Windows-Lücke wird ausgenutzt – was jetzt zu tun ist

Wenn Microsoft an einem Patchday mehr als 1400 Sicherheitslücken auf einmal schließt, ist das allein schon eine Nachricht wert. Richtig ernst wird es aber, wenn eine dieser Lücken nicht nur theoretisch existiert, sondern bereits aktiv angegriffen wird. Genau das ist jetzt der Fall: Wie heise Security berichtet, laufen derzeit Attacken auf Systeme mit Windows 10 und Windows 11. Zwei weitere Schwachstellen sind öffentlich bekannt – weitere Angriffe können also bevorstehen.

Für Unternehmen mit 10 bis 100 Mitarbeitern ist das kein Randthema für die IT-Abteilung, sondern eine Frage, die Sie als Geschäftsführer oder IT-Verantwortlicher diese Woche auf dem Schirm haben sollten.

Was die aktiv ausgenutzte Lücke so gefährlich macht

Die bereits attackierte Schwachstelle (CVE-2026-96951, als „hoch“ eingestuft) steckt in der Windows Shell. Angreifer können darüber den sogenannten Mark-of-the-Web-Mechanismus (MotW) umgehen. Das klingt technisch, ist aber im Alltag leicht erklärt: Windows markiert Dateien, die aus dem Internet stammen, und warnt Sie, wenn Sie eine solche Datei öffnen. Diese Warnung ist eine der letzten Hürden zwischen einem Mitarbeiter und Schadsoftware.

Wenn diese Hürde wegfällt, sieht ein präparierter Dateianhang aus wie jede andere Datei auch. Kein Hinweis, keine Warnung, kein Moment des Innehaltens. Und genau darauf setzen die Angreifer: Damit der Angriff funktioniert, muss ein Opfer mitspielen – etwa indem es einen präparierten Anhang einer E-Mail öffnet, die der Angreifer verschickt hat.

Das ist der entscheidende Punkt für Ihre Einordnung: Der Angriffsweg läuft über Menschen, nicht über offene Ports im Rechenzentrum. Er zielt auf den ganz normalen Büroalltag – eine E-Mail, ein Anhang, ein Klick. In einer Firma mit 30, 50 oder 80 Mitarbeitern reicht ein einziger unaufmerksamer Moment.

Es bleibt nicht beim Arbeitsplatz-PC

Die Shell-Lücke ist die akuteste, aber bei weitem nicht die einzige Baustelle dieses Patchdays. Die Meldung zeigt, wie breit die Angriffsfläche ist:

• Microsoft Office ist durch zahlreiche Schadcode-Lücken bedroht, einige davon gelten als „kritisch“ (etwa CVE-2026-88156).
• Active Directory, Dynamics 365 und Exchange Server sind angreifbar.
• Auch Windows DHCP und der Windows-Kernel sind verwundbar.
• In vielen Fällen können sich Angreifer höhere Rechte verschaffen – teils bis zu Systemrechten und damit zur vollen Kontrolle über die betroffenen Rechner.

Betroffen sind neben Windows 10 und 11 auch mehrere Windows-Server-Versionen, von Windows Server 2016 bis Windows Server 2025.

Übersetzt heißt das: Es reicht nicht, nur die Laptops der Belegschaft zu aktualisieren. Wer einen eigenen Server betreibt – ob für Dateiablage, Verzeichnisdienste oder E-Mail –, muss diesen genauso einplanen. Gerade Exchange Server und Active Directory sind in vielen Firmen dieser Größe das Herzstück der IT. Eine Lücke, die Angreifern Systemrechte verschafft, ist dort keine Kleinigkeit.

Dazu kommen zwei öffentlich bekannte Schwachstellen im .NET Framework (CVE-2026-108398, „hoch“) und in MessagePack-CSharp (CVE-2026-92707, „mittel“). Dafür gibt es nach aktuellem Stand noch keine Angriffe, aber die Details sind publik – und damit ist es oft nur eine Frage der Zeit, bis jemand daraus ein funktionierendes Angriffswerkzeug baut. Über die .NET-Lücke lassen sich Sicherheitsfunktionen umgehen, die MessagePack-Lücke eignet sich für DoS-Attacken.

Warum gerade kleinere Unternehmen jetzt im Fokus stehen

Große Konzerne haben in der Regel automatisierte Update-Prozesse: Patches werden zentral verteilt, der Stand wird überwacht, Nachzügler fallen auf. In Firmen mit 10 bis 100 Mitarbeitern sieht die Realität oft anders aus. Updates laufen über die Windows-eigene Update-Funktion – oder eben nicht. Mitarbeiter schieben den Neustart vor sich her, weil sie mitten in der Arbeit stecken. Der Server im Keller wird gepatcht, „wenn mal Zeit ist“. Und häufig hat niemand eine vollständige Übersicht, welche Geräte auf welchem Stand sind.

Für Angreifer ist das die ideale Ausgangslage. Eine Lücke, die aktiv ausgenutzt wird und bei der der Angriff über eine einfache E-Mail funktioniert, trifft genau die Unternehmen am härtesten, bei denen das Patchen vom Zufall und von der Disziplin Einzelner abhängt.

Ehrlicherweise gehört auch dazu: In welchem Umfang die aktuellen Attacken laufen, ist laut Meldung derzeit nicht bekannt. Auch der genaue Weg, über den die Angreifer den MotW-Schutz umgehen, ist nicht näher beschrieben. Das ändert aber nichts an der Grundlogik: Eine bekannt ausgenutzte Lücke plus ein ungepatchtes System ist ein Risiko, das Sie nicht tragen müssen – denn der Patch existiert bereits.

Was Sie jetzt konkret tun sollten

Die wichtigste Maßnahme steht sinngemäß schon in der Meldung selbst: Stellen Sie sicher, dass die Windows-Update-Funktion aktiv ist und die aktuellen Patches installiert sind. Konkret heißt das für ein Unternehmen Ihrer Größe:

Erstens: Bestand klären. Welche Geräte und Server laufen in Ihrem Unternehmen, mit welchen Windows-Versionen? Auch der Server im Serverraum, der „einfach läuft“, gehört auf die Liste – gerade wenn dort Windows Server 2016 oder eine neuere Version arbeitet. Und: Setzen Sie Exchange Server oder Dynamics 365 ein? Dann gehören diese Systeme ganz oben auf die Prioritätenliste.

Zweitens: Updates einspielen und prüfen. Nicht nur anstoßen, sondern kontrollieren, ob die Installation tatsächlich durchgelaufen ist. Ein Update, das auf einen Neustart wartet, der seit Wochen verschoben wird, schützt niemanden. Fragen Sie nach, wie das in Ihrem Unternehmen gehandhabt wird – und wer es kontrolliert.

Drittens: Office nicht vergessen. Die kritischen Office-Lücken betreffen Programme, die Ihre Mitarbeiter täglich nutzen. Office-Updates laufen je nach Konfiguration nicht automatisch mit dem Windows-Update mit. Prüfen Sie, ob das bei Ihnen der Fall ist.

Viertens: Mitarbeiter kurz und klar informieren. Da der Angriff auf geöffnete E-Mail-Anhänge setzt, ist eine kurze, verständliche Ansage wirksamer als jede Technik: in der aktuellen Lage besonders skeptisch bei Anhängen sein, im Zweifel beim Absender nachfragen, unerwartete Dateien nicht öffnen. Das kostet zehn Minuten und schließt genau die Lücke, auf die die Angreifer zielen.

Fünftens: Den Prozess hinterfragen. Wenn das Einspielen dieses Patchdays bei Ihnen auf Zufall, Erinnerung oder Einzelaktionen beruht, ist das das eigentliche Thema. Ein verlässliches Patchmanagement – mit klarer Verantwortung, Übersicht über alle Systeme und festen Zeiten für Server-Updates – ist kein Luxus für Konzerne, sondern das Mindeste, wenn Lücken innerhalb kurzer Zeit aktiv ausgenutzt werden.

Was noch unklar ist

Ein paar ehrliche Einschränkungen: Wie verbreitet die laufenden Angriffe sind und ob sie gezielt bestimmte Branchen oder Regionen treffen, geht aus der Meldung nicht hervor. Ebenso wenig ist klar, ob und wann aus den öffentlich dokumentierten .NET- und MessagePack-Lücken echte Angriffe werden. Und ob Ihr konkretes System bereits kompromittiert wurde, lässt sich aus der Ferne nicht beurteilen – das kann nur ein Blick auf die eigenen Systeme zeigen.

Was nicht unklar ist: Die Patches sind da, eine Lücke wird bereits ausgenutzt, und der Angriffsweg führt über den Posteingang Ihrer Mitarbeiter. Wer jetzt aktualisiert, nimmt den Angreifern die Grundlage. Wer wartet, hofft – und Hoffnung ist bekanntlich keine IT-Strategie.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.