> ## Content Index
> Fetch the complete content index at: https://sakis.tech/llms.txt
> Use this file to discover other available public pages before exploring further.

# Exchange-Lücke: Exploit ist öffentlich — 85 Prozent noch ungepatcht
- URL: https://sakis.tech/exchange-lucke-exploit-ist-offentlich-85-prozent-noch-ungepatcht/
- Published: 2026-08-28T10:37:24.000Z
- Updated: 2026-08-28T10:37:24.000Z
- Description: Für die Exchange-Lücke CVE-2026-62911 liegt ein fertiger Exploit auf GitHub — und laut CERT-Bund sind 85 Prozent der Server in Deutschland noch offen. Warum dich das auch ohne eigenen Exchange betrifft.
- Author: Sakis
- Tags: news, sicherheit

Du betreibst zuhause vermutlich keinen Exchange-Server. Dein Arbeitgeber aber vielleicht, deine Stadtverwaltung, deine Arztpraxis. Und genau dort brennt es gerade: Für eine gefährliche Lücke in Microsofts Mail-Server ist ein fertiger Exploit auf GitHub aufgetaucht — während laut CERT-Bund rund 85 Prozent der Server in Deutschland noch offen sind. Obwohl es den Patch seit über zwei Wochen gibt.

**Kurz gesagt:** Für die Exchange-Lücke CVE-2026-62911 kursiert seit ein paar Tagen ein öffentlicher Exploit. Angreifer können damit die Anmeldung umgehen und fremde Postfächer übernehmen. Microsoft hat am 11\. August gepatcht, aber 85 Prozent der deutschen On-Premises-Server sind laut CERT-Bund noch verwundbar. Wer einen Exchange betreut: sofort patchen. Alle anderen: bei Mails aus bekannten Quellen gerade besonders wachsam sein.

![Zahlenkarte zur Exchange-Lücke CVE-2026-62911: 85 Prozent der On-Premises-Exchange-Server in Deutschland noch verwundbar; Angreifer erhalten Zugriff auf alle Postfächer, der Exploit ist auf GitHub öffentlich, der Patch ist seit dem 11. August verfügbar](https://sakis.tech/content/images/2026/08/grafik-7.png)

Die Lage bei CVE-2026-62911 auf einen Blick — Stand 28\. August 2026

## Was ist passiert?

Zum August-Patchday am 11\. August hat Microsoft sieben Sicherheitslücken in Exchange Server geschlossen. Die brisanteste davon: **CVE-2026-62911**, eine Rechteausweitungs-Schwachstelle mit einem CVSS-Wert von 8,0 — das ist die gängige Skala für den Schweregrad von Sicherheitslücken, 10 wäre das Maximum. Microsoft selbst stuft die Lücke trotzdem als kritisch ein und hielt eine Ausnutzung von Anfang an für wahrscheinlich.

Die Lücke ist keine Unbekannte: Beim Hackerwettbewerb Pwn2Own in Berlin — dort führen Sicherheitsforscher Angriffe auf aktuelle Software live vor — hatte das Team Devcore sie schon im Mai ausgenutzt und dafür 200.000 US-Dollar Preisgeld kassiert. Wie Golem berichtet, liegt inzwischen ein funktionierender Proof-of-Concept-Exploit samt technischer Details öffentlich auf GitHub. Kombiniert mit zwei weiteren Bugs reichte die Lücke bei Pwn2Own, um einen Exchange-Server komplett zu übernehmen.

Was ein erfolgreicher Angriff bedeutet: Der Angreifer umgeht die Authentifizierung und bekommt Zugriff auf sämtliche Postfächer des Servers. Er kann E-Mails beliebiger Nutzer lesen und in deren Namen versenden. Das CERT-Bund, das Computer-Notfallteam des BSI, warnt seit dem Morgen: Rund 85 Prozent der On-Premises-Exchange-Server in Deutschland — also der selbst betriebenen, nicht in Microsofts Cloud — sind für die Lücke noch verwundbar. Und das, obwohl die Behörde deutsche Netzbetreiber schon seit dem 14\. August regelmäßig über anfällige Systeme in ihren Netzen informiert.

## Warum ist das wichtig?

Ein öffentlicher Exploit ändert die Spielregeln. Bisher musste ein Angreifer die Lücke selbst nachbauen, jetzt liegt der Bauplan für jeden abrufbar im Netz. Ab diesem Punkt beginnt üblicherweise das automatisierte Durchprobieren: Skripte klappern das Internet nach verwundbaren Servern ab, und Exchange ist ein Lieblingsziel, weil ein Postfach-Server der Generalschlüssel zu einer Organisation ist. Wer die Mails kontrolliert, kann Passwörter zurücksetzen, Rechnungen manipulieren und Phishing an Kollegen und Kunden schicken — von echten Adressen, mit echten alten Mail-Verläufen darunter.

Bleibt die Frage, warum zwei Wochen nach dem Patch noch 85 Prozent offen sind. Ein Teil der Antwort ist unbequem: Exchange 2016 und 2019 sind seit Oktober 2025 aus dem regulären Support. Sicherheitsupdates gibt es für sie nur noch über das kostenpflichtige ESU-Programm, Microsofts Bezahl-Verlängerung für Altsysteme. Wer weder zahlen noch auf die aktuelle Abo-Version Exchange SE wechseln will, bekommt schlicht keine Patches mehr. Dazu kommt die übliche Trägheit — dass zwischen „Patch verfügbar" und „Patch installiert" oft gefährlich viel Zeit vergeht, haben wir erst kürzlich [bei den 22 UniFi-Lücken](https://sakis.tech/ubiquiti-stopft-22-unifi-lucken-21-davon-kritisch/) gesehen. Nur dass hier der Exploit schon fertig im Regal liegt.

## Was bedeutet das für dich?

Auch ohne eigenen Exchange-Server bist du Teil dieser Geschichte — als Nutzer, dessen Mails auf so einem Server liegen könnten. Konkret:

- **Rechne mit besserem Phishing.** Wird ein Server übernommen, kommen Betrugsmails künftig von echten Absendern mit echter Vorgeschichte. Ungewöhnliche Bitten — Zahlungsdaten ändern, dringend Geschenkkarten kaufen, „neues Passwort hier eingeben" — immer über einen zweiten Kanal prüfen, etwa per Anruf.
- **Frag ruhig nach.** Wenn dein Arbeitgeber oder Verein einen eigenen Exchange betreibt, ist ein „Sind wir bei CVE-2026-62911 gepatcht?" an die IT gerade eine ziemlich gute Frage.
- **Falls du selbst einen Exchange betreust:** Jetzt patchen, nicht am Wochenende. Für 2016 und 2019 heißt das ESU — oder zügig auf Exchange SE beziehungsweise eine andere, weiter gepflegte Lösung wechseln. Das BSI empfiehlt zusätzlich, die Web-Dienste des Servers nur noch für vertrauenswürdige IP-Adressen oder per VPN erreichbar zu machen.

Der letzte Punkt gilt übrigens für jeden selbst betriebenen Dienst, vom Firmenserver bis zum Homelab: Was nicht offen im Internet hängt, wird auch nicht von Exploit-Skripten gefunden. [In unserem SSH-Beitrag](https://sakis.tech/ssh-absichern-auf-debian-ubuntu-schritt-fur-schritt/) steht, wie das Prinzip in der Praxis aussieht.

Meine Einschätzung: Die Lücke ist ernst, aber das eigentliche Problem ist die Patch-Moral. 85 Prozent ungepatcht, zwei Wochen nach dem Update, bei aktiver Benachrichtigung durch das CERT-Bund — das ist keine Sicherheitslücke mehr, das ist eine Einladung. Und Microsofts Entscheidung, Altsysteme nur noch gegen Aufpreis zu schützen, macht die Sache nicht besser: Gespart wird erfahrungsgemäß genau dort, wo es am meisten kostet.

Jetzt du: Sollten Hersteller wie Microsoft Sicherheitsupdates für weit verbreitete Server-Software auch nach dem Support-Ende kostenlos liefern — oder ist irgendwann einfach Schluss und die Verantwortung liegt beim Betreiber? Und wie lange darf ein Unternehmen deiner Meinung nach mit einem kritischen Patch warten? Mich interessiert, wo du die Grenze ziehst — ab damit in die Kommentare.

One more thing … solche Sicherheitswarnungen liest du am besten, bevor die Angriffswelle rollt. Trag dich unten kurz für den Newsletter ein, dann landen neue Beiträge direkt in deinem Postfach — kein Spam, versprochen.

sakis@homelab:\~$ echo "bleib neugierig — und mach backups" 

## Quellen

- [Golem: Patch-Defizit in Deutschland — Exploit gefährdet 85 Prozent aller Exchange-Server](https://www.golem.de/news/patch-defizit-in-deutschland-exploit-gefaehrdet-85-prozent-aller-exchange-server-2608-212397.html?ref=sakis.tech)
- [CERT-Bund auf Mastodon: 85 Prozent der On-Premises-Exchange-Server in Deutschland verwundbar](https://social.bund.de/@certbund/117171896801475447?ref=sakis.tech)
- [Frankys Web: New security updates for Exchange Server (August 2026)](https://www.frankysweb.de/en/new-security-updates-for-exchange-server-august-2026/?ref=sakis.tech)
- [SecurityWeek: August 2026 Patch Tuesday — Microsoft fixes 421 CVEs](https://www.securityweek.com/august-2026-patch-tuesday-microsoft-fixes-421-cves-one-exploited-zero-day/?ref=sakis.tech)