auf „im April gepatcht“ zu verlassen.

Sonderfall Altsysteme: Windows Server 2012 und 2012 R2 erhalten Updates nur noch bei aktivem ESU-Vertrag, und dieses Programm endet im Herbst 2026. DCs auf nicht mehr unterstützten Versionen bekommen keinen Fix – dort bleibt nur die Härtung der Berechtigungen, und mittelfristig die Migration.

Priorität 2 – Erkennung einrichten. Ohne spezialisiertes Tooling führt der Weg über SACLs zur Überwachung von AD-Objektänderungen. Ist die SACL konfiguriert, zeigt Event ID 5136 („A directory service object was modified“) im Security-Log der DCs die relevanten Änderungen:

• KerberLoss: Hinzufügen eines ServicePrincipalName, der mit einem bestehenden kollidiert.
• ResetNightmare: Hinzufügen eines UserPrincipalName, der dem sAMAccountName eines anderen Kontos entspricht.

Ergänzend: Event ID 11 im System-Log meldet erkannte doppelte SPNs; setspn -X findet Kollisionen im Bestand.

Priorität 3 – Angriffsfläche verkleinern.

• Nicht-Standard-Berechtigungen auf Benutzer- und Computerobjekten inventarisieren, insbesondere GenericWrite und Write-Property. Least Privilege macht beide Angriffe deutlich aufwendiger.
• MachineAccountQuota auf 0 setzen und Computerkonten kontrolliert über delegierte Prozesse anlegen.
• NTLM reduzieren oder abschalten, wo möglich – erst per Audit-Modus messen, dann blockieren. Ein Kerberos-Downgrade ins Leere läuft, wenn NTLM nicht mehr akzeptiert wird.
• Tiering und Privileged Access Workstations für administrative Konten konsequent umsetzen.
• AD regelmäßig auf Fehlkonfigurationen prüfen – Werkzeuge wie Purple Knight oder PingCastle liefern einen belastbaren Ausgangsbefund.

Einordnung

Der eigentliche Lerneffekt liegt nicht in den beiden CVEs, sondern im Muster. Angreifer verlagern ihren Fokus seit Jahren von Endpunkten und Servern hin zu Identitäten, Authentifizierungsprotokollen, Vertrauensbeziehungen, Active Directory und Entra ID. Ein Browser-Bug liefert Codeausführung auf einem Endgerät. Ein Fehler in der Identitätsschicht verändert dagegen, wie Vertrauen in der gesamten Umgebung aufgelöst wird.

Beide Schwachstellen zeigen außerdem, wie wenig es dafür braucht: kein Exploit-Code, kein Speicherfehler, sondern ein Zeichen, das niemand sieht. Für Unternehmen heißt das, Active Directory nicht als Verzeichnisdienst zu betrachten, sondern als geschäftskritische Sicherheitskomponente mit eigenem Monitoring, eigenem Patch-SLA und eigenem Berechtigungskonzept.

Quellen

• Semperis Security Research (Shai Laron): Identity Crisis: Novel Vulnerabilities Leading to Kerberos Downgrade, DoS, and Full Domain Takeover – semperis.com/blog
• Black Hat USA 2026, Briefing vom August 2026, Mandalay Bay Convention Center, Las Vegas
• Microsoft Security Response Center, Update Guide: CVE-2026-25177 (Patchday 10.03.2026) und CVE-2026-27912 (Patchday 14.04.2026) – dort auch die maßgebliche Liste betroffener Produkte und KB-Nummern
• NVD: CVE-2026-25177 (CVSS v3.1 8.8, CWE-641), veröffentlicht 10.03.2026, CPE-Anreicherung 13.03.2026

Passwortlose Authentifizierung gilt als einer der wichtigsten Fortschritte der letzten Jahre. Technologien wie Windows Hello for Business (WHfB) und FIDO2-Passkeys schützen Benutzer vor Phishing, Credential Stuffing und vielen klassischen Passwortangriffen.

Die aktuelle Forschung von Security-Researcher Dirk-jan Mollema zeigt jedoch eindrucksvoll: Nicht immer ist die Kryptographie das schwächste Glied – häufig sind es die Identitäts- und Provisionierungsprozesse.

Windows Hello und FIDO2 – sicher, aber unterschiedlich

Windows Hello for Business und FIDO2 basieren beide auf asymmetrischer Kryptographie.

Statt eines Passworts existiert ein Schlüsselpaar:

• Der private Schlüssel verbleibt auf dem Gerät.
• Der öffentliche Schlüssel wird beim Identitätsanbieter registriert.
• Die Anmeldung erfolgt über eine kryptographische Signatur statt über ein Passwort.

Dennoch unterscheiden sich beide Technologien:

Windows Hello for Business ist eng mit Microsoft Entra ID, der Geräteidentität und dem Primary Refresh Token (PRT) verzahnt. Es dient nicht nur der Anmeldung am Gerät, sondern auch als Grundlage für Single Sign-on innerhalb der Microsoft-Welt.

FIDO2-Passkeys hingegen folgen dem offenen WebAuthn-/CTAP2-Standard und können auf Hardware-Sicherheitsschlüsseln, Smartphones oder Plattformen wie Windows, Android oder iOS gespeichert werden.

Beide gelten weiterhin als phishing-resistent. Genau diese Aussage wird durch die Forschung auch nicht widerlegt.

Der Angriff richtet sich nicht gegen die Kryptographie

Der Titel „Borrowing Windows Hello Keys“ ist bewusst provokant gewählt.

Tatsächlich werden keine TPM-geschützten Schlüssel ausgelesen oder gestohlen.

Auch die Kryptographie von Windows Hello oder FIDO2 wird nicht gebrochen.

Stattdessen nutzt der Angriff die Möglichkeit aus, einen neuen Authentifizierungsschlüssel im Namen eines Benutzers zu registrieren.

Damit verschiebt sich die Angriffsfläche von der eigentlichen Authentifizierung hin zur Identitätsverwaltung.

Die Schlüsselrolle des Primary Refresh Tokens

Im Mittelpunkt steht der Primary Refresh Token (PRT).

Ein PRT ist weit mehr als ein gewöhnlicher OAuth-Refresh-Token. Er bildet die Vertrauensbasis für:

• Single Sign-on
• Gerätezustand
• Windows Hello for Business
• Tokenanforderungen gegenüber Microsoft Entra ID

Kann ein Angreifer unter geeigneten Voraussetzungen einen gültigen PRT oder einen vergleichbaren Vertrauensstatus erlangen, lassen sich Microsoft-interne Registrierungsprozesse nutzen, um neue Authentifizierungsschlüssel zu hinterlegen.

Genau darin liegt die eigentliche Erkenntnis der Forschung.

Warum “Borrowing” treffender ist als “Stealing”

Der Begriff „Borrowing“ beschreibt den Angriff deutlich besser als „Stealing“.

Der ursprüngliche Windows-Hello-Schlüssel bleibt unverändert auf dem Gerät des Benutzers gespeichert.

Stattdessen registriert der Angreifer einen zusätzlichen Schlüssel für dasselbe Benutzerkonto.

Der legitime Benutzer kann sich weiterhin anmelden.

Gleichzeitig besitzt nun aber auch der Angreifer einen gültigen kryptographischen Nachweis für dieses Konto.

Aus Sicht von Microsoft Entra ID handelt es sich um einen legitim registrierten Authentifizierungsschlüssel.

Betrifft das auch FIDO2?

Hier lohnt sich eine differenzierte Betrachtung.

Der Angriff bricht nicht den FIDO2-Standard und kompromittiert auch keine bereits registrierten Hardware-Sicherheitsschlüssel.

Ein YubiKey oder ein anderer FIDO2-Token lässt sich dadurch weder klonen noch auslesen.

Allerdings zeigt die Forschung, dass nicht die Authentifizierung selbst, sondern der Registrierungsprozess neuer Credentials zum Angriffsziel werden kann.

Je nachdem, welche Microsoft-Authentifizierungsmethode verwendet wird – Windows Hello for Business oder Entra-Passkeys auf Basis von FIDO2 –, können ähnliche Provisionierungsmechanismen betroffen sein.

Die eigentliche Schwachstelle liegt also nicht im kryptographischen Verfahren, sondern in den Prozessen, mit denen neue Vertrauensbeziehungen geschaffen werden.

Warum das für Unternehmen relevant ist

Viele Organisationen konzentrieren sich verständlicherweise auf den Schutz der Endgeräte:

• TPM
• Secure Boot
• Biometrie
• FIDO2
• Multifaktor-Authentifizierung

Diese Schutzmaßnahmen bleiben wichtig.

Die Forschung macht jedoch deutlich, dass ebenso viel Aufmerksamkeit auf die Identitätsplattform gelegt werden muss.

Wer neue Geräte oder Authentifizierungsschlüssel registrieren darf, welche Token hierfür verwendet werden und wie diese Vorgänge überwacht werden, ist mindestens genauso entscheidend.

Empfehlungen für Administratoren

Unternehmen sollten insbesondere folgende Bereiche überprüfen:

• Conditional-Access-Richtlinien konsequent einsetzen.
• Registrierungen neuer Geräte überwachen.
• Neue Windows-Hello- und Passkey-Registrierungen protokollieren.
• Aktivitäten rund um Primary Refresh Tokens beobachten.
• Microsoft Defender for Identity und Microsoft Entra Audit Logs aktiv auswerten.
• Registrierungsprozesse regelmäßig überprüfen und unnötige Berechtigungen entfernen.

Fazit

Die Forschung von Dirk-jan Mollema zeigt keine Schwäche in Windows Hello oder FIDO2 selbst.

Stattdessen macht sie deutlich, dass moderne passwortlose Authentifizierung nur so sicher ist wie die Prozesse, mit denen neue Authentifizierungsschlüssel registriert und Vertrauensbeziehungen aufgebaut werden.

Für Unternehmen bedeutet das: TPM, Biometrie und FIDO2 bleiben zentrale Sicherheitsbausteine. Gleichzeitig müssen aber auch Identitätsplattformen wie Microsoft Entra ID, Primary Refresh Tokens und die Registrierung neuer Credentials genauso sorgfältig geschützt und überwacht werden.

Passwortlose Authentifizierung ist damit keineswegs unsicher – sie erfordert lediglich einen erweiterten Blick auf die gesamte Vertrauenskette.

Quellen und weiterführende Informationen

Die in diesem Artikel beschriebenen Erkenntnisse basieren auf der Forschung von Dirk-jan Mollema, einem renommierten Security Researcher im Bereich Microsoft Entra ID, Active Directory und Identity Security.

Originalartikel:

• Borrowing Windows Hello Keys – https://dirkjanm.io/borrowing-windows-hello-keys/

Weitere Informationen:

• Microsoft Learn: Windows Hello for Business
• Microsoft Learn: Microsoft Entra Passkeys (FIDO2)
• Microsoft Learn: Primary Refresh Tokens (PRT)

Microsoft beendet die Exchange Web Services in Exchange Online. Am 1. Oktober 2026 beginnt die technische Durchsetzung, am 1. April 2027 wird EWS endgültig abgeschaltet.

Der entscheidende Termin liegt jedoch früher: Wer bis Ende August 2026 eine geprüfte Zulassungsliste konfiguriert und EWSEnabled auf True setzt, wird von der automatischen Abschaltung am 1. Oktober ausgenommen. Wer die Frist verstreichen lässt, gibt die Kontrolle über den Zeitpunkt aus der Hand.

Für Unternehmen bedeutet das: bestehende Anwendungen, Integrationen und Dienste mit EWS-Zugriff müssen jetzt identifiziert und bewertet werden. Andernfalls können geschäftskritische Lösungen ab Oktober 2026 unerwartet den Zugriff auf Exchange Online verlieren.

Mit EWSAllowedAppIDs steht seit Sommer 2026 die passende Konfigurationsmöglichkeit bereit. Sie ermöglicht es Administratoren, gezielt festzulegen, welche Anwendungen EWS vorübergehend weiterhin verwenden dürfen.

Ein wichtiger Hinweis zum Geltungsbereich: Die Abschaltung betrifft ausschließlich Exchange Online. Exchange Server in lokalen Installationen ist nicht betroffen und behält EWS unverändert.

Warum die EWS-Abschaltung relevant ist

EWS wird seit fast zwanzig Jahren für den Zugriff auf Exchange-Daten eingesetzt. Dazu gehören unter anderem Postfächer, Kalender, Kontakte und weitere Exchange-Funktionen.

In vielen Umgebungen wird EWS noch durch ältere Anwendungen, Archivlösungen, Backup-Produkte, Workflow-Systeme oder individuelle Integrationen verwendet. Häufig sind diese Abhängigkeiten nicht vollständig dokumentiert.

Genau darin liegt das Risiko. Eine Anwendung kann technisch unauffällig funktionieren und dennoch von EWS abhängig sein. Wird der Zugriff im Rahmen der Abschaltung blockiert, fällt die Abhängigkeit möglicherweise erst durch eine Störung auf.

Unternehmen sollten daher nicht bis 2027 warten. Die ersten konkreten Auswirkungen können bereits ab Oktober 2026 auftreten — und die Vorbereitungsfrist endet noch früher.

Die wichtigsten Termine im Überblick

Die automatische Befüllung durch Microsoft im September ist ausdrücklich kein Ersatz für eigene Arbeit. Microsoft übernimmt keine Verantwortung für die Richtigkeit der Liste, und es können Anwendungen enthalten sein, die man gar nicht zulassen möchte. Die Verantwortung für den Inhalt bleibt beim Administrator.

Sollte die August-Frist verpasst werden, ist die Lage nicht aussichtslos: EWS lässt sich nach dem 1. Oktober durch Setzen von EWSEnabled=True wieder aktivieren. Dabei kommt es allerdings zu einer Serviceunterbrechung, und diese Option besteht nur bis zum 1. April 2027.

Was ist EWSAllowedAppIDs?

EWSAllowedAppIDs ist eine mandantenweite Zulassungsliste für Anwendungs-IDs aus Microsoft Entra ID.

Administratoren können damit festlegen, welche Anwendungen weiterhin über EWS auf Exchange Online zugreifen dürfen. Anwendungen, die nicht in dieser Liste enthalten sind, werden ab Beginn der Durchsetzung blockiert.

Die Funktion unterstützt Unternehmen in drei Bereichen. Sie hilft dabei, vorhandene EWS-Abhängigkeiten sichtbar zu machen, sie begrenzt den Zugriff auf ausdrücklich genehmigte Anwendungen, und sie reduziert das Risiko ungeplanter Ausfälle während der Abschaltungsphase.

Abgrenzung zur bestehenden EwsAllowList

Wichtig ist die Unterscheidung von der EwsAllowList, die Exchange schon seit vielen Jahren kennt. Diese arbeitet auf Basis des User-Agent-Strings, also einer Textkennung im HTTP-Header, die sich leicht fälschen lässt. EWSAllowedAppIDs stützt sich dagegen auf die in Entra ID registrierte Anwendungs-ID und ist damit deutlich belastbarer.

Beide Mechanismen können parallel wirksam sein. Eine Anwendung muss beide Prüfungen bestehen, um Zugriff zu erhalten, wobei die neue AppID-Liste Vorrang hat. Wer bereits eine EwsApplicationAccessPolicy konfiguriert hat, sollte diese Konstellation vor der Umstellung gezielt prüfen.

Geltungsbereich des Parameters

EWSAllowedAppIDs wirkt ausschließlich auf direkte EWS-Verbindungen über SOAP. Anfragen über Microsoft Graph oder den REST-Endpunkt sind davon nicht betroffen.

Was ändert sich ab Oktober 2026?

Verhalten vor Oktober 2026

Das aktuelle Verhalten ist bewusst durchlässig gestaltet, damit Administratoren die Konfiguration testen können, ohne den Produktivbetrieb zu gefährden.

• Ist EWSEnabled nicht konfiguriert (Null), wird der gesamte EWS-Datenverkehr zugelassen. Eine konfigurierte Zulassungsliste hat in diesem Fall keinerlei Wirkung.
• Ist EWSEnabled auf True gesetzt und keine Zulassungsliste vorhanden, wird ebenfalls der gesamte EWS-Datenverkehr zugelassen.
• Ist EWSEnabled auf True gesetzt und eine Zulassungsliste konfiguriert, sind grundsätzlich nur die eingetragenen Anwendungen vorgesehen. Die Durchsetzung ist in dieser Phase jedoch noch nicht vollständig scharf geschaltet.
• Ist EWSEnabled auf False gesetzt, wird EWS vollständig blockiert.

Verhalten ab Oktober 2026

• Ist EWSEnabled auf True gesetzt, aber keine Zulassungsliste konfiguriert, wird der gesamte EWS-Datenverkehr blockiert.
• Ist EWSEnabled auf True gesetzt und eine Zulassungsliste vorhanden, dürfen ausschließlich die enthaltenen Anwendungen EWS verwenden.
• Ist EWSEnabled auf False gesetzt, bleibt EWS vollständig blockiert.
• Bei Mandanten, deren EWSEnabled am 1. Oktober 2026 noch auf Null steht, wird der Wert im Rahmen des stufenweisen Rollouts auf False geändert. Damit wird EWS für alle Anwendungen des Mandanten blockiert.

Die wichtigste Änderung lautet daher:

EWSEnabled=True reicht ab Oktober 2026 nicht mehr aus, um EWS-Zugriff allgemein zu erlauben. Aus einer Konfiguration, die heute „alles erlauben“ bedeutet, wird dann „nichts erlauben“.

Unternehmen, die EWS nach diesem Zeitpunkt weiterhin benötigen, müssen eine vollständige und geprüfte EWSAllowedAppIDs-Liste konfigurieren.

Scream Tests: Störungen vor dem eigentlichen Stichtag

Microsoft hat angekündigt, vor der endgültigen Abschaltung sogenannte Scream Tests durchführen zu können. Dabei wird EWS für kurze Zeiträume deaktiviert und anschließend wieder aktiviert, um versteckte Abhängigkeiten sichtbar zu machen.

Für Unternehmen ist das ein weiteres Argument für frühzeitiges Handeln: Wer EWSEnabled bereits jetzt auf True setzt, ist von diesen Tests nicht betroffen.

Welche Unternehmen sind betroffen?

Betroffen sind grundsätzlich alle Organisationen, die Exchange Online einsetzen und Anwendungen oder Dienste mit EWS-Zugriff betreiben.

Dazu zählen häufig:

• Archivierungslösungen
• Backup-Anwendungen
• Kalender- und Terminlösungen
• Workflow-Systeme
• CRM- und ERP-Integrationen
• Individuell entwickelte Anwendungen und Skripte
• Ältere Microsoft-365-Integrationen
• Multifunktionsgeräte und Raumbuchungssysteme

Auch Microsoft-Erstanbieter-Anwendungen können weiterhin EWS verwenden. Microsoft nennt hier ausdrücklich Beispiele wie Office-Clients oder Power Query für Excel. Werden sie im EWS-Nutzungsbericht angezeigt und weiterhin benötigt, müssen auch deren Anwendungs-IDs in die Liste aufgenommen werden.

Verantwortlich für die Vorbereitung sind nicht nur Exchange-Administratoren. Ebenso eingebunden werden sollten Application Owner, Software-Hersteller, interne Entwickler, Betriebsteams und externe Dienstleister.

Schritt 1: EWS-Nutzung erfassen

Der erste Schritt besteht darin, alle aktiven EWS-Abhängigkeiten im Mandanten zu identifizieren. Dafür stehen mehrere Quellen zur Verfügung:

• Der EWS-Nutzungsbericht im Microsoft 365 Admin Center
• Die monatlichen Message-Center-Beiträge, in denen Microsoft mandantenspezifische Nutzungszusammenfassungen bereitstellt
• Die Anmeldeprotokolle in Microsoft Entra ID, gefiltert auf EWS-Aktivität
• Die von Microsoft veröffentlichten Skripte aus dem Beitrag „Notes From the Field: Finding and Remediating EWS App Usage Before Retirement“

Die Nutzungsberichte liefern Anwendungs-IDs, aber nicht immer verständliche Namen. Zur Auflösung eignet sich das Microsoft Graph PowerShell-Modul:

powershell

Get-MgServicePrincipal -Filter "appId eq '11111111-2222-3333-4444-555555555555'" |
    Select-Object DisplayName, AppId

Einzelne IDs gehören zu internen Microsoft-Komponenten und lassen sich darüber nicht immer sinnvoll auflösen. Microsoft pflegt eine Referenzliste der Erstanbieter-Anwendungs-IDs, die in diesen Fällen weiterhilft.

Für jede gefundene Anwendung sollten mindestens folgende Fragen beantwortet werden:

• Wer ist für die Anwendung verantwortlich?
• Welche Geschäftsprozesse hängen von ihr ab?
• Welche Funktionen werden über EWS genutzt?
• Ist die Anwendung weiterhin erforderlich?
• Gibt es bereits eine Version mit Microsoft-Graph-Unterstützung?
• Ist eine Migration geplant?

Ohne diese Zuordnung besteht die Gefahr, Anwendungen vorschnell zuzulassen oder kritische Abhängigkeiten zu übersehen.

Schritt 2: Anwendungen bewerten

Nicht jede EWS-Anwendung sollte automatisch in die Zulassungsliste aufgenommen werden.

Zunächst sollte geprüft werden, ob die Anwendung noch benötigt wird. Anschließend ist zu klären, ob eine aktuelle Version oder eine alternative Lösung verfügbar ist, die Microsoft Graph verwendet.

Microsoft Graph ist für die meisten Exchange- und Microsoft-365-Szenarien die strategisch vorgesehene Schnittstelle. Für einzelne administrative Aufgaben kommen alternativ die Exchange Online Admin API oder Exchange Online PowerShell in Frage. EWSAllowedAppIDs sollte in keinem Fall als dauerhafte Zukunftslösung verstanden werden.

Die Zulassungsliste schafft vor allem Zeit für eine kontrollierte Migration. Sie verhindert kurzfristige Ausfälle, ersetzt aber nicht die Modernisierung bestehender Integrationen.

Ein besonderer Hinweis zu Herstellern: Ein Software-Hersteller, der lediglich empfiehlt, seine Anwendungs-ID auf die Liste zu setzen, hat damit noch keine Migrationsperspektive geliefert. Ein tragfähiger Plan umfasst einen konkreten Migrationspfad, betroffene Produktversionen, benötigte Graph-Berechtigungen und dokumentierte Funktionslücken. Fehlt das bei einer geschäftskritischen Anwendung, sollte jetzt eskaliert werden — nicht erst während einer von Microsoft gesteuerten Abschaltungswelle.

Schritt 3: EWSAllowedAppIDs konfigurieren

Alle Anwendungen, die vorübergehend weiterhin EWS verwenden müssen, werden mit ihrer Anwendungs-ID in EWSAllowedAppIDs eingetragen.

Ein zentraler Punkt vorab: Die Zulassungsliste ist wirkungslos, solange EWSEnabled nicht auf True gesetzt ist. Bei EWSEnabled=Null hat der Parameter keinerlei Effekt. Beide Einstellungen gehören daher zusammen.

Die einfachste Variante, wenn die vollständige Liste bereits bekannt ist:

powershell

Set-OrganizationConfig -EwsEnabled $true `
    -EwsAllowedAppIDs "11111111-2222-3333-4444-555555555555,aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee"

Dabei ist ein wichtiger Punkt zu beachten:

Eine Änderung an EWSAllowedAppIDs ersetzt die vorhandene Liste vollständig. Es gibt keine Operation zum einzelnen Hinzufügen oder Entfernen. Wird eine bestehende ID versehentlich weggelassen, verliert die zugehörige Anwendung den Zugriff auf EWS.

Für Ergänzungen ist deshalb immer das Muster Auslesen, Ändern, Zurückschreiben erforderlich:

powershell

# Neue Anwendungs-ID, die ergänzt werden soll
$neueAppId = "22222222-3333-4444-5555-666666666666"

# Bestehende Liste auslesen
$aktuell = (Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy |
    Select-Object -ExpandProperty EwsAllowedAppIDs)

# In Einzelwerte zerlegen (leere Liste, falls noch nichts gesetzt ist)
if ([string]::IsNullOrWhiteSpace($aktuell)) {
    $bestehend = @()
} else {
    $bestehend = $aktuell -split "," | ForEach-Object { $_.Trim() }
}

# Nur ergänzen, wenn die ID noch nicht enthalten ist
if ($bestehend -notcontains $neueAppId) {
    $bestehend += $neueAppId
    Write-Host "$neueAppId wurde ergaenzt"
} else {
    Write-Host "$neueAppId ist bereits enthalten"
}

# Vollständige Liste zurückschreiben
Set-OrganizationConfig -EwsAllowedAppIDs ($bestehend -join ",")

Vor jeder Änderung sollte die aktuelle Konfiguration ausgelesen, exportiert und dokumentiert werden. Die Zulassungsliste ist eher wie ein Regelwerk einer Firewall oder eine Conditional-Access-Richtlinie zu behandeln als wie eine beiläufige Exchange-Einstellung — inklusive Change-Prozess und Freigabe.

Soll die Einschränkung nach Anwendungs-ID vollständig aufgehoben werden, wird der Parameter auf $null gesetzt. Zu beachten ist, dass genau diese Konfiguration ab Oktober 2026 in Kombination mit EWSEnabled=True zu einer vollständigen Blockade führt.

Als Alternative zur PowerShell-Konfiguration lässt sich die Einstellung auch über den Baseline Security Mode verwalten.

Schritt 4: Konfiguration kontrollieren

Die konfigurierte Zulassungsliste lässt sich über Exchange Online PowerShell abrufen:

powershell

Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs

Der Parameter RetrieveEwsOperationAccessPolicy ist zwingend erforderlich. Die Liste wird aus Performancegründen nur geladen, wenn sie ausdrücklich angefordert wird. Ohne diesen Parameter erscheint das Feld leer, obwohl eine Konfiguration vorhanden ist — eine häufige Fehlerquelle bei der Prüfung.

Ergänzend sollte auch der zugehörige Schalter kontrolliert werden:

powershell

Get-OrganizationConfig | Format-List EwsEnabled, EwsApplicationAccessPolicy, EwsAllowList, EwsBlockList

Ein leerer Wert bei EwsEnabled bedeutet Null und damit die Standardkonfiguration, die im Oktober automatisch auf False umgestellt wird.

Schritt 5: Zugriff testen

Nach der Konfiguration sollte jede zugelassene Anwendung technisch getestet werden.

Dabei ist eine Besonderheit der aktuellen Phase entscheidend: Ein Negativtest ist vor Oktober 2026 nicht aussagekräftig. Da das Verhalten bis dahin bewusst durchlässig bleibt, werden nicht gelistete Anwendungen noch nicht blockiert — auch dann nicht, wenn EWSEnabled auf True steht und eine Liste konfiguriert ist.

Wer daraus schließt, die Konfiguration greife nicht, konfiguriert unter Umständen unnötig nach. Wer umgekehrt daraus schließt, es sei alles in Ordnung, erlebt im Oktober eine Überraschung.

Sinnvoll ist deshalb ein zweistufiges Vorgehen:

Vor Oktober 2026: Prüfen, ob alle freigegebenen Anwendungen weiterhin funktionieren, und die Vollständigkeit der Liste gegen die Nutzungsberichte abgleichen. Der eigentliche Zweck dieser Phase ist Bestandsaufnahme, nicht Absicherung.

Ab Beginn der Durchsetzung: Prüfen, ob nicht freigegebene Anwendungen tatsächlich blockiert werden, und ob die freigegebenen Anwendungen weiterhin vollständig arbeiten.

In beiden Fällen gilt: Eine erfolgreiche Anmeldung allein bestätigt nicht, dass jede benötigte EWS-Funktion verfügbar ist. Getestet werden sollten die tatsächlichen Geschäftsprozesse — vollständige Postfachsynchronisation, Kalenderzugriffe, Berechtigungslogik, Fehlerbehandlung.

Änderungen an der Konfiguration sollten nach Möglichkeit zunächst in einem Testmandanten erprobt werden, bevor sie in der Produktion angewendet werden.

Dokumentation nicht vergessen

Die finale EWSAllowedAppIDs-Liste sollte nicht nur technisch hinterlegt, sondern auch nachvollziehbar dokumentiert werden.

Für jede Anwendung sollten mindestens folgende Informationen festgehalten werden:

• Name der Anwendung
• Anwendungs-ID
• Application Owner
• Technischer Ansprechpartner
• Herstellerkontakt, sofern relevant
• Verwendete EWS-Funktionen
• Geschäftliche Relevanz
• Geplantes Migrationsdatum
• Zieltechnologie
• Letzter erfolgreicher Test
• Nächster Überprüfungstermin

Diese Dokumentation wird besonders wichtig, wenn mehrere Teams oder Dienstleister an der Exchange-Online-Umgebung arbeiten. Da jede Änderung die gesamte Liste überschreibt, ist ein aktueller Stand die Voraussetzung dafür, dass eine Anpassung nicht versehentlich andere Anwendungen aussperrt.

Empfehlenswert ist außerdem, die Einträge in regelmäßigem Abstand zu überprüfen. Jede Zeile auf der Liste ist eine Ausnahme mit Ablaufdatum, kein Dauerzustand.

EWSAllowedAppIDs ist keine langfristige Lösung

Die Zulassungsliste reduziert das Risiko kurzfristiger Störungen. Sie ändert jedoch nichts daran, dass EWS am 1. April 2027 vollständig außer Betrieb genommen wird. Zu diesem Zeitpunkt entfällt auch die Möglichkeit, über EWSEnabled noch einzugreifen.

Unternehmen sollten EWSAllowedAppIDs deshalb als kontrollierten Übergangsmechanismus betrachten, der maximal sechs Monate zusätzliche Zeit verschafft.

Das eigentliche Ziel bleibt die Migration auf Microsoft Graph oder eine andere unterstützte Schnittstelle. Anwendungen ohne realistische Migrationsperspektive sollten kritisch bewertet und gegebenenfalls ersetzt werden.

Empfohlenes Vorgehen für Unternehmen

Ein strukturiertes EWS-Projekt sollte vier Arbeitspakete umfassen:

1. Analyse: Die tatsächliche EWS-Nutzung im Mandanten erfassen und jeder Abhängigkeit einen Verantwortlichen zuordnen.
2. Bewertung: Anwendungen technisch und fachlich bewerten und über Migration, Ablösung oder befristete Freigabe entscheiden.
3. Konfiguration: EWSAllowedAppIDs konfigurieren, EWSEnabled auf True setzen und die Konfiguration testen. Dieses Paket sollte bis Ende August 2026 abgeschlossen sein.
4. Migration: Für jede verbleibende Abhängigkeit eine Migration oder Ablösung planen und umsetzen.

Besonders wichtig ist die Zusammenarbeit zwischen IT-Betrieb, Fachbereichen, Application Ownern, Entwicklern und Software-Herstellern. Die technische Analyse allein reicht häufig nicht aus, um die geschäftliche Bedeutung einer Integration zu verstehen.

Typische Risiken in Kundenumgebungen

In der Praxis treten bei solchen Umstellungen häufig ähnliche Herausforderungen auf:

• Anwendungen sind technisch vorhanden, aber keinem verantwortlichen Team zugeordnet.
• EWS wird durch eine ältere Softwareversion verwendet, obwohl eine aktuelle Version bereits Microsoft Graph unterstützt.
• Eine Integration wurde vor Jahren eingerichtet und ist nicht mehr dokumentiert.
• Test- und Produktionsumgebungen verwenden unterschiedliche Anwendungs-IDs.
• Eine Änderung an EWSAllowedAppIDs überschreibt versehentlich vorhandene Einträge.
• Die Liste ist konfiguriert, EWSEnabled steht aber weiterhin auf Null — die Konfiguration ist damit wirkungslos.
• Die Konfiguration wird ohne den Parameter RetrieveEwsOperationAccessPolicy geprüft und erscheint fälschlich als leer.
• Aus dem durchlässigen Verhalten vor Oktober wird geschlossen, die Konfiguration sei bereits wirksam.
• Eine bestehende EwsApplicationAccessPolicy auf Basis von User Agents blockiert eine Anwendung, obwohl deren Anwendungs-ID freigegeben ist.
• Eine Anwendung wird zugelassen, aber es existiert kein Plan für die spätere Migration.

Diese Risiken lassen sich durch eine frühzeitige Bestandsaufnahme und eine saubere Dokumentation deutlich reduzieren.

Fazit

Die Abschaltung von EWS in Exchange Online ist keine Ankündigung mehr, sondern ein laufender Prozess mit festen Terminen.

Der wichtigste Termin ist nicht der 1. April 2027 und auch nicht der 1. Oktober 2026, sondern das Ende August 2026. Bis dahin entscheidet sich, ob ein Unternehmen die Umstellung selbst steuert oder ob Microsoft sie im Oktober übernimmt.

Der erste Schritt ist eine vollständige Analyse der vorhandenen EWS-Nutzung. Anschließend sollten nur noch notwendige Anwendungen gezielt freigegeben, technisch getestet und mit einem konkreten Migrationsplan versehen werden.

Wer diese Arbeiten frühzeitig beginnt, reduziert das Risiko von Betriebsunterbrechungen und schafft gleichzeitig eine gute Grundlage für die weitere Modernisierung der eigenen Microsoft-365-Landschaft.

Die Schwachstelle Certighost ermöglicht unter bestimmten Bedingungen die Übernahme einer Active-Directory-Domäne. Was Unternehmen jetzt prüfen müssen.

Ein kompromittiertes Benutzerkonto ohne administrative Berechtigungen gilt normalerweise noch nicht als vollständige Katastrophe. Bei der neu veröffentlichten Schwachstelle Certighost, geführt als CVE-2026-54121, kann jedoch genau ein solches Standardkonto der Ausgangspunkt für eine vollständige Übernahme der Active-Directory-Domäne sein.

Betroffen ist nicht der Domain Controller selbst, sondern eine besonders sensible Vertrauenskomponente: die Active Directory Certificate Services, kurz AD CS. Unter bestimmten Voraussetzungen kann ein Angreifer die Zertifizierungsstelle dazu bringen, ein gültiges Zertifikat für einen Domain Controller auszustellen.

Der Angreifer kann sich anschließend gegenüber Kerberos als dieser Domain Controller authentifizieren. Damit stehen ihm im schlimmsten Fall Replikationsrechte und der Zugriff auf zentrale Domänengeheimnisse offen.

Microsoft veröffentlichte den Sicherheitspatch am 14. Juli 2026. Am 24. Juli 2026 veröffentlichten die Sicherheitsforscher H0j3n und Aniq Fakhrul eine technische Analyse sowie einen funktionierenden Proof of Concept. Der CVSS-Wert der Schwachstelle liegt bei 8,8 von 10 Punkten. (Gist)

Was ist Certighost?

Certighost bezeichnet eine Schwachstelle in der Verarbeitung von Zertifikatsanfragen durch eine Microsoft Enterprise Certification Authority.

AD CS stellt Zertifikate aus, die innerhalb einer Windows-Domäne unter anderem für Authentifizierung, Verschlüsselung und digitale Signaturen eingesetzt werden. Ein solches Zertifikat ist nicht lediglich eine Datei, sondern ein kryptografischer Identitätsnachweis.

Genau hier liegt das Problem: Wer ein gültiges Authentifizierungszertifikat für einen privilegierten Benutzer oder einen Domain Controller besitzt, kann sich gegenüber anderen Systemen als diese Identität ausgeben.

Die Schwachstelle befindet sich in einem als „Chase“ bezeichneten Ausweichmechanismus. Kann die Zertifizierungsstelle die Informationen zu einem Antragsteller nicht direkt auflösen, darf die Zertifikatsanfrage über die Attribute cdc und rmd angeben, welchen Verzeichnisserver die CA kontaktieren und welches Objekt sie dort suchen soll.

Vor dem Juli-Update überprüfte die CA nicht ausreichend, ob das vom Antragsteller angegebene Ziel tatsächlich ein legitimer Domain Controller war. Dadurch konnte sie Verzeichnisinformationen von einem durch den Angreifer kontrollierten System übernehmen. (Gist)

Wie läuft der Angriff ab?

Für das Verständnis des Risikos reicht eine vereinfachte Darstellung der Angriffskette:

1. Ein Angreifer erlangt Zugriff auf ein gewöhnliches Domänenkonto.
2. Er erstellt oder kontrolliert zusätzlich ein Computerkonto innerhalb der Domäne.
3. Über eine manipulierte Zertifikatsanfrage veranlasst er die Enterprise CA, einen von ihm kontrollierten Host zu kontaktieren.
4. Dieser Host liefert Identitätsinformationen eines echten Domain Controllers zurück.
5. Die Zertifizierungsstelle übernimmt diese Informationen und stellt ein Zertifikat aus, das den Angreifer als Domain Controller ausweist.
6. Das Zertifikat wird zur Kerberos-Authentifizierung über PKINIT verwendet.
7. Mit der Identität des Domain Controllers kann der Angreifer Verzeichnisreplikationsfunktionen wie DCSync missbrauchen und unter anderem auf das Geheimnis des krbtgt-Kontos zugreifen.

Der veröffentlichte Proof of Concept automatisiert weite Teile dieser Kette. Er kann ein Computerkonto anlegen, die erforderlichen Netzwerkdienste bereitstellen, die Zertifikatsanfrage übermitteln und anschließend Kerberos-Anmeldedaten für den Ziel-Domain-Controller erzeugen. (Gist)

Der entscheidende Punkt: Für den Einstieg sind weder Domain-Admin-Rechte noch eine Interaktion eines Benutzers notwendig. Ein gültiges, niedrig privilegiertes Domänenkonto kann unter den passenden Rahmenbedingungen ausreichen.

Warum ist die Schwachstelle so gefährlich?

Viele Angriffe auf Active Directory bestehen aus mehreren Eskalationsstufen. Angreifer kompromittieren zunächst einen Arbeitsplatz, sammeln Zugangsdaten, bewegen sich seitlich durch das Netzwerk und suchen nach immer höheren Berechtigungen.

Certighost kann diesen Weg erheblich verkürzen.

Statt verschiedene administrative Konten zu übernehmen, greift der Angreifer die Identitäts- und Vertrauensinfrastruktur selbst an. Die Zertifizierungsstelle bestätigt ihm anschließend kryptografisch eine Identität, die er eigentlich nicht besitzen dürfte.

Das macht den Angriff aus drei Gründen besonders kritisch:

Die Ausgangsberechtigung ist niedrig.
Ein normales Domänenkonto kann genügen. Solche Konten sind durch Phishing, infizierte Endgeräte, Passwort-Wiederverwendung oder gestohlene Sessions vergleichsweise häufig erreichbar.

Das ausgestellte Zertifikat ist ein legitimer Identitätsnachweis.
Für nachgelagerte Systeme sieht die Authentifizierung zunächst gültig aus. Der Angreifer verwendet kein erratenes Domain-Admin-Passwort, sondern ein von der internen CA signiertes Zertifikat.

Das mögliche Ergebnis ist eine vollständige Domänenkompromittierung.
Durch die Identität eines Domain Controllers erhält der Angreifer Zugriff auf besonders weitreichende Active-Directory-Funktionen. Dazu kann die Replikation von Passwort-Hashes und anderen sensiblen Verzeichnisdaten gehören. (Gist)

Ist jede Active-Directory-Umgebung betroffen?

Nein. Eine vorhandene Windows-Domäne allein reicht für den Angriff nicht aus.

Die Forscher demonstrierten die Angriffskette in einer Umgebung mit folgenden Eigenschaften:

• Eine Microsoft Enterprise Certification Authority war vorhanden.
• Die CA nutzte den verwundbaren Chase-Verarbeitungspfad.
• Das standardmäßige Machine-Zertifikatstemplate konnte verwendet werden.
• Das Konto durfte ein Computerkonto erstellen oder kontrollierte bereits eines.
• Die Zertifizierungsstelle konnte die vom Angreifer bereitgestellten SMB- und LDAP-Dienste erreichen.
• Die Sicherheitsupdates vom Juli 2026 waren auf dem AD-CS-System noch nicht wirksam.

Im Test nutzten die Forscher außerdem den Standardwert des Attributs ms-DS-MachineAccountQuota. Dieser erlaubt Domänenbenutzern üblicherweise die Erstellung von bis zu zehn Computerkonten. Die Existenz dieses Standardwerts bedeutet jedoch nicht automatisch, dass jede Umgebung erfolgreich ausnutzbar ist. Die gesamte Zertifikats- und Netzwerkkonfiguration muss betrachtet werden. (Gist)

Unternehmen sollten daher weder in Panik verfallen noch das Problem vorschnell als „nicht relevant“ einstufen. Entscheidend ist eine gezielte Prüfung der eigenen AD-CS-Architektur.

Was verändert der Microsoft-Patch?

Mit den Sicherheitsupdates vom 14. Juli 2026 ergänzt Microsoft eine Validierung des angegebenen Chase-Ziels.

Die Zertifizierungsstelle prüft nun, ob der übermittelte Hostname tatsächlich zu einem eindeutigen Computerobjekt in Active Directory gehört, das als Domain Controller gekennzeichnet ist. Zusätzlich werden unter anderem IP-Adressen, überlange Hostnamen und bestimmte LDAP-Sonderzeichen abgewiesen. Eine weitere SID-Prüfung soll verhindern, dass ein anderes Verzeichnisobjekt untergeschoben wird.

Der grundlegende Vertrauensfehler wird damit geschlossen: Die Zertifizierungsstelle akzeptiert einen erreichbaren Host nicht mehr allein deshalb als Domain Controller, weil dieser auf die Anfrage antwortet. (Gist)

Was Unternehmen jetzt tun sollten

1. Vorhandene AD-CS-Systeme identifizieren

Zunächst muss geklärt werden, ob im Unternehmen überhaupt Active Directory Certificate Services betrieben werden.

Besonders relevant sind Enterprise CAs, die Zertifikate für Benutzer und Computer innerhalb der Domäne ausstellen. Dabei sollten auch historisch gewachsene PKI-Systeme, untergeordnete CAs und nur noch selten genutzte Zertifizierungsstellen berücksichtigt werden.

Eine CA, die niemand mehr aktiv betreut, ist nicht automatisch ungefährlich.

2. Juli-Updates auf den CA-Systemen installieren

Die höchste Priorität hat die Installation der Microsoft-Sicherheitsupdates vom 14. Juli 2026 auf allen betroffenen AD-CS-Hosts.

Es genügt nicht, lediglich die Domain Controller zu aktualisieren. Die verwundbare Verarbeitung findet auf dem System statt, das die Enterprise Certification Authority betreibt.

Nach der Installation sollte kontrolliert werden, ob das Update tatsächlich erfolgreich angewendet wurde und ob alle erforderlichen Neustarts beziehungsweise Dienstneustarts erfolgt sind.

3. Zertifikatstemplates und Enrollment-Rechte überprüfen

Unternehmen sollten prüfen, welche Benutzer und Gruppen Zertifikate über Maschinen- und Authentifizierungstemplates anfordern dürfen.

Dabei geht es nicht nur um Certighost. Zu weit gefasste Enrollment-Rechte, unsichere Template-Einstellungen und unzureichend kontrollierte Subject-Informationen sind seit Jahren ein häufiger Ausgangspunkt für Angriffe auf AD CS.

Die PKI sollte daher als Teil der privilegierten Active-Directory-Infrastruktur behandelt und regelmäßig auditiert werden.

4. Machine Account Quota bewerten

Der Standardwert von ms-DS-MachineAccountQuota sollte nicht ungeprüft übernommen werden.

Benötigen normale Benutzer wirklich das Recht, selbstständig Computerobjekte in der Domäne anzulegen? In vielen Unternehmensumgebungen lautet die Antwort: nein.

Eine Reduzierung auf null kann die Angriffsfläche verkleinern. Vor einer Änderung müssen allerdings bestehende Deployment-, Imaging- und Join-Prozesse geprüft werden. Die Maßnahme ersetzt außerdem nicht den Microsoft-Patch.

5. Netzwerkzugriffe der Zertifizierungsstelle einschränken

Aus dem veröffentlichten Angriffspfad lässt sich eine wichtige Architekturmaßnahme ableiten: Eine Zertifizierungsstelle sollte nicht beliebige Systeme über SMB oder LDAP erreichen können.

Ausgehende Verbindungen der CA sollten auf die tatsächlich benötigten Domain Controller und administrativen Dienste begrenzt werden. Erreicht die CA ohne Einschränkungen Benutzer-, Client- oder Servernetzwerke, ist die Segmentierung wahrscheinlich zu großzügig.

Eine CA gehört in ein besonders geschütztes Netzwerksegment und sollte ähnlich restriktiv behandelt werden wie Domain Controller.

6. Verdächtige Aktivitäten überwachen

Security-Teams sollten insbesondere auf folgende Auffälligkeiten achten:

• unerwartete Erstellung neuer Computerkonten,
• ungewöhnliche Zertifikatsanfragen über Machine-Templates,
• Verbindungen der CA zu nicht autorisierten SMB- oder LDAP-Systemen,
• Zertifikate mit Identitätsmerkmalen eines Domain Controllers,
• ungewöhnliche PKINIT-Authentifizierungen,
• verdächtige Verzeichnisreplikationsaktivitäten.

Diese Indikatoren sind aus der veröffentlichten Angriffskette abgeleitet. Einzelne Ereignisse beweisen noch keinen Angriff, können aber wertvolle Hinweise für die Untersuchung liefern. (Gist)

Was tun, wenn der Patch nicht sofort installiert werden kann?

Die Forscher beschreiben als vorübergehende Mitigation das Abschalten des Chase-Fallbacks:

certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC

Restart-Service CertSvc -Force

Diese Maßnahme wurde nach Angaben der Forscher nur in einer kontrollierten Laborumgebung getestet. Sie kann legitime Zertifikatsanforderungen beeinträchtigen, die auf diesen Ausweichmechanismus angewiesen sind.

Eine Umsetzung sollte daher zunächst in einer repräsentativen Testumgebung erfolgen. Das Deaktivieren des Features ist ausdrücklich kein Ersatz für das Sicherheitsupdate. (Gist)

Einordnung aus IT-Consulting-Sicht

Certighost ist ein gutes Beispiel dafür, warum Active-Directory-Sicherheit nicht bei Domain-Admin-Konten und Gruppenrichtlinien endet.

Die interne Zertifizierungsinfrastruktur bildet eine zweite Identitätsebene. Ein Unternehmen kann seine Passwörter, privilegierten Gruppen und Domain Controller sorgfältig absichern – und dennoch über eine falsch konfigurierte oder ungepatchte CA vollständig kompromittiert werden.

In vielen Organisationen wird AD CS allerdings weiterhin wie ein statischer Infrastrukturdienst behandelt: einmal installiert, selten verändert und nur dann beachtet, wenn ein Zertifikat abläuft.

Dieser Ansatz ist nicht mehr vertretbar.

Zertifizierungsstellen, Templates, Enrollment-Berechtigungen, private Schlüssel, Netzwerkverbindungen und Protokolldaten müssen Bestandteil des regulären Identity-Security- und Vulnerability-Managements sein. Dazu gehören dokumentierte Verantwortlichkeiten, regelmäßige Reviews und getestete Notfallprozesse.

Fazit

Certighost zeigt, wie schnell sich eine vermeintlich geringe Ausgangsberechtigung in eine vollständige Kompromittierung der Windows-Domäne verwandeln kann.

Die gute Nachricht: Microsoft hat die Schwachstelle bereits am 14. Juli 2026 geschlossen.

Die schlechte Nachricht: Seit dem 24. Juli steht ein funktionierender Proof of Concept öffentlich zur Verfügung. Zum Zeitpunkt seiner Veröffentlichung lagen zwar keine öffentlich bestätigten Berichte über eine aktive Ausnutzung vor. Das ist jedoch kein Grund, mit der Behebung zu warten. (The Hacker News)

Unternehmen mit einer Microsoft Enterprise CA sollten deshalb unverzüglich den Patchstand prüfen. Gleichzeitig bietet der Vorfall einen sinnvollen Anlass, die gesamte AD-CS-Architektur zu überprüfen.

Denn eine interne Zertifizierungsstelle ist kein gewöhnlicher Windows-Server. Sie entscheidet darüber, welchen Identitäten das Unternehmen vertraut.

Microsoft hat am 14. Juli 2026 die aktuellen Sicherheitsupdates für Exchange Server veröffentlicht. Das Update schließt mehrere sicherheitsrelevante Schwachstellen, darunter eine Remote Code Execution (CVE-2026-55005), zwei Elevation-of-Privilege-Schwachstellen (CVE-2026-55006 und CVE-2026-55009) sowie eine Spoofing-Schwachstelle (CVE-2026-55008).

Doch wie so oft gilt: Das Einspielen des Updates allein reicht nicht aus.

Die vergangenen Jahre – angefangen bei ProxyLogon, ProxyShell oder OWASSRF – haben gezeigt, dass Exchange-Server ein bevorzugtes Ziel professioneller Angreifer sind. Wer Exchange On-Premises betreibt, benötigt daher nicht nur ein funktionierendes Patchmanagement, sondern ein ganzheitliches Sicherheitskonzept.

In diesem Artikel zeigen wir, welche Risiken das aktuelle Update adressiert, welche Maßnahmen Administratoren jetzt ergreifen sollten und wie sich eine Exchange-Infrastruktur dauerhaft absichern lässt.

Welche Schwachstellen werden behoben?

Das Juli-Update beseitigt insgesamt vier sicherheitsrelevante Schwachstellen.

CVE-2026-55005 – Remote Code Execution

Die kritischste Schwachstelle ermöglicht unter bestimmten Voraussetzungen die Ausführung von Code auf dem Exchange-Server.

Remote Code Execution zählt zu den gefährlichsten Schwachstellen überhaupt. Gelingt einem Angreifer die Ausnutzung, kann dies – abhängig von den vorhandenen Berechtigungen und der Umgebung – bis zur vollständigen Kompromittierung des Exchange-Servers führen.

Da Exchange in nahezu jeder Active-Directory-Umgebung eine zentrale Rolle einnimmt, ist das Risiko entsprechend hoch.

CVE-2026-55006 und CVE-2026-55009 – Rechteausweitung

Diese Schwachstellen ermöglichen Angreifern, ihre Berechtigungen innerhalb des Systems zu erweitern.

Solche Sicherheitslücken sind besonders gefährlich, wenn sie mit anderen Schwachstellen kombiniert werden. Moderne Angriffe bestehen selten aus einer einzelnen Exploit-Kette – stattdessen werden mehrere Schwachstellen miteinander kombiniert.

CVE-2026-55008 – Spoofing

Diese Schwachstelle erleichtert Identitäts- oder Inhaltsmanipulationen.

Gerade bei E-Mail-Systemen können Spoofing-Angriffe die Grundlage für Phishing-Kampagnen oder Business-E-Mail-Compromise-Angriffe bilden.

Das Update ersetzt bisherige Mitigations

Administratoren erinnern sich vermutlich noch an die im Mai veröffentlichte OWA-Schwachstelle CVE-2026-42897.

Damals empfahl Microsoft verschiedene temporäre Gegenmaßnahmen, um Exchange kurzfristig abzusichern.

Mit dem Juli-Update werden diese Workarounds durch eine dauerhafte Fehlerbehebung ersetzt. Nach erfolgreicher Installation können die temporären Mitigations entsprechend der Microsoft-Dokumentation wieder entfernt werden.

Wer ist betroffen?

Betroffen sind grundsätzlich alle unterstützten On-Premises-Versionen:

• Exchange Server Subscription Edition (SE)
• Exchange Server 2019 (mit gültigem ESU)
• Exchange Server 2016 (mit gültigem ESU)

Unternehmen ohne Extended Security Updates erhalten für Exchange 2016 und 2019 keine neuen Sicherheitsupdates mehr. Microsoft empfiehlt daher ausdrücklich den Umstieg auf Exchange Server Subscription Edition (SE).

Was sollten Administratoren jetzt tun?

1. Sicherheitsupdate umgehend installieren

Der wichtigste Schritt ist selbstverständlich die Installation des aktuellen Security Updates.

Vorher sollten Sie:

• aktuelle Backups prüfen
• den Exchange Health Checker ausführen
• freien Speicherplatz kontrollieren
• Windows-Updates prüfen
• Wartungsfenster einplanen

Nach der Installation empfiehlt sich:

• Neustart des Servers
• Kontrolle aller Exchange-Dienste
• Test von Outlook, Outlook on the Web (OWA), ActiveSync und SMTP
• Prüfung der Ereignisanzeige
• Überprüfung der Exchange-Version mittels Get-ExchangeServer

2. Exchange Health Checker regelmäßig ausführen

Microsoft stellt mit dem Exchange Health Checker ein kostenloses PowerShell-Skript bereit.

Dieses überprüft unter anderem:

• fehlende Sicherheitsupdates
• unterstützte Cumulative Updates
• TLS-Konfiguration
• Zertifikate
• Extended Protection
• IIS-Konfiguration
• bekannte Fehlkonfigurationen

Viele Administratoren nutzen das Skript leider erst dann, wenn bereits Probleme auftreten.

Unser Rat:

Mindestens einmal pro Monat ausführen.

3. Extended Protection aktivieren

Microsoft empfiehlt inzwischen ausdrücklich die Aktivierung von Extended Protection.

Diese Funktion erschwert verschiedene Relay- und Authentifizierungsangriffe erheblich.

Seit mehreren Exchange-Versionen gehört Extended Protection praktisch zu den Mindestanforderungen für einen sicheren Betrieb.

Falls Extended Protection noch nicht aktiviert wurde, sollte dies zeitnah nachgeholt werden.

MFA schützt Administratoren – aber nicht den Exchange-Server

Ein häufiger Irrtum lautet:

“Wir nutzen doch Multi-Faktor-Authentifizierung.”

Das ist gut – schützt aber nicht jede Angriffsklasse.

MFA verhindert kompromittierte Benutzerkonten und erschwert Passwortangriffe erheblich. Gegen Schwachstellen innerhalb des Exchange-Servers selbst hilft MFA jedoch nicht.

Deshalb gilt:

• MFA für alle Administratoren
• MFA für privilegierte Benutzer
• keine Legacy Authentication
• möglichst keine Basic Authentication mehr

MFA ist ein wichtiger Bestandteil der Sicherheitsstrategie – ersetzt aber niemals zeitnahe Sicherheitsupdates.

Exchange niemals unnötig veröffentlichen

Viele Unternehmen veröffentlichen sämtliche Exchange-Dienste direkt ins Internet.

Dabei sollte kritisch hinterfragt werden:

Benötigen wirklich alle Benutzer:

• Exchange Admin Center?
• Exchange PowerShell?
• EWS?
• Autodiscover?
• Outlook Anywhere?

Je kleiner die öffentlich erreichbare Angriffsfläche, desto geringer das Risiko.

Ein bewährtes Prinzip lautet:

Nur veröffentlichen, was tatsächlich benötigt wird.

Reverse Proxy oder Web Application Firewall einsetzen

Microsoft unterstützt Exchange nicht hinter jeder beliebigen Web Application Firewall. Dennoch kann ein Reverse Proxy oder – sofern kompatibel – eine WAF einen zusätzlichen Schutz bieten.

Beispielsweise können damit:

• bekannte Angriffsparameter erkannt,
• ungewöhnliche Requests blockiert,
• Geo-Blocking umgesetzt,
• Rate Limiting aktiviert,
• Bots gefiltert,
• verdächtige Zugriffe protokolliert

werden.

Wichtig ist jedoch:

Eine WAF ersetzt niemals Sicherheitsupdates.

Sie reduziert lediglich die Angriffsfläche.

Netzwerksegmentierung nutzen

Ein Exchange-Server sollte niemals “irgendwo im Servernetz” stehen.

Empfehlenswert sind:

• eigene Server-VLANs
• restriktive Firewall-Regeln
• minimale eingehende Ports
• keine unnötigen administrativen Freigaben

Je weniger Systeme direkten Zugriff auf Exchange besitzen, desto schwieriger wird eine laterale Bewegung im Netzwerk.

Administrator-Konten absichern

Administratorkonten sollten grundsätzlich:

• individuelle Benutzerkonten sein
• MFA verwenden
• keine tägliche Office-Arbeitskonten sein
• mit Privileged Access Workstations (PAW) verwendet werden
• über starke Kennwortrichtlinien verfügen

Ein kompromittiertes Exchange-Administratorkonto stellt häufig den schnellsten Weg zur vollständigen Active-Directory-Kompromittierung dar.

Logging und Monitoring nicht vergessen

Viele Unternehmen bemerken erfolgreiche Angriffe erst Wochen später.

Deshalb sollten mindestens folgende Komponenten überwacht werden:

• Windows Event Logs
• IIS Logs
• Exchange Message Tracking
• Defender for Endpoint
• Microsoft Sentinel oder ein SIEM
• ungewöhnliche PowerShell-Aktivitäten
• neue Administratoren
• Änderungen an Exchange Virtual Directories

Wer Logs zwar sammelt, aber nie auswertet, gewinnt daraus keinen Sicherheitsvorteil.

Regelmäßige Schwachstellen-Scans durchführen

Mindestens quartalsweise sollten interne und externe Schwachstellen-Scans durchgeführt werden.

Dabei werden häufig entdeckt:

• fehlende Exchange Updates
• schwache TLS-Konfigurationen
• offene Managementschnittstellen
• veraltete Zertifikate
• unnötig veröffentlichte Dienste

Ein Scan ersetzt zwar kein Penetration Testing, liefert aber frühzeitig Hinweise auf Konfigurationsfehler.

Langfristig führt kein Weg an Exchange Server SE vorbei

Neben den aktuellen Sicherheitsupdates sendet Microsoft eine klare Botschaft:

Die Zukunft von Exchange On-Premises ist Exchange Server Subscription Edition (SE).

Exchange 2016 und 2019 befinden sich außerhalb des regulären Supports und erhalten Sicherheitsupdates nur noch im Rahmen des Extended Security Updates (ESU)-Programms.

Wer Exchange langfristig betreiben möchte, sollte deshalb den Wechsel auf Exchange SE zeitnah planen.

Dadurch profitieren Unternehmen von:

• kontinuierlichen Sicherheitsupdates
• einer aktiv weiterentwickelten Plattform
• einem modernen Servicing-Modell
• langfristiger Planungssicherheit

Fazit

Die Security Updates vom 14. Juli 2026 schließen mehrere sicherheitskritische Schwachstellen und sollten schnellstmöglich installiert werden.

Mindestens genauso wichtig ist jedoch der Blick auf die gesamte Sicherheitsstrategie.

Ein sicherer Exchange-Server besteht nicht nur aus aktuellen Patches. Er benötigt zusätzlich:

• konsequentes Patchmanagement
• Extended Protection
• Multi-Faktor-Authentifizierung
• minimierte Angriffsfläche
• Reverse Proxy oder kompatible WAF
• kontinuierliches Monitoring
• regelmäßige Health Checks
• Schwachstellen-Scans
• und eine langfristige Migrationsstrategie hin zu Exchange Server Subscription Edition.

Denn die beste Verteidigung gegen neue Sicherheitslücken besteht nicht darin, auf den nächsten Patch zu warten – sondern eine Exchange-Infrastruktur zu betreiben, die nach dem Prinzip Defense in Depth aufgebaut ist.