Wenn Sie in Ihrem Unternehmen einen eigenen Microsoft-Exchange-Server betreiben, legen Sie bitte alles andere beiseite und lesen Sie diesen Artikel zu Ende. Die Exchange-Sicherheitslücke, die Microsoft am 2. März mit außerplanmäßigen Updates geschlossen hat, wird weltweit massenhaft ausgenutzt. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt eindringlich. Wir haben am Wochenende bei mehreren Kunden Server geprüft und gepatcht. Hier ist, was Sie wissen und tun müssen.
Was ist passiert?
Microsoft hat vier Schwachstellen in Exchange Server 2013, 2016 und 2019 bekannt gegeben, die in Kombination einen Angriff ohne Anmeldung ermöglichen. Angreifer können über den aus dem Internet erreichbaren Webzugang, etwa Outlook im Web, Code auf dem Server ausführen, E-Mails abgreifen und sich dauerhaft einnisten. Die Lücken wurden bereits vor Veröffentlichung der Updates von einer Angreifergruppe gezielt ausgenutzt. Seit sie öffentlich bekannt sind, scannen zahlreiche weitere Gruppen das Internet automatisiert nach verwundbaren Servern.
Nicht betroffen ist Exchange Online, also die Cloud-Variante in Microsoft 365. Betroffen sind alle Unternehmen, die Exchange selbst betreiben, im eigenen Serverraum oder bei einem Hoster.
Exchange-Sicherheitslücke: Warum es so ernst ist
- Kein Passwort nötig: Der Angriff funktioniert ohne Zugangsdaten.
- Automatisiert: Angreifer suchen nicht gezielt nach großen Firmen, sondern greifen jeden erreichbaren Server an. Auch der kleine Handwerksbetrieb ist im Visier.
- Hintertüren: Auf vielen kompromittierten Servern wurden sogenannte Webshells abgelegt, mit denen Angreifer später zurückkehren können, auch wenn der Server inzwischen gepatcht ist.
- Folgeangriffe: Ein übernommener Exchange-Server ist ein idealer Ausgangspunkt, um sich im Netzwerk auszubreiten, Daten zu stehlen oder später Erpressungstrojaner zu verteilen.
Was Sie jetzt tun müssen, in dieser Reihenfolge
- Prüfen, ob Sie betroffen sind: Betreiben Sie Exchange 2013, 2016 oder 2019 selbst, und ist der Server aus dem Internet erreichbar? Dann gehen Sie davon aus, dass Sie betroffen sind.
- Sofort patchen: Die Sicherheitsupdates von Microsoft installieren. Achtung: Die Updates setzen einen aktuellen kumulativen Update-Stand voraus. Ist Ihr Server veraltet, muss zuerst nachgezogen werden. Planen Sie das Update mit Bedacht, es dauert länger als ein normales Windows-Update.
- Nach Spuren suchen: Microsoft stellt Skripte bereit, mit denen sich Hinweise auf eine Kompromittierung finden lassen. Prüfen Sie insbesondere auf unbekannte Dateien in den Webverzeichnissen von Exchange.
- Bei Funden handeln: Wird eine Webshell oder anderer Schadcode gefunden, reicht das Löschen der Datei nicht. Dann ist eine gründliche Analyse nötig: Was haben die Angreifer getan? Haben sie sich weiter im Netzwerk ausgebreitet? Wurden Konten angelegt oder Passwörter abgegriffen?
- Datenschutz prüfen: Wenn Angreifer Zugriff auf Postfächer hatten, ist das in aller Regel eine Datenschutzverletzung. Die Meldung an die Aufsichtsbehörde muss innerhalb von 72 Stunden nach Bekanntwerden erfolgen.
- Dokumentieren: Halten Sie fest, wann Sie gepatcht haben, was Sie geprüft und was Sie gefunden haben.
Wir haben schon gepatcht, sind wir jetzt sicher?
Nicht unbedingt. Das ist der wichtigste Punkt dieser Woche: Das Update schließt die Lücke, entfernt aber keine Hintertüren, die Angreifer vorher eingerichtet haben. Wer seinen Server erst einige Tage nach dem 2. März gepatcht hat, muss davon ausgehen, dass er in der Zwischenzeit angegriffen worden sein könnte. Eine Prüfung auf Kompromittierung ist deshalb für jeden Server Pflicht, der ungepatcht aus dem Internet erreichbar war.
Und wenn wir keinen eigenen IT-Admin haben?
Gerade kleinere Betriebe haben den Exchange-Server vor Jahren einrichten lassen, und seitdem läuft er einfach. Wer sich darum kümmert, ist manchmal gar nicht so klar. Wenn das bei Ihnen so ist, rufen Sie heute noch Ihren IT-Dienstleister an. Fragen Sie konkret: Ist unser Server gepatcht, wann genau, und wurde nach Angriffsspuren gesucht? Lassen Sie sich die Antwort schriftlich geben. Ist Ihr Dienstleister nicht erreichbar oder unsicher, holen Sie sich Unterstützung von außen. In dieser Lage zählt jeder Tag.
Als Notmaßnahme, bis das Update eingespielt ist, kann es sinnvoll sein, den Webzugriff auf Exchange aus dem Internet vorübergehend zu sperren. Das schränkt zwar Outlook im Web und den Zugriff von Smartphones ein, verhindert aber, dass Angreifer die Lücke von außen ausnutzen können.
Schnellcheck: Wie gefährdet ist Ihr Server?
| Situation | Risiko | Maßnahme |
|---|---|---|
| Exchange Online (Microsoft 365) | von diesen Lücken nicht betroffen | keine Sofortmaßnahme nötig |
| Exchange intern, nicht aus dem Internet erreichbar | geringer, aber vorhanden | zeitnah patchen |
| Exchange erreichbar, am 2. oder 3. März gepatcht | mittel | auf Kompromittierung prüfen |
| Exchange erreichbar, noch nicht gepatcht | sehr hoch | sofort handeln, Server notfalls vom Netz nehmen |
Die Lehre daraus
Diese Lücke zeigt einmal mehr, wie wichtig ein geregeltes Patch-Management ist. Viele Server, die wir in diesen Tagen gesehen haben, waren nicht nur bei diesem Update im Rückstand, sondern mehrere Monate hinter dem aktuellen Stand. Ein eigener Exchange-Server ist kein Gerät, das man einmal einrichtet und dann vergisst. Er braucht regelmäßige Pflege, Überwachung und jemanden, der bei solchen Meldungen sofort reagiert. Wer das nicht leisten kann oder will, sollte ernsthaft über einen Wechsel zu einer gemanagten Lösung nachdenken.
Wir helfen Ihnen gerne
Sie sind unsicher, ob Ihr Exchange-Server betroffen ist, oder brauchen Unterstützung beim Patchen und bei der Prüfung auf Angriffsspuren? Das IT-Team der Mittelstandsoptimierer hilft schnell, auch kurzfristig. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
