Outlook-Lücke wird ausgenutzt: Jetzt patchen

Das Wichtigste zuerst

Microsoft hat zum aktuellen Patchday knapp 1100 Sicherheitslücken in Office, Windows und weiteren Produkten geschlossen – das geht aus dem Security Update Guide hervor, auf den sich heise Security in seiner Meldung bezieht. So groß die Zahl ist: Der eigentliche Grund, warum dieser Patchday Ihre Aufmerksamkeit verdient, ist ein anderer. Eine Schwachstelle in Outlook wird bereits aktiv von Angreifern ausgenutzt. Dazu kommen mehrere als „kritisch“ eingestufte Lücken, darunter eine, bei der Exchange Server als Einfallstor dienen kann – ohne dass ein Mitarbeiter auch nur eine Mail öffnet.

Warum „wird bereits ausgenutzt“ den Unterschied macht

Sicherheitslücken werden jeden Monat geschlossen, und in vielen Betrieben hat sich dafür eine Routine eingespielt: Updates werden gesammelt, geprüft und beim nächsten Wartungsfenster verteilt. Das ist grundsätzlich vernünftig. Diesmal ist die Lage aber eine andere.

Die meisten Lücken, die an einem Patchday geschlossen werden, sind bis dahin theoretische Angriffsflächen – gefährlich, aber noch nicht in der Praxis beobachtet. Hier ist das anders: Die Outlook-Lücke CVE-2026-124194 wird laut Meldung bereits attackiert. Das bedeutet: Es existiert nicht nur ein Angriffsweg, er wird auch schon genutzt. Jeder Tag ohne Patch ist ab jetzt ein Tag, an dem ein funktionierender Angriff auf Ihre Systeme möglich ist. Wer die Updates jetzt um Wochen verschiebt, fährt bewusst mit offener Tür.

Was der Outlook-Angriff konkret bedeutet

Der Angriff funktioniert laut der Meldung so: Angreifer schicken eine Mail mit einer präparierten Office-Datei an ein verwundbares System. Öffnet ein Empfänger die Nachricht, baut Outlook eine Verbindung zu einem Netzwerkstandort auf, den der Angreifer kontrolliert – ohne die übliche Warnung vor externen Inhalten anzuzeigen. Dabei können Authentifizierungsinformationen in Form eines NTLMv2-Hash abgegriffen werden. Mit diesen Informationen kann sich der Angreifer im Namen des Opfers authentifizieren. Um die Attacke einzuleiten, muss er selbst nicht angemeldet sein.

Übersetzt heißt das: Das Öffnen einer Mail genügt, und ein Fremder kann sich als Ihr Mitarbeiter ausgeben. Was er damit anrichten kann, hängt davon ab, auf welche Systeme und Daten das betroffene Konto Zugriff hat – von Mails über Dateifreigaben bis zu internen Anwendungen. Der Angriff ist damit kein klassischer Virus, den ein Scanner erkennt, sondern ein Identitätsdiebstahl.

Zwei Details aus der Meldung sind dabei wichtig. Erstens: Die reine Vorschauansicht soll den Fehler nicht auslösen – erst das Öffnen der Nachricht. Das ist jedoch ein schwacher Trost, denn Mails mit Anhängen werden in Büros nun einmal geöffnet; genau darauf setzt der Angriff. Zweitens: Microsoft stuft die Lücke als „mittel“ ein. Warum, obwohl sie aktiv ausgenutzt wird, geht aus der Meldung nicht hervor. Für Ihre Praxis sollte die Einstufung zweitrangig sein – entscheidend ist, dass Angriffe laufen.

Die Exchange-Lücke: der unbequemere Teil der Meldung

Mindestens so ernst ist eine zweite Schwachstelle (CVE-2026-116928), die Microsoft als „kritisch“ einstuft. Sie steckt in der Windows-Suchkomponente, und Angreifer können dabei Exchange Server als Einfallstor nutzen. Der Ablauf: Eine manipulierte Mail wird an ein betroffenes System geschickt, der Suchindexer verarbeitet den präparierten Anhang automatisch – der Empfänger muss die Mail nicht einmal öffnen. Es kommt zu einem Speicherfehler, und Schadcode läuft mit den Rechten des Indexierungsdienstes.

Für Sie heißt das: Hier hilft kein noch so gut geschultes Personal. Kein Mensch muss einen Fehler machen, kein Anhang muss angeklickt werden. Wenn Sie einen eigenen Exchange Server betreiben, gehört dieser Patch an die Spitze Ihrer Liste.

Und wenn Sie Ihre Mail komplett in der Cloud betreiben? Die Meldung macht dazu keine Aussage – ob und in welchem Umfang reine Cloud-Umgebungen von dieser Lücke betroffen sind, ist daraus nicht ersichtlich. Das ist eine der Fragen, die Sie mit Ihrem IT-Betreuer klären sollten, statt sich auf Vermutungen zu verlassen.

Auch die Arbeitsplätze nicht vergessen

Daneben gibt es zahlreiche weitere Lücken, etwa eine ganze Reihe in Excel (unter anderem CVE-2026-118701, eingestuft als „hoch“), über die Angreifer ebenfalls Schadcode ausführen und Systeme kompromittieren können. Weitere wichtige Updates sind laut Meldung für Azure, ActiveX, Hyper-V, .NET und verschiedene Windows-Komponenten erschienen.

Die Einordnung für ein Unternehmen Ihrer Größe: Das ist kein reines Server-Thema. Office und Excel laufen auf jedem Arbeitsplatz. Ein Patchprozess, der nur die Server erreicht, lässt den Großteil der Angriffsfläche offen.

Was Sie jetzt tun sollten

Konkret und ohne Umschweife:

Erstens: Update-Status prüfen. Die Meldung bringt es auf den Punkt: Admins sollten sicherstellen, dass Windows Update aktiv ist und die aktuellen Sicherheitspatches installiert sind. „Sollte eigentlich laufen“ ist keine ausreichende Antwort – lassen Sie sich den Stand zeigen.

Zweitens: Zeitnah patchen, nicht nur planen. Weil die Outlook-Lücke bereits ausgenutzt wird, ist dies nicht der Patchday, den man beim nächsten regulären Wartungstermin mitnimmt. Eine konkrete Frist nennt die Meldung nicht – aber „so bald wie möglich“ ist hier wörtlich gemeint.

Drittens: Alle Geräte erfassen. Denken Sie an Rechner, die nicht täglich im Büronetz hängen: Notebooks von Außendienst oder Homeoffice, Geräte von Mitarbeitern im Urlaub, Reservegeräte im Schrank. Was beim Update-Lauf nicht eingeschaltet ist, bekommt den Patch nicht.

Viertens: Exchange priorisieren. Falls Sie einen eigenen Exchange Server betreiben, gehört er wegen der kritischen Lücke ohne Nutzerinteraktion an den Anfang der Patchliste.

Fünftens: Mitarbeiter kurz informieren. Der Outlook-Angriff braucht eine geöffnete Mail mit präparierter Office-Datei. Eine kurze, klare Ansage – keine unerwarteten Anhänge öffnen, im Zweifel nachfragen – senkt das Risiko in der Zeit bis zum Patch und danach.

Sechstens: Installation verifizieren. Ein ausgerolltes Update ist nicht automatisch ein installiertes Update. Lassen Sie sich bestätigen, dass die Patches auf allen Systemen tatsächlich aktiv sind.

Was aus der Meldung nicht hervorgeht

Ehrlichkeit gehört zur Einordnung. Offen bleibt, wie verbreitet die beobachteten Angriffe sind und ob sie sich gegen bestimmte Branchen oder Länder richten – dazu enthält die Meldung keine Angaben. Ebenso wenig ist ersichtlich, ob Microsoft neben dem Patchen weitere Schutzmaßnahmen empfiehlt. Details zu allen geschlossenen Lücken listet Microsoft im Security Update Guide; ob für Ihre eingesetzten Versionen und Konfigurationen Besonderheiten gelten, sollten Sie dort oder mit Ihrem IT-Dienstleister prüfen.

Fazit

Dieser Patchday unterscheidet sich von der monatlichen Routine: Eine Outlook-Lücke wird aktiv angegriffen, und eine kritische Exchange-Lücke funktioniert ohne jede Mitarbeit Ihrer Mitarbeiter. Beides zusammen ist ein klares Signal: Updates jetzt zeitnah auf allen Rechnern und Servern einspielen, den Erfolg kontrollieren und die Belegschaft kurz sensibilisieren. Alles andere – etwa die Frage, ob Ihre Umgebung überhaupt betroffen ist – klären Sie am besten heute, nicht beim nächsten Wartungstermin.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.