Microsoft hat am 14. Juli 2026 die aktuellen Sicherheitsupdates für Exchange Server veröffentlicht. Das Update schließt mehrere sicherheitsrelevante Schwachstellen, darunter eine Remote Code Execution (CVE-2026-55005), zwei Elevation-of-Privilege-Schwachstellen (CVE-2026-55006 und CVE-2026-55009) sowie eine Spoofing-Schwachstelle (CVE-2026-55008).
Doch wie so oft gilt: Das Einspielen des Updates allein reicht nicht aus.
Die vergangenen Jahre – angefangen bei ProxyLogon, ProxyShell oder OWASSRF – haben gezeigt, dass Exchange-Server ein bevorzugtes Ziel professioneller Angreifer sind. Wer Exchange On-Premises betreibt, benötigt daher nicht nur ein funktionierendes Patchmanagement, sondern ein ganzheitliches Sicherheitskonzept.
In diesem Artikel zeigen wir, welche Risiken das aktuelle Update adressiert, welche Maßnahmen Administratoren jetzt ergreifen sollten und wie sich eine Exchange-Infrastruktur dauerhaft absichern lässt.
Welche Schwachstellen werden behoben?
Das Juli-Update beseitigt insgesamt vier sicherheitsrelevante Schwachstellen.
CVE-2026-55005 – Remote Code Execution
Die kritischste Schwachstelle ermöglicht unter bestimmten Voraussetzungen die Ausführung von Code auf dem Exchange-Server.
Remote Code Execution zählt zu den gefährlichsten Schwachstellen überhaupt. Gelingt einem Angreifer die Ausnutzung, kann dies – abhängig von den vorhandenen Berechtigungen und der Umgebung – bis zur vollständigen Kompromittierung des Exchange-Servers führen.
Da Exchange in nahezu jeder Active-Directory-Umgebung eine zentrale Rolle einnimmt, ist das Risiko entsprechend hoch.
CVE-2026-55006 und CVE-2026-55009 – Rechteausweitung
Diese Schwachstellen ermöglichen Angreifern, ihre Berechtigungen innerhalb des Systems zu erweitern.
Solche Sicherheitslücken sind besonders gefährlich, wenn sie mit anderen Schwachstellen kombiniert werden. Moderne Angriffe bestehen selten aus einer einzelnen Exploit-Kette – stattdessen werden mehrere Schwachstellen miteinander kombiniert.
CVE-2026-55008 – Spoofing
Diese Schwachstelle erleichtert Identitäts- oder Inhaltsmanipulationen.
Gerade bei E-Mail-Systemen können Spoofing-Angriffe die Grundlage für Phishing-Kampagnen oder Business-E-Mail-Compromise-Angriffe bilden.
Das Update ersetzt bisherige Mitigations
Administratoren erinnern sich vermutlich noch an die im Mai veröffentlichte OWA-Schwachstelle CVE-2026-42897.
Damals empfahl Microsoft verschiedene temporäre Gegenmaßnahmen, um Exchange kurzfristig abzusichern.
Mit dem Juli-Update werden diese Workarounds durch eine dauerhafte Fehlerbehebung ersetzt. Nach erfolgreicher Installation können die temporären Mitigations entsprechend der Microsoft-Dokumentation wieder entfernt werden.
Wer ist betroffen?
Betroffen sind grundsätzlich alle unterstützten On-Premises-Versionen:
- Exchange Server Subscription Edition (SE)
- Exchange Server 2019 (mit gültigem ESU)
- Exchange Server 2016 (mit gültigem ESU)
Unternehmen ohne Extended Security Updates erhalten für Exchange 2016 und 2019 keine neuen Sicherheitsupdates mehr. Microsoft empfiehlt daher ausdrücklich den Umstieg auf Exchange Server Subscription Edition (SE).
Was sollten Administratoren jetzt tun?
1. Sicherheitsupdate umgehend installieren
Der wichtigste Schritt ist selbstverständlich die Installation des aktuellen Security Updates.
Vorher sollten Sie:
- aktuelle Backups prüfen
- den Exchange Health Checker ausführen
- freien Speicherplatz kontrollieren
- Windows-Updates prüfen
- Wartungsfenster einplanen
Nach der Installation empfiehlt sich:
- Neustart des Servers
- Kontrolle aller Exchange-Dienste
- Test von Outlook, Outlook on the Web (OWA), ActiveSync und SMTP
- Prüfung der Ereignisanzeige
- Überprüfung der Exchange-Version mittels Get-ExchangeServer
2. Exchange Health Checker regelmäßig ausführen
Microsoft stellt mit dem Exchange Health Checker ein kostenloses PowerShell-Skript bereit.
Dieses überprüft unter anderem:
- fehlende Sicherheitsupdates
- unterstützte Cumulative Updates
- TLS-Konfiguration
- Zertifikate
- Extended Protection
- IIS-Konfiguration
- bekannte Fehlkonfigurationen
Viele Administratoren nutzen das Skript leider erst dann, wenn bereits Probleme auftreten.
Unser Rat:
Mindestens einmal pro Monat ausführen.
3. Extended Protection aktivieren
Microsoft empfiehlt inzwischen ausdrücklich die Aktivierung von Extended Protection.
Diese Funktion erschwert verschiedene Relay- und Authentifizierungsangriffe erheblich.
Seit mehreren Exchange-Versionen gehört Extended Protection praktisch zu den Mindestanforderungen für einen sicheren Betrieb.
Falls Extended Protection noch nicht aktiviert wurde, sollte dies zeitnah nachgeholt werden.
MFA schützt Administratoren – aber nicht den Exchange-Server
Ein häufiger Irrtum lautet:
“Wir nutzen doch Multi-Faktor-Authentifizierung.”
Das ist gut – schützt aber nicht jede Angriffsklasse.
MFA verhindert kompromittierte Benutzerkonten und erschwert Passwortangriffe erheblich. Gegen Schwachstellen innerhalb des Exchange-Servers selbst hilft MFA jedoch nicht.
Deshalb gilt:
- MFA für alle Administratoren
- MFA für privilegierte Benutzer
- keine Legacy Authentication
- möglichst keine Basic Authentication mehr
MFA ist ein wichtiger Bestandteil der Sicherheitsstrategie – ersetzt aber niemals zeitnahe Sicherheitsupdates.
Exchange niemals unnötig veröffentlichen
Viele Unternehmen veröffentlichen sämtliche Exchange-Dienste direkt ins Internet.
Dabei sollte kritisch hinterfragt werden:
Benötigen wirklich alle Benutzer:
- Exchange Admin Center?
- Exchange PowerShell?
- EWS?
- Autodiscover?
- Outlook Anywhere?
Je kleiner die öffentlich erreichbare Angriffsfläche, desto geringer das Risiko.
Ein bewährtes Prinzip lautet:
Nur veröffentlichen, was tatsächlich benötigt wird.
Reverse Proxy oder Web Application Firewall einsetzen
Microsoft unterstützt Exchange nicht hinter jeder beliebigen Web Application Firewall. Dennoch kann ein Reverse Proxy oder – sofern kompatibel – eine WAF einen zusätzlichen Schutz bieten.
Beispielsweise können damit:
- bekannte Angriffsparameter erkannt,
- ungewöhnliche Requests blockiert,
- Geo-Blocking umgesetzt,
- Rate Limiting aktiviert,
- Bots gefiltert,
- verdächtige Zugriffe protokolliert
werden.
Wichtig ist jedoch:
Eine WAF ersetzt niemals Sicherheitsupdates.
Sie reduziert lediglich die Angriffsfläche.
Netzwerksegmentierung nutzen
Ein Exchange-Server sollte niemals “irgendwo im Servernetz” stehen.
Empfehlenswert sind:
- eigene Server-VLANs
- restriktive Firewall-Regeln
- minimale eingehende Ports
- keine unnötigen administrativen Freigaben
Je weniger Systeme direkten Zugriff auf Exchange besitzen, desto schwieriger wird eine laterale Bewegung im Netzwerk.
Administrator-Konten absichern
Administratorkonten sollten grundsätzlich:
- individuelle Benutzerkonten sein
- MFA verwenden
- keine tägliche Office-Arbeitskonten sein
- mit Privileged Access Workstations (PAW) verwendet werden
- über starke Kennwortrichtlinien verfügen
Ein kompromittiertes Exchange-Administratorkonto stellt häufig den schnellsten Weg zur vollständigen Active-Directory-Kompromittierung dar.
Logging und Monitoring nicht vergessen
Viele Unternehmen bemerken erfolgreiche Angriffe erst Wochen später.
Deshalb sollten mindestens folgende Komponenten überwacht werden:
- Windows Event Logs
- IIS Logs
- Exchange Message Tracking
- Defender for Endpoint
- Microsoft Sentinel oder ein SIEM
- ungewöhnliche PowerShell-Aktivitäten
- neue Administratoren
- Änderungen an Exchange Virtual Directories
Wer Logs zwar sammelt, aber nie auswertet, gewinnt daraus keinen Sicherheitsvorteil.
Regelmäßige Schwachstellen-Scans durchführen
Mindestens quartalsweise sollten interne und externe Schwachstellen-Scans durchgeführt werden.
Dabei werden häufig entdeckt:
- fehlende Exchange Updates
- schwache TLS-Konfigurationen
- offene Managementschnittstellen
- veraltete Zertifikate
- unnötig veröffentlichte Dienste
Ein Scan ersetzt zwar kein Penetration Testing, liefert aber frühzeitig Hinweise auf Konfigurationsfehler.
Langfristig führt kein Weg an Exchange Server SE vorbei
Neben den aktuellen Sicherheitsupdates sendet Microsoft eine klare Botschaft:
Die Zukunft von Exchange On-Premises ist Exchange Server Subscription Edition (SE).
Exchange 2016 und 2019 befinden sich außerhalb des regulären Supports und erhalten Sicherheitsupdates nur noch im Rahmen des Extended Security Updates (ESU)-Programms.
Wer Exchange langfristig betreiben möchte, sollte deshalb den Wechsel auf Exchange SE zeitnah planen.
Dadurch profitieren Unternehmen von:
- kontinuierlichen Sicherheitsupdates
- einer aktiv weiterentwickelten Plattform
- einem modernen Servicing-Modell
- langfristiger Planungssicherheit
Fazit
Die Security Updates vom 14. Juli 2026 schließen mehrere sicherheitskritische Schwachstellen und sollten schnellstmöglich installiert werden.
Mindestens genauso wichtig ist jedoch der Blick auf die gesamte Sicherheitsstrategie.
Ein sicherer Exchange-Server besteht nicht nur aus aktuellen Patches. Er benötigt zusätzlich:
- konsequentes Patchmanagement
- Extended Protection
- Multi-Faktor-Authentifizierung
- minimierte Angriffsfläche
- Reverse Proxy oder kompatible WAF
- kontinuierliches Monitoring
- regelmäßige Health Checks
- Schwachstellen-Scans
- und eine langfristige Migrationsstrategie hin zu Exchange Server Subscription Edition.
Denn die beste Verteidigung gegen neue Sicherheitslücken besteht nicht darin, auf den nächsten Patch zu warten – sondern eine Exchange-Infrastruktur zu betreiben, die nach dem Prinzip Defense in Depth aufgebaut ist.