Es gibt Patchday-Lücken, die man in Ruhe im nächsten Wartungsfenster einplant. Und es gibt Lücken, bei denen sich die Lage nachträglich ändert. CVE-2026-62911 gehört in die zweite Kategorie.

Die Schwachstelle wurde am 11. August 2026 mit den Exchange-Sicherheitsupdates geschlossen. Microsoft stufte sie zwar als kritisch ein, setzte den Exploit-Status aber auf „Exploitation Less Likely“. Für viele Administratoren war das der Grund, das Update nicht mit höchster Priorität zu behandeln. Ende August ist dann funktionierender Exploit-Code auf GitHub aufgetaucht. Damit ist die Bewertung von Microsoft überholt, und jeder ungepatchte Exchange Server ist ein realistisches Ziel.

Wer noch auf dem Juli-Stand oder älter ist, sollte nicht bis zum September-Patchday warten.

Wie es dazu kam

Der Ablauf erklärt, warum die Einstufung von Microsoft so danebenliegt.

14. bis 16. Mai 2026: Auf der Pwn2Own Berlin demonstriert Orange Tsai vom DEVCORE Research Team eine Kette aus drei Schwachstellen, die zusammen Remote Code Execution mit SYSTEM-Rechten auf einem vollständig gepatchten Exchange Server ergeben. Dafür gibt es 200.000 US-Dollar Preisgeld und 20 Punkte in der Master-of-Pwn-Wertung. Die Organisatoren deuten an, dass das in Redmond für Nachtschichten sorgen dürfte. Details bleiben unter Verschluss, die Meldung läuft über die Zero Day Initiative an Microsoft.

Juni und Juli 2026: Es kommen Exchange-Updates, aber keine Bestätigung, ob der Pwn2Own-Fund damit erledigt ist. In der Community wird spekuliert.

11. August 2026: Das August-SU erscheint und schließt sieben Exchange-CVEs. Im Exchange Team Blog steht dazu die übliche Standardformulierung. Dass CVE-2026-62911 der Pwn2Own-Fund ist, bestätigt das Exchange-Team erst auf Nachfrage im Kommentarbereich der Release-Ankündigung.

Ende August 2026: Ein Sicherheitsforscher veröffentlicht auf GitHub einen Proof of Concept, der die Lücke praktisch nutzbar macht. Der Code ist frei verfügbar. Erfahrungsgemäß dauert es nach so einer Veröffentlichung nicht lange, bis die ersten Massenscans laufen.

Man kennt das Muster von ProxyLogon. Zwischen „theoretisch ausnutzbar“ und „wird flächendeckend gescannt“ liegen bei Exchange üblicherweise Tage, nicht Wochen.

CVE-2026-62911 im Detail

CVSS: 8.0 (Basis) / 7.0 (temporal), CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Schwerwiegenkeit: Kritisch (Microsoft-Einstufung), CWE-294 Authentication Bypass by Capture-replay

Bedrohung: Rechteausweitung über einen Authentifizierungs-Bypass in Microsoft Exchange Server

Exploits: Öffentlich verfügbarer Proof of Concept seit Ende August 2026. Microsoft führt die Lücke weiterhin als „Exploitation Less Likely“ mit Exploit Code Maturity „Unproven“. Diese Bewertung stammt vom Veröffentlichungstag und bildet die aktuelle Lage nicht mehr ab. Die ZDI hat Microsoft nach eigener Aussage funktionierenden Exploit-Code übergeben. Aktive Angriffe in freier Wildbahn sind bisher nicht bestätigt, ein Eintrag im CISA-KEV-Katalog liegt noch nicht vor.

Technische Zusammenfassung: Exchange stellt den MailboxReplicationProxyService (MRSProxy) für Postfachverschiebungen über zwei Pfade bereit. Der Pfad unter /EWS/MRSProxy.svc läuft über den IIS und ist durch Extended Protection abgesichert. Der zweite Endpunkt hängt direkt an HTTP.sys und wird von Extended Protection nicht erfasst. Er akzeptiert Negotiate-Authentifizierung, prüft aber die Channel Bindings nicht.

Genau diese Prüfung ist der Kern von Extended Protection. Fehlt sie, lässt sich eine Authentifizierung, die eigentlich für ein anderes Ziel bestimmt war, an diesen Endpunkt weiterreichen. Ein klassischer Relay-Angriff also. Der Dienst behandelt den Angreifer anschließend als das Konto, dessen Authentifizierung weitergereicht wurde.

Kritisch wird es durch eine Berechtigungs-Voreinstellung: Computerkonten besitzen standardmäßig das Recht ms-Exch-EPI-Token-Serialization. Wer die Authentifizierung eines Exchange-Computerkontos weiterreichen kann, erhält damit vollen Zugriff auf den WCF-Dienst. Von dort führt der Weg über eine unzureichend validierte Pfadangabe zu einem Dateischreibvorgang in ein vom IIS ausgeliefertes Verzeichnis. Das Ergebnis ist eine Webshell, die als NT AUTHORITY\SYSTEM läuft.

Ausnutzbarkeit: Hier weicht die offizielle Beschreibung von der Praxis ab. Microsoft spricht im CVE-Text von einem „authorized attacker“ und der Vektor enthält PR:L (niedrige Privilegien) sowie UI:R (Benutzerinteraktion erforderlich). Der veröffentlichte Proof of Concept kommt ohne beides aus: Er nutzt eine unauthentifizierte Coercion-Technik über MS-EFSR, um einen Exchange Server zur Authentifizierung an einem vom Angreifer kontrollierten Endpunkt zu bewegen, und leitet diese dann weiter. Gültige Zugangsdaten braucht es dafür nicht. Voraussetzung ist Netzwerkzugriff auf die betroffenen Dienste sowie eine Umgebung mit mindestens zwei Exchange Servern, weil das Relay-Ziel nicht identisch mit dem auslösenden Server sein kann.

Für die Praxis heißt das: Wer eine Multi-Server-Umgebung betreibt, sollte von einer Vorauthentifizierungslücke ausgehen, nicht von einer Lücke, die einen kompromittierten Benutzeraccount voraussetzt.

Auswirkungen: Nach erfolgreichem Angriff kann auf sämtliche Postfächer der Organisation zugegriffen werden. Mails lesen, Mails im Namen beliebiger Benutzer versenden, Anhänge herunterladen. Über die Webshell mit SYSTEM-Rechten ist der Server selbst kompromittiert, womit auch der Weg ins Active Directory offensteht. Bei einer Exchange-Kompromittierung geht es also nicht um einen Server, sondern um den Vertrauensanker der gesamten Kommunikationsinfrastruktur.

Workaround: Einen offiziellen Workaround von Microsoft gibt es nicht. Wirksam abgesichert ist die Lücke nur durch das August-SU. Risikomindernd wirken eine vorgeschaltete Authentifizierung über einen Reverse Proxy, konsequent aktivierte Extended Protection auf allen dafür vorgesehenen virtuellen Verzeichnissen, das Blockieren der bekannten Coercion-Vektoren auf RPC-Ebene sowie die Einschränkung von NTLM in Richtung Exchange. Keine dieser Maßnahmen ersetzt das Update, sie verschaffen aber Zeit.

Dringlichkeit: Hoch. Sofort patchen, nicht auf das reguläre Wartungsfenster warten.

Die weiteren sechs Lücken aus dem August-SU

Alle sieben Lücken sind über das Netzwerk ansprechbar. CVE-2026-62913 hat mit 8.8 formal den höheren Basiswert als CVE-2026-62911, spielt in der aktuellen Lage aber die kleinere Rolle, weil dafür kein öffentlicher Exploit vorliegt.

Betroffene Versionen und Ziel-Builds

Liegt die Build-Nummer unter dem Wert in der Tabelle, fehlt das August-Update und der Server ist angreifbar.

Exchange Online ist bereits geschützt, hier besteht kein Handlungsbedarf am Dienst selbst. Wer eine Hybrid-Umgebung betreibt, muss die lokalen Server trotzdem aktualisieren.

Management-Tools-Workstations nicht vergessen. Auch Arbeitsplätze, auf denen nur die Exchange-Verwaltungstools installiert sind, brauchen das Update.

Exchange 2013 und älter bekommen keine Updates mehr. Diese Systeme gehören abgeschaltet.

Die ESU-Falle bei Exchange 2016 und 2019

Der unangenehme Teil: Exchange 2016 und 2019 sind seit Oktober 2025 aus dem Support. Das August-SU gibt es für diese Versionen ausschließlich über das kostenpflichtige Extended-Security-Update-Programm der Phase 2. Wer keine ESU-Lizenz gebucht hat, bekommt schlicht keinen Patch für CVE-2026-62911.

Damit nicht genug. Seit dem Juni-Update hat Microsoft serverseitig etwas am Exchange Emergency Mitigation Service geändert. Server, die nicht mindestens auf dem Juni-2026-Stand sind, können keine neuen Mitigations mehr verarbeiten. Der Rettungsanker, mit dem Microsoft in der Vergangenheit auch ungepatchte Systeme kurzfristig absichern konnte, funktioniert bei diesen Servern nicht mehr. Bereits ausgerollte Mitigations laufen weiter, neue kommen nicht mehr an.

Für Behörden und kommunale IT bedeutet das eine klare Entscheidung: entweder ESU lizenzieren oder die Migration auf Exchange Server SE beziehungsweise Exchange Online zügig abschließen. Ein ungepatchter, aus dem Internet erreichbarer Exchange 2016 ist unter NIS2-Gesichtspunkten kaum noch vertretbar. Das BSI hatte bereits im Oktober 2025 auf Zehntausende gefährdete Exchange-Server in Deutschland hingewiesen, und die Zahl dürfte sich seitdem nicht wesentlich verbessert haben.

Was jetzt zu tun ist

1. Aktuellen Stand ermitteln

In der Exchange Management Shell:

Get-Command ExSetup.exe | ForEach-Object {$_.FileVersionInfo}

Der Befehl Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion zeigt nur den CU-Stand und nicht das installierte Sicherheitsupdate. Für die Prüfung auf das August-SU taugt er also nicht.

Zuverlässiger ist der Health Checker:

# Download unter https://aka.ms/ExchangeHealthChecker
.\HealthChecker.ps1

Ein korrekt aktualisierter Exchange SE meldet Version: Exchange SE RTM Aug26SU und Build Number: 15.02.2562.046.

2. Update installieren

Aus der Praxis der letzten Wochen haben sich zwei Punkte bewährt. Erstens: zuerst die Windows-Updates einspielen und neu starten, danach das Exchange-SU. Zweitens: Bei Installationsproblemen mit der Meldung „Diese Anwendung konnte nicht gestartet werden“ hilft es, den Virenschutz vorübergehend zu deaktivieren. Für die Installation selbst sollte man je nach Umgebung 20 bis 45 Minuten einplanen.

Nach der Installation Server neu starten, Health Checker erneut laufen lassen und prüfen, ob alle Exchange-Dienste sauber gestartet sind.

3. Extended Protection prüfen

Die Lücke lebt davon, dass ein Endpunkt keine Channel Bindings prüft. Extended Protection sollte deshalb in jeder Umgebung durchgängig aktiv sein, auch wenn es diese konkrete Lücke nicht allein schließt. Der Health Checker weist fehlende Extended Protection aus, für die Konfiguration gibt es das Skript ExchangeExtendedProtectionManagement.ps1 aus dem CSS-Exchange-Repository von Microsoft.

4. OWA Light

Mit diesem SU deaktiviert Microsoft den OWA-Light-Client dauerhaft. Hintergrund ist CVE-2026-62914, und der betroffene Code wird nicht mehr gepflegt. Wer das August-SU aus irgendeinem Grund nicht installieren kann, sollte OWA Light zumindest manuell abschalten:

Set-OwaMailboxPolicy -OwaLightEnabled $false
Set-OwaVirtualDirectory -LogonPageLightSelectionEnabled $false

Das ist keine Absicherung gegen CVE-2026-62911, sondern betrifft ausschließlich die Spoofing-Lücke.

5. Auf Kompromittierung prüfen

Wer erst jetzt patcht, sollte anschließend nachsehen, ob der Server bereits besucht wurde. Sinnvolle Prüfpunkte:

• Neu angelegte oder veränderte .aspx-Dateien in den vom IIS ausgelieferten Exchange-Verzeichnissen, insbesondere unter aspnet_client sowie in den auth-Unterverzeichnissen von OWA und ECP. Ein Abgleich der Dateizeitstempel gegen das Datum der letzten CU- oder SU-Installation findet Auffälligkeiten schnell.
• IIS-Logs auf ungewöhnliche POST-Requests gegen die MRSProxy-Endpunkte, vor allem aus Quellen, die keine Exchange Server sind.
• Prozessbaum: w3wp.exe als Elternprozess von cmd.exe oder powershell.exe ist auf einem Exchange Server praktisch immer ein Befund.
• NTLM-Authentifizierungen von Computerkonten an Exchange-Endpunkten, die nicht zum normalen Betriebsmuster passen.
• Neue oder veränderte lokale Administratorkonten und geplante Aufgaben auf dem Exchange Server.

Bei einem Treffer gilt die übliche Regel: Der Server ist nicht mehr vertrauenswürdig. Incident-Response-Prozess starten, nicht einfach die Webshell löschen und weitermachen.

6. Bekannte Probleme im Blick behalten

Für das August-SU selbst sind bisher keine eigenen Probleme bekannt. Der Punkt aus dem Juni besteht aber weiter: In Hybrid-Umgebungen können nach der Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen. Microsoft dokumentiert das unter KB5105719. Zusätzlich nennt der KB-Artikel zum SU Probleme mit veröffentlichten Kalendern (HTTP 500 bei ICS-Abrufen) und mit der Frei/Gebucht-Abfrage delegierter Postfächer in reinen Graph-Hybrid-Konfigurationen.

Einordnung

Zwei Dinge nimmt man aus diesem Fall mit.

Das eine ist die Frage, wie belastbar Herstellerbewertungen bei der Priorisierung sind. „Exploitation Less Likely“ hat hier viele Administratoren in eine falsche Sicherheit gewiegt, obwohl die Lücke drei Monate zuvor auf einer öffentlichen Bühne als Teil einer vollständigen Server-Übernahme demonstriert worden war. Diese Information stand jedem zur Verfügung. Wer ausschließlich auf das Exploitability Assessment im Update Guide schaut, verliert Zeit, die man bei internetseitig erreichbaren Diensten nicht hat. Der Kontext einer Lücke gehört genauso in die Bewertung wie der CVSS-Wert.

Das andere ist die Kommunikation. Dass der Pwn2Own-Fund im Exchange Team Blog keine eigene Erwähnung fand und erst auf Nachfrage im Kommentarbereich bestätigt wurde, macht Administratoren die Arbeit unnötig schwer. Wer den Zusammenhang zwischen der Mai-Demonstration und CVE-2026-62911 nicht selbst hergestellt hat, konnte die Dringlichkeit aus den offiziellen Quellen kaum ableiten.

Und der Rest bleibt, wie er ist: Ein lokaler Exchange Server ist eine dauerhafte Betriebsaufgabe. Wer ihn betreibt, braucht ein Patchfenster, das innerhalb von Tagen greift, und keines, das im Quartalsplan steht.

Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner“ ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven“ ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive“ (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive“ veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich“ eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz“ zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich“ eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich“. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich“ ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich“.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig“ eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich“ eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich“ eingestuft, aber nur als „wichtig“ klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende“ ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus“ ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation“ eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users“. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Der Microsoft Patchday im Juni 2026 bricht Rekorde, allerdings auf eine Weise, die IT-Abteilungen erhebliche Kopfschmerzen bereiten dürfte. Mit rund 200 behobenen Schwachstellen hat Microsoft den bisherigen Höchstwert aus dem Oktober 2025 regelrecht pulverisiert. Zählt man die Edge- und Drittanbieter-Patches hinzu, stehen Administratoren vor einem gewaltigen Berg von insgesamt 571 Sicherheitsfixes.

Hinter diesem plötzlichen Anstieg der Zahlen steht eine strukturelle Veränderung in der IT-Welt. Die automatisierte Schwachstellensuche durch künstliche Intelligenz hat auf beiden Seiten massiv an Fahrt aufgenommen. Sowohl unabhängige Sicherheitsforscher als auch Microsoft selbst decken Sicherheitslücken heute in einem beispiellosen Tempo auf. Dreistellige Patch-Zahlen pro Monat werden damit dauerhaft zum Standard für Systemadministratoren.

Unser detaillierter Überblick zeigt, auf welchen Systemen die Bedrohung aktuell am größten ist und wie Sie Ihre IT-Infrastruktur wirksam vor Angriffen schützen.

Die nackten Zahlen im Überblick

In der aktuellen Veröffentlichung listet Microsoft offiziell 198 eigene Schwachstellen auf, während externe Quellen von bis zu 206 einzigartigen Sicherheitslücken sprechen. Unter diesen Schwachstellen stuft der Hersteller 32 Sicherheitslücken als kritisch ein, wobei vor allem die Remotecodeausführungen das größte Risiko bergen. Zudem machten den Sicherheitsforschern drei bereits im Vorfeld öffentlich bekannte Zero-Day-Lücken Sorge. Gleich drei unauthentifizierte Schwachstellen zur Remotecodeausführung erreichen diesen Monat mit einem CVSS-Score von 9,8 die höchste Risikobewertung.

Die kritischsten Brennpunkte im Detail

Wer gehofft hatte, diesen Patch-Zyklus ohne größere Anpassungen durchlaufen zu können, muss umplanen. Mehrere Lücken betreffen fundamentale Dienste der Windows-Architektur. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. BitLocker-Bypass YellowKey (CVE-2026-45585 / CVE-2026-50507)

CVSS-Score: 6,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Security Feature Bypass (Umgehung von Sicherheitsfunktionen)

EXPLOITS: Die Schwachstelle ist öffentlich bekannt. Das kontroverse Sicherheitsforscher-Kollektiv Nightmare Eclipse hat einen voll funktionsfähigen Proof-of-Concept-Exploit publiziert, um gegen die Vergabepraxis von Microsofts Bug-Bounty-Programm zu protestieren.

TECHNISCHE ZUSAMMENFASSUNG: Der Fehler betrifft die Kommunikation zwischen der Windows-Wiederherstellungsumgebung (WinRE) und dem BitLocker-Verschlüsselungsmechanismus während des Systemstarts. Angreifer können manipulierte Konfigurationsdateien auf einem FAT32-formatierten USB-Laufwerk oder direkt in der unverschlüsselten EFI-Systempartition ablegen. Beim Booten in die WinRE-Umgebung sorgt eine Timing-Schwachstelle in Kombination mit einer physischen Tastenkombination wie dem Drücken der STRG-Taste dafür, dass der Boot-Manager eine ungesicherte Befehlszeile mit SYSTEM-Rechten öffnet. Da dieser Zugriff erfolgt, während die BitLocker-Schlüssel bereits durch das Trusted Platform Module im Arbeitsspeicher freigegeben wurden, erhält der Angreifer direkten Lese- und Schreibzugriff auf das verschlüsselte Laufwerk.

AUSNUTZBARKEIT: Ein erfolgreicher Angriff setzt physischen oder direkten lokalen Zugriff auf das Gerät voraus. Anmeldedaten oder eine aktive Benutzersitzung sind nicht erforderlich. Die Ausnutzung ist zuverlässig und lässt sich über ein vorbereitetes USB-Medium innerhalb weniger Sekunden automatisieren. Besonders gefährdet sind Systeme, die standardmäßig auf eine reine TPM-Verschlüsselung setzen und beim Starten keine PIN-Eingabe verlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Das Risiko für Notebooks im Außendienst und Homeoffice ist extrem hoch. Bei Verlust oder Diebstahl eines Geräts bietet die BitLocker-Verschlüsselung keinen wirksamen Schutz mehr für sensible Unternehmensdaten. Angreifer können geistiges Eigentum kopieren, Schadcode direkt in die Systempartition schreiben oder Spionage-Software installieren. Aus Sicht der DSGVO erlischt bei einem Geräteverlust der Schutzstatus der sicheren Verschlüsselung, was den Vorfall sofort meldepflichtig macht.

WORKAROUND: Die wirksamste Sofortmaßnahme ist das Erzwingen einer BitLocker-Pre-Boot-Authentifizierung mittels Gruppenrichtlinie. Der Pfad hierzu lautet Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, BitLocker-Laufwerkverschlüsselung, Betriebssystemlaufwerke, Zusätzliche Authentifizierung beim Start anfordern. Dadurch wird beim Booten zwingend eine PIN oder ein Startschlüssel verlangt. Alternativ lässt sich die Windows-Wiederherstellungsumgebung auf gefährdeten Systemen über den Befehl reagentc /disable in der Eingabeaufforderung komplett abschalten.

DRINGLICHKEIT: Sehr hoch für alle mobilen Endgeräte, die außerhalb des geschützten Firmennetzwerks betrieben werden.

2. HTTP.sys Remote Code Execution (CVE-2026-47291)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Bisher wurden keine aktiven Angriffe beobachtet, allerdings stuft Microsoft die Ausnutzung im realen Betrieb als wahrscheinlich ein. Es ist davon auszugehen, dass Cyberkriminelle den Patch durch Reverse Engineering analysieren, um zeitnah funktionierende Exploits zu entwickeln.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle befindet sich im Kernelmodus-Treiber http.sys, der für die Verarbeitung eingehender HTTP-Anfragen in Windows zuständig ist. Ein Integer-Underflow-Speicherfehler tritt auf, wenn der Treiber speziell manipulierte, tief verschachtelte oder fehlerhafte HTTP-Header verarbeitet, insbesondere im Zusammenhang mit Chunked-Transfer-Encoding. Ein Angreifer kann ein präpariertes TCP-Paket an einen offenen HTTP-Port senden, wodurch der Treiber im nicht-ausgelagerten Kernel-Pool falsche Speicherbereiche überschreibt. Dies ermöglicht das Ausführen von beliebigem Schadcode im Kontext von NT AUTHORITY\SYSTEM, ohne dass eine Interaktion auf Anwendungsebene im IIS-Prozess stattfinden muss.

AUSNUTZBARKEIT: Die Lücke lässt sich extrem einfach und ohne vorherige Authentifizierung über das Netzwerk ausnutzen. Jedes System, das Internet Information Services, Exchange Server, SQL Server Reporting Services oder andere Webdienste betreibt, die an den HTTP-Stack von Windows gekoppelt sind, ist über Port 80 oder 443 direkt angreifbar.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Ein erfolgreicher Angriff führt zur sofortigen und vollständigen Übernahme des betroffenen Webservers oder Exchange-Systems. Da der Schadcode direkt im Kernel-Bereich ausgeführt wird, können installierte Endpoint-Protection-Systeme sofort manipuliert oder deaktiviert und Log-Dateien gelöscht werden. Angreifer können Daten abziehen, Datenbanken verschlüsseln und den Server als Basis nutzen, um sich weiter im internen Unternehmensnetzwerk auszubreiten.

WORKAROUND: Als temporäre Schutzmaßnahme sollten externe Firewalls oder Web Application Firewalls so konfiguriert werden, dass sie eingehenden HTTP-Verkehr streng prüfen und fehlerhafte Header-Strukturen verwerfen. Zudem sollte der Registrierungswert MaxRequestBytes unter HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters auf dem Standardwert verbleiben oder restriktiver konfiguriert werden, um die maximale Paketgröße für Header zu begrenzen.

DRINGLICHKEIT: Kritisch, das sofortige Patchen aller Webserver und Exchange-Systeme hat oberste Priorität.

3. DHCP-Client Remote Code Execution (CVE-2026-44815)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Derzeit sind keine aktiven Exploits bekannt, das Bedrohungspotenzial für Angriffe innerhalb lokaler Netzwerke ist jedoch extrem hoch.

TECHNISCHE ZUSAMMENFASSUNG: Im Windows-DHCP-Client-Dienst dhcpcore.dll existiert eine unzureichende Validierung eingehender DHCP-Lease-Antwortpakete. Wenn ein Windows-System im Netzwerk nach einer IP-Adresse sucht, kann ein Angreifer mit einem gefälschten DHCP-Server antworten. Durch das Senden eines präparierten DHCP-Offer- oder ACK-Pakets, das überdimensionierte oder ungültige Optionsfelder enthält, wird im DHCP-Client-Prozess ein Heap-basierter Pufferüberlauf ausgelöst. Da der DHCP-Client mit SYSTEM-Rechten läuft, führt dieser Überlauf zur Ausführung von Schadcode, noch bevor das Betriebssystem die IP-Konfiguration abgeschlossen hat.

AUSNUTZBARKEIT: Die Schwachstelle ist sehr leicht ausnutzbar, erfordert jedoch, dass sich der Angreifer im selben physischen oder logischen Netzwerksegment wie das Opfer befindet. Da der DHCP-Client auf nahezu jedem Windows-System standardmäßig aktiv ist, ist die Angriffsfläche enorm groß. Selbst wenn auf Servern statische IP-Adressen konfiguriert sind, bleibt der Dienst für die DHCPv6-Verarbeitung und Autokonfiguration aktiv.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Die Schwachstelle ermöglicht Angreifern ein hochgradig gefährliches seitliches Eindringen in das Netzwerk. Sobald ein einzelnes Gerät im Firmennetzwerk kompromittiert ist, kann der Angreifer einen gefälschten DHCP-Server starten und jedes andere Windows-System im selben Subnetz infizieren. Besonders gefährdet sind Mitarbeiter, die sich mit ihren Geschäfts-Notebooks in öffentlichen oder ungesicherten WLAN-Netzen in Hotels oder Zügen aufhalten.

WORKAROUND: In Unternehmensnetzwerken sollte DHCP Snooping auf allen verwalteten Switchen aktiviert werden. Dies stellt sicher, dass DHCP-Antwortpakete nur von explizit autorisierten Switch-Ports weitergeleitet werden, an denen legitime DHCP-Server angeschlossen sind. Für Außendienstmitarbeiter sollte ein Always-On-VPN erzwungen werden, das jeglichen lokalen Netzwerkverkehr blockiert, bevor der VPN-Tunnel sicher aufgebaut wurde.

DRINGLICHKEIT: Sehr hoch, besonders kritisch für flache Netzwerke und mobile Endgeräte.

4. Windows Kernel TCP/IP Remote Code Execution (CVE-2026-45657)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Wurmfähige Schwachstelle)

EXPLOITS: Es sind keine aktiven Angriffe dokumentiert, allerdings besitzt die Lücke das Potenzial für einen sich selbst verbreitenden Exploit, ähnlich wie bei den Mechanismen von WannaCry.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle befindet sich im Windows-Kernel-Netzwerktreiber tcpip.sys und beruht auf einem Out-of-Bounds-Schreibfehler bei der Verarbeitung von speziell fragmentierten IPv6-Paketen oder komplexen IPv4-Optionsfeldern. Wenn der Netzwerktreiber versucht, die ankommenden Datenpakete im Speicher wieder zusammenzusetzen, kommt es aufgrund fehlerhafter Längenprüfungen zu einer Speicherüberschreibung im Kernel-Pool. Ein Angreifer kann dadurch Schadcode direkt mit den höchsten Rechten des Betriebssystems auf Kernel-Ebene ausführen, ohne dass ein Dienst im Benutzermodus involviert sein muss.

AUSNUTZBARKEIT: Für den Angriff ist weder eine Benutzerinteraktion noch eine Authentifizierung erforderlich. Der Angriff erfolgt direkt auf der untersten Netzwerkprotokollebene. Es muss kein bestimmter Port oder Dienst am Zielsystem geöffnet sein, es genügt, wenn die Netzwerkkarte des Opfers die bösartigen TCP/IP-Pakete empfängt und verarbeitet.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Das Bedrohungsszenario ist schwerwiegend. Da die Schwachstelle wurmfähig ist, kann sich ein einmal entwickelter Exploit vollautomatisch von einem infizierten System zum nächsten durch das gesamte Netzwerk verbreiten. Innerhalb weniger Minuten könnte eine Ransomware-Welle ein komplettes Firmennetzwerk lahmlegen, Active Directories kompromittieren und Backups löschen.

WORKAROUND: Wenn IPv6 im lokalen Netzwerk nicht zwingend benötigt wird, kann das Deaktivieren von IPv6 an den Netzwerkkarten eine Teillösung bieten. Microsoft rät jedoch davon ab, da viele interne Windows-Dienste IPv6 voraussetzen. Eine robustere Maßnahme ist eine strikte Netzwerksegmentierung über Firewalls und das Blockieren von fragmentiertem ICMPv6- und Raw-IP-Verkehr an den internen Netzwerkgrenzen.

DRINGLICHKEIT: Kritisch, das sofortige Einspielen der kumulativen Windows-Updates auf allen Systemen ist zwingend erforderlich.

5. HTTP/2 Denial of Service HTTP/2 Bomb (CVE-2026-49160)

CVSS-Score: 7,5

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Denial of Service (DoS / Serverabsturz durch Ressourcenerschöpfung)

EXPLOITS: Die Schwachstelle ist öffentlich bekannt. Die IT-Sicherheitsfirma Calif. hat die technische Funktionsweise dieser Schwachstelle im Detail analysiert und publiziert.

TECHNISCHE ZUSAMMENFASSUNG: Die HTTP/2 Bomb nutzt eine konzeptionelle Schwachstelle im HPACK-Komprimierungsalgorithmus des HTTP/2-Protokolls aus. HPACK komprimiert HTTP-Header, um Bandbreite zu sparen. Ein Angreifer sendet extrem kleine HTTP/2-Frames, die so konstruiert sind, dass sie sich beim Dekomprimieren auf dem Webserver auf eine gigantische Datenmenge aufblähen, vergleichbar mit einer klassischen Zip-Bombe. Der HTTP.sys-Treiber wird gezwungen, riesige Mengen an RAM und CPU-Leistung bereitzustellen, um diese unendlichen Header-Daten zu verarbeiten. Durch die gezielte Manipulation von Flow-Control-Frames kann der Angreifer zudem verhindern, dass der Server diesen belegten Speicher wieder freigibt.

AUSNUTZBARKEIT: Der Angriff ist sehr einfach und mit minimalem Bandbreitenaufwand für den Angreifer realisierbar. Jeder Webserver, jede Web-API oder jedes Portal, das HTTP/2-Verbindungen über den Windows HTTP-Stack akzeptiert, ist direkt aus dem Internet angreifbar. Eine Anmeldung ist nicht erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Der Server erleidet eine massive Ressourcenerschöpfung, friert ein oder stürzt mit einem Blue Screen ab. Für Unternehmen, die Online-Shops, Kundenportale oder geschäftskritische Web-APIs betreiben, führt dies zu unvorhergesehenen Ausfallzeiten, verletzten Service-Level-Agreements, direktem Umsatzverlust und erheblichen Reputationsschäden.

WORKAROUND: Microsoft hat mit diesem Patchday eine neue Sicherheitssteuerung in die Registry integriert. Administratoren können die maximale Anzahl an erlaubten Headern pro HTTP/2- und HTTP/3-Verbindung limitieren. Erstellen Sie hierzu unter dem Pfad HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters einen neuen DWORD-Wert mit dem Namen MaxHeadersCount und setzen Sie diesen auf einen restriktiven Wert wie 100 dezimal, wie in KB5102602 beschrieben. Alternativ kann HTTP/2 im IIS temporär deaktiviert werden, wodurch der Server auf das ältere HTTP/1.1 zurückfällt.

DRINGLICHKEIT: Hoch, insbesondere für alle internetseitig erreichbaren Web- und Anwendungsserver.

6. GreenPlasma (CVE-2026-45586)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Privilege Escalation (Lokale Rechteausweitung)

EXPLOITS: Die Schwachstelle ist öffentlich bekannt. Der Exploit-Code wurde im Zuge der Veröffentlichungen von Nightmare Eclipse ins Netz gestellt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle betrifft das Windows Collaborative Translation Framework, das oft mit dem Prozess ctfmon.exe assoziiert wird und für Texteingaben und Sprachunterstützung zuständig ist. Es handelt sich um einen Fehler bei der Link-Auflösung. Ein Angreifer mit einem unprivilegierten Benutzerkonto kann im Dateisystem symbolische Verknüpfungen erstellen, die auf geschützte Systemverzeichnisse verweisen. Wenn der CTF-Dienst versucht, temporäre Übersetzungsdaten in den Benutzerpfad zu schreiben, folgt er dem präparierten Link und überschreibt oder modifiziert Systemdateien mit vollen SYSTEM-Rechten.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff voraus. Der Angreifer muss in der Lage sein, Code auf dem System auszuführen, entweder als lokaler Standardbenutzer, über eine RDP-Sitzung oder durch ein zuvor eingeschleustes, niedrig privilegiertes Schadprogramm. Der Exploit ist extrem zuverlässig und liefert dem Angreifer sofort eine interaktive Eingabeaufforderung als SYSTEM.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Lokale Sicherheitsbarrieren werden komplett ausgehebelt. Sobald ein Angreifer, beispielsweise über eine Phishing-Mail, einen Fuß in der Tür hat, kann er sich mithilfe dieser Lücke administrative Rechte verschaffen. Er kann Antiviren-Dienste beenden, Passwörter aus dem LSASS-Speicher auslesen und Ransomware im gesamten System ausführen.

WORKAROUND: Es gibt keinen direkten Registry-Schalter, um das CTF-Framework abzuschalten, ohne die Tastatureingabe von Windows massiv zu beeinträchtigen. Administratoren sollten sicherstellen, dass unprivilegierte Benutzer keine unbekannten ausführbaren Dateien in beschreibbaren Verzeichnissen wie %temp% starten dürfen, was sich über AppLocker konfigurieren lässt. Zudem sollte das EDR-System so eingestellt werden, dass es verdächtige Kindprozesse, die direkt von ctfmon.exe gestartet werden, sofort blockiert.

DRINGLICHKEIT: Hoch, besonders kritisch auf Terminalservern, Citrix-Umgebungen und Systemen, die von mehreren Benutzern geteilt werden.

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Die schiere Masse an Patches in diesem Monat zeigt deutlich, dass das manuelle Patchmanagement am Wochenende endgültig der Vergangenheit angehört. Sicherheitsverantwortliche können nicht mehr darauf hoffen, jeden Monat einfach schnell alles einzuspielen, ohne die Betriebsstabilität zu gefährden. KI-gestützte Tools erleichtern es Angreifern zudem, veröffentlichte Patches extrem schnell mittels Reverse Engineering zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen der Veröffentlichung eines Patches und seiner aktiven Ausnutzung schrumpft rasant. Für Unternehmen ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess mittlerweile überlebenswichtig, besonders im Hinblick auf die strengen gesetzlichen Vorgaben der NIS-2-Richtlinie.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Zur Absicherung Ihrer Systeme sollten Sie Webserver und Endpunkte konsequent priorisieren. Patchen Sie Systeme mit öffentlich erreichbaren IIS-Instanzen wegen des HTTP.sys-Fehlers sowie zentrale Infrastruktur-Server wie Active Directory und DHCP zuerst.

Danach empfiehlt sich eine genaue Überprüfung der HTTP.sys-Konfiguration. Nutzen Sie PowerShell, um zu verifizieren, ob Ihre Webserver von den neuen Header-Limits Gebrauch machen und ob abweichende Registrierungswerte vorliegen.

Führen Sie den Rollout der Updates unbedingt in Wellen durch. Aufgrund der enormen Menge an Codeänderungen in diesem Monat ist das Risiko von Kompatibilitätsproblemen stark erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie die Aktualisierungen in der gesamten Umgebung verteilen.

Zuletzt sollten Sie den tatsächlichen Update-Status verifizieren. Verlassen Sie sich nicht blind auf die Standard-Anzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Schnittstellen, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind.

Sicherheitsupdates vom Patch Tuesday im Juni 2026

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im Juni 2026.

Es ist wieder so weit. Wie ein Untoter in einem zweitklassigen Horrorfilm kriecht sie aus ihrem Grab, schüttelt sich den Staub der Verfassungswidrigkeit von den Schultern und grinst uns mit der Zahnlücke des autoritären Wahnsinns an: Die Vorratsdatenspeicherung. Oder wie man sie heute nennt, um die Gerichte nicht direkt zu provozieren: „Verkehrsdatenspeicherung“, „Sicherheits-Backup für Deutschland“ oder vielleicht bald „Digitaler Umarmungsservice des Staates“.

Es ist faszinierend und erschreckend zugleich. Seit nunmehr fast zwei Jahrzehnten versuchen wechselnde Bundesregierungen – egal ob unter Merz, Scholz oder Merkel – uns einzureden, dass das Abendland untergeht, wenn der Staat nicht weiß, wann Sie gestern Abend um 23:14 Uhr bei der anonymen Seelsorge angerufen haben oder ob Sie sich öfter auf Seiten für vegane Hardcore-Strickmuster herumtreiben.

Die Definition von Wahnsinn: Immer das Gleiche tun und ein anderes Ergebnis erwarten

Albert Einstein wird oft der Satz zugeschrieben, dass Wahnsinn darin bestehe, immer wieder das Gleiche zu tun und ein anderes Ergebnis zu erwarten. Wenn das stimmt, dann ist das Bundesinnenministerium die größte geschlossene Abteilung der Republik.

Wir haben es schwarz auf weiß. Mehrfach. Das Bundesverfassungsgericht hat nein gesagt. Der Europäische Gerichtshof hat nein gesagt. Sogar die Realität hat nein gesagt. Aber unsere Politiker sind wie bockige Kleinkinder im Supermarkt, die so lange mit den Fäusten auf den Boden trommeln, bis ihnen jemand die Überwachungstüte kauft. Sie ändern ein paar Kommas, taufen das Kind um und präsentieren uns denselben verfassungsfeindlichen Müll als „neuen, grundrechtskonformen Ansatz“. Spoiler-Alarm: Es ist immer noch anlasslose Massenüberwachung. Es ist immer noch der Generalverdacht gegen 84 Millionen Menschen.

„Ich habe doch nichts zu verbergen“ – Der Satz, der Freiheit tötet

Man hört ihn immer wieder, diesen Klassiker der intellektuellen Kapitulation. Doch wer das sagt, hat das Prinzip der Freiheit nicht verstanden. Privatsphäre ist nicht dazu da, um Verbrechen zu verstecken. Sie ist dazu da, um Individualität zu schützen.

Stellen Sie sich vor, der Staat würde verlangen, dass Sie eine Kamera in Ihrem Schlafzimmer installieren, die nur „im Bedarfsfall“ eingeschaltet wird. Würden Sie das akzeptieren? Wahrscheinlich nicht. Aber bei Ihren digitalen Metadaten zucken Sie mit den Schultern? Dabei verraten diese Metadaten mehr über Sie als jedes Schlafzimmervideo. Wer weiß, wen Sie anrufen, wo Sie sich aufhalten und wem Sie schreiben, der weiß, wer Sie sind. Der Staat baut sich eine digitale Voodoo-Puppe von jedem Bürger, an der er nach Belieben Nadeln ansetzen kann.

Die technische Bankrotterklärung: Ein Netz für Goldfische, während die Haie lachen

Aber kommen wir zum amüsantesten Teil dieser ganzen Farce: Der technischen Sinnlosigkeit. Unsere Sicherheitsbehörden verkaufen uns die VDS als das ultimative Werkzeug gegen Terrorismus und schwere Kriminalität. In Wahrheit ist es ein gigantisches Milliarden-Grab, das genau gar nichts bringt. Warum? Weil jeder, der auch nur einen Funken krimineller Energie und den IT-Sachverstand eines zwölfjährigen Minecraft-Spielers besitzt, diese Überwachung in drei Klicks aushebelt.

VPNs: Der digitale Tarnumhang für Einsteiger
Ein VPN (Virtual Private Network) kostet heute fünf Euro im Monat und lässt sich per App mit einem Klick aktivieren. Was sieht der Provider dann noch? Nichts. Er sieht einen verschlüsselten Brei, der zu einem Server nach Island, Panama oder in die Schweiz fließt. Die Vorratsdatenspeicherung speichert in diesem Fall nur eines: Dass Sie eine verschlüsselte Verbindung haben. Herzlichen Glückwunsch, Herr Innenminister, Sie haben gerade fünf Euro Steuergeld pro Bürger investiert, um heiße Luft zu überwachen.

DNS-over-HTTPS: Wenn das Adressbuch verschlüsselt wird
Bisher konnte der Provider sehen, welche Webseiten Sie aufrufen, weil Ihr Computer brav beim DNS-Server des Providers nach der Adresse gefragt hat. Mit DNS-over-HTTPS (DoH) – einer Funktion, die mittlerweile in fast jedem Browser (Chrome, Firefox, Safari) standardmäßig aktiviert werden kann – wird diese Abfrage verschlüsselt. Der Provider weiß nicht einmal mehr, ob Sie auf bundesregierung.de oder wie-baue- ich-eine-guillotine.org surfen.

SSH-Tunnel und ferne Geräte
Für die etwas Fortgeschritteneren: Ein SSH-Tunnel zu einem günstigen Server im Ausland oder einfach zum Router eines Freundes in einem Land ohne Überwachungsfetisch reicht aus, um die gesamte Kommunikation umzuleiten. Das ist keine Raketenwissenschaft. Das ist Basis-Wissen für jeden Informatik-Studenten im ersten Semester.

Die „Störerhaftung“ und das offene WLAN
Erinnern Sie sich noch an die Panik vor offenen WLANs? Das ist vorbei. Dank der Abschaffung der Störerhaftung kann heute jeder sein WLAN öffnen oder sich in eines einwählen. Wenn ich als Krimineller etwas Unrechtes tun will, setze ich mich mit meinem Tablet in ein Café, nutze deren Freifunk oder das WLAN einer Fast-Food-Kette und lache über die VDS meines Heimanschlusses.

Das Ergebnis: Überwachung der Unschuldigen, Freiheit für die Profis

Was bleibt also übrig, wenn man den ganzen politischen Spin abzieht? Ein System, das ausschließlich die „dummen“ Bürger überwacht. Die Oma, die vergisst, ihr VPN einzuschalten. Den Studenten, der sich nicht für IT-Sicherheit interessiert. Den unbescholtenen Bürger, der nichts Böses ahnt.

Die wirklichen Verbrecher, die Terroristen, die organisierten Banden? Die nutzen Ende-zu-Ende-Verschlüsselung, Tor, VPN-Kaskaden und anonyme SIM-Karten aus dem Ausland. Die lachen sich kaputt über ein Deutschland, das Milliarden in eine Infrastruktur pumpt, die sie nicht einmal im Ansatz tangiert.

Es geht bei der Vorratsdatenspeicherung nicht um Sicherheit. Es ging nie um Sicherheit. Es geht um Kontrolle. Es geht um das Gefühl der Macht, auf Knopfdruck in das Leben jedes Bürgers blicken zu können. Es ist der feuchte Traum jedes Bürokraten, der Ordnung über Freiheit stellt.

Ein zynischer Ausblick

Wir können die Uhr danach stellen: In zwei Jahren wird das aktuelle Vorhaben wieder von einem Gericht einkassiert werden. Dann wird ein Politiker mit betroffener Miene vor die Presse treten und behaupten, man habe nun eine „Sicherheitslücke“, die dringend geschlossen werden müsse. Und dann beginnt das Spiel von vorn.

Wie viele Milliarden wollen wir noch in dieses tote Pferd investieren? Wie oft wollen wir uns noch anhören, dass unsere Grundrechte eigentlich nur „lästige Hindernisse“ bei der Verbrechensbekämpfung sind?

Die Vorratsdatenspeicherung ist das Denkmal einer politischen Klasse, die das Internet nicht versteht, die Freiheit für gefährlich hält und die ihre Bürger für so dumm verkauft, dass sie den Unterschied zwischen „Sicherheit“ und „Totalüberwachung“ nicht bemerken sollen.

Schalten Sie Ihr VPN ein. Verschlüsseln Sie Ihr DNS. Zeigen Sie ihnen, dass Ihre Privatsphäre keine Verhandlungsmasse ist. Denn wenn wir nicht aufhören, diesen Unsinn zu tolerieren, wird der Staat nicht aufhören, uns als Verdächtige zu behandeln.

In diesem Sinne: Fröhliches Überwachtwerden – oder eben auch nicht, wenn man weiß, wie man den „Aus“-Knopf drückt.

Der Mai-Patchday 2026 markiert mit insgesamt 120 behobenen Schwachstellen einen der volumenreichsten Monate des laufenden Jahres. Während die Nachricht „Kein Zero-Day“ in der Community für ein kurzes Aufatmen sorgt, offenbart der Blick in die Details eine komplexe Bedrohungslage. Insbesondere die Häufung von Remote Code Execution (RCE) Lücken in Kernkomponenten erfordert schnelles Handeln.

Hier ist unsere detaillierte Analyse der wichtigsten Sicherheitsupdates für diesen Monat.

Die Statistik des Monats

Das Gesamtvolumen ist im Vergleich zum Vormonat leicht gestiegen. Die Verteilung zeigt deutlich, wo Microsoft aktuell die größten Risiken sieht:

• Elevation of Privilege (EoP): 28
• Gesamtanzahl der Fixes: 120
• Kritische Einstufung (Critical): 9
• Wichtige Einstufung (Important): 111
• Zero-Day-Lücken: 0
• Remote Code Execution (RCE): 42 (fast ein Drittel aller Fixes!)

CVE-2026-42898 – Sicherheitslücke bei Microsoft Dynamics 365 On-Premises, die die Ausführung von Remote-Code ermöglicht

„Ein Angreifer mit nur grundlegenden Zugriffsrechten kann einen Server für Unternehmensanwendungen potenziell in eine Plattform zur Remote-Codeausführung verwandeln.“

In Microsoft Dynamics 365 On-Premises besteht eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht, da die Codegenerierung nicht ordnungsgemäß kontrolliert wird. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, über das Netzwerk bösartigen Code auszuführen, indem er Prozesssitzungsdaten innerhalb von Dynamics CRM manipuliert. Da die Ausnutzung keine Benutzerinteraktion erfordert und sich auf Systeme außerhalb des ursprünglichen Sicherheitsbereichs der anfälligen Komponente auswirken kann, stellt diese Schwachstelle ein ernstes Unternehmensrisiko dar.

• CVSS-Score: 9,9
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es authentifizierten Angreifern ermöglichen, beliebigen Code auf betroffenen Dynamics 365-Servern aus der Ferne auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Servers, zum unbefugten Zugriff auf Unternehmensanwendungen, zum Diebstahl sensibler CRM-Datensätze, zur Störung des Betriebs und zur lateralen Bewegung in verbundene Unternehmenssysteme führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „Unbewiesen“ angegeben, und die Einschätzung der Ausnutzbarkeit wird als „Ausnutzung unwahrscheinlich“ bewertet.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-42898 wird durch eine unsachgemäße Steuerung der Codegenerierung verursacht und unter CWE-94 „Code Injection“ klassifiziert. Ein authentifizierter Angreifer mit geringen Berechtigungen kann den gespeicherten Zustand einer Dynamics CRM-Prozesssitzung ändern und die Anwendung dazu veranlassen, böswillig gestaltete Daten zu verarbeiten. Dies kann dazu führen, dass der Server unbeabsichtigt vom Angreifer kontrollierten Code ausführt.

Die Schwachstelle weist einen Netzwerkangriffsvektor mit geringer Angriffskomplexität auf und erfordert keine Benutzerinteraktion. Der CVSS-Umfang ist als „Geändert“ gekennzeichnet, was bedeutet, dass eine erfolgreiche Ausnutzung Auswirkungen auf Systeme oder Ressourcen außerhalb der ursprünglichen Sicherheitsgrenze haben kann, die von der anfälligen Komponente verwaltet werden. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden alle als „Hoch“ eingestuft.

AUSNUTZBARKEIT:

Das betroffene Produkt ist Microsoft Dynamics 365 (On-Premises) Version 9.1. Die Ausnutzung erfordert ein gültiges, authentifiziertes Konto mit geringen Berechtigungen. Angreifer können manipulierte Prozesssitzungsdaten missbrauchen, um die Remote-Codeausführung auf dem Server auszulösen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Eine Kompromittierung der Dynamics 365-Infrastruktur kann Kundendaten, betriebliche Arbeitsabläufe, Finanzinformationen und integrierte Geschäftssysteme offenlegen. Da CRM-Umgebungen häufig mit Identitätsdiensten, Datenbanken und Unternehmensanwendungen verbunden sind, könnte eine erfolgreiche Ausnutzung zu einer umfassenderen Kompromittierung der Organisation und zu Betriebsstörungen führen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate zu KB5078943 so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Sicherheitslücke erfordert sofortige Aufmerksamkeit, da sie eine Einstufung als „kritisch“, eine netzwerkbasierte Ausnutzung, keine Anforderungen an Benutzerinteraktion sowie erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit vereint. Auch wenn eine Ausnutzung derzeit als unwahrscheinlich eingeschätzt wird, senkt die geringe Anforderung an Berechtigungen die Hürde für Angreifer, die bereits über gültige Anmeldedaten verfügen, erheblich.

CVE-2026-42831 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Office

„Eine bösartige Office-Datei kann einen einzigen Mausklick des Benutzers in die vollständige Codeausführung auf einer Workstation verwandeln.“

In Microsoft Office besteht aufgrund eines heap-basierten Pufferüberlaufs eine kritische Sicherheitslücke zur Remote-Codeausführung. Ein unbefugter Angreifer könnte diese Schwachstelle ausnutzen, indem er eine bösartige Office-Datei versendet und einen Benutzer dazu verleitet, diese zu öffnen. Der Vorschaubereich ist kein Angriffsvektor für diese Sicherheitslücke.

• CVSS-Score: 7,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, lokal auf einem betroffenen System Code auszuführen. Eine erfolgreiche Ausnutzung kann zur Installation von Malware, zum Datendiebstahl, zur Kompromittierung der Workstation und möglicherweise zum Eindringen tiefer in das Unternehmen führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-42831 wird durch einen heap-basierten Pufferüberlauf in Microsoft Office verursacht. Die Schwachstelle könnte es bösartigen Office-Inhalten ermöglichen, den Speicher zu beschädigen und vom Angreifer kontrollierten Code auf dem lokalen Rechner auszuführen. Obwohl im Titel „Remote Code Execution“ (Remote-Codeausführung) verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, was bedeutet, dass für die Ausnutzung die bösartige Datei vom Benutzer lokal geöffnet werden muss. Eine Benutzerinteraktion ist erforderlich, und eine Ausnutzung über das Vorschaufenster wird nicht unterstützt.

AUSNUTZBARKEIT:

Betroffene Microsoft Office-Versionen sind in den bereitgestellten Daten nicht aufgeführt. Die Ausnutzung erfordert, dass ein Angreifer eine bösartige Office-Datei versendet und den Benutzer dazu bringt, diese zu öffnen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Angriff könnte die Arbeitsstationen von Mitarbeitern kompromittieren, sensible Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Phishing-basierte Angriffskampagnen unterstützen. Angriffe über Office-Dateien sind besonders gefährlich, da sie sich in die normale Geschäftskommunikation einfügen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Wenden Sie den offiziellen Microsoft-Patch an, sobald dieser für die betroffenen Office-Produkte verfügbar ist.

DRINGLICHKEIT:

Dieser Sicherheitslücken sollte Priorität eingeräumt werden, da sie als „kritisch“ eingestuft ist und zur Codeausführung über bösartige Office-Dokumente führen kann. Auch wenn eine Ausnutzung derzeit als unwahrscheinlich eingeschätzt wird, bleiben Office-basierte Angriffe ein häufiger und effektiver Einstiegspunkt in Unternehmensumgebungen.

CVE-2026-41103 – Microsoft SSO-Plugin für Jira & Confluence: Sicherheitslücke zur Rechteausweitung

„Ein unterbrochener SSO-Vertrauenspfad kann es einem Angreifer ermöglichen, sich in Jira oder Confluence als jemand anderes auszugeben.“

Im Microsoft SSO-Plugin für Jira und Confluence besteht aufgrund einer fehlerhaften Implementierung eines Authentifizierungsalgorithmus eine kritische Sicherheitslücke zur Rechteausweitung. Ein nicht authentifizierter Angreifer könnte während der Anmeldung eine speziell gestaltete SSO-Antwort senden und das System dazu verleiten, eine gefälschte Identität zu akzeptieren, wodurch unbefugter Zugriff ohne ordnungsgemäße Microsoft Entra ID-Authentifizierung ermöglicht wird.

• CVSS-Score: 9,1

• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Schwachstelle könnte es einem Angreifer ermöglichen, die Authentifizierung zu umgehen und als berechtigter Benutzer auf Jira oder Confluence zuzugreifen. Je nach den Berechtigungen des kompromittierten Kontos könnte der Angreifer sensible Informationen einsehen, Inhalte ändern und unbefugte Aktionen ausführen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt war und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „Unbewiesen“ angegeben, die Wahrscheinlichkeit einer Ausnutzung wird jedoch als „Eher wahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-41103 wird durch eine fehlerhafte Implementierung eines Authentifizierungsalgorithmus im Microsoft SSO-Plugin für Jira und Confluence verursacht. Ein Angreifer kann die Schwachstelle ausnutzen, indem er während des Anmeldevorgangs eine speziell gestaltete SSO-Antwort sendet. Diese gefälschte Antwort kann dazu führen, dass das System eine nicht autorisierte Identität akzeptiert, wodurch sich der Angreifer ohne Authentifizierung über Microsoft Entra ID anmelden kann. Die Schwachstelle ist netzwerkbasiert, von geringer Komplexität, erfordert keine Berechtigungen und keine Benutzerinteraktion.

AUSNUTZBARKEIT:

Betroffene Software ist das Microsoft SSO-Plugin für Jira und Confluence. Die Ausnutzung erfordert keine Authentifizierung oder Benutzerinteraktion. Ein erfolgreicher Angreifer kann Zugriff als gültiger Jira- oder Confluence-Benutzer erlangen, begrenzt durch die Berechtigungsstufe dieses Benutzers.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Eine Kompromittierung von Jira oder Confluence kann Projektpläne, technische Daten, interne Dokumentation, Sicherheitsverfahren, Kundeninformationen und betriebliche Arbeitsabläufe offenlegen. Angreifer können zudem Inhalte ändern, Tickets manipulieren oder vertrauenswürdige Kollaborationssysteme missbrauchen, um weitere Angriffe zu unterstützen.

WORKAROUND:

Es ist kein Workaround aufgeführt. Wenden Sie den offiziellen Microsoft-Fix für das Microsoft SSO-Plugin für Jira und Confluence an.

DRINGLICHKEIT:

Diese Schwachstelle erfordert dringende Aufmerksamkeit, da sie als „kritisch“ eingestuft ist, einen CVSS-Wert von 9,1 aufweist, keine Berechtigungen oder Benutzerinteraktion erfordert und die Ausnutzung als „eher wahrscheinlich“ eingestuft wird. Fehler bei der Authentifizierungsumgehung in Kollaborationsplattformen können schnell zu schwerwiegenden Vorfällen in Unternehmen führen.

CVE-2026-41096 – Sicherheitslücke bei der Remote-Codeausführung im Windows-DNS-Client

„Eine bösartige DNS-Antwort sollte niemals ausreichen, um die Kontrolle über ein Windows-System zu übernehmen.“

Im Windows-DNS-Client besteht aufgrund eines heap-basierten Pufferüberlaufs eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Ein nicht authentifizierter Angreifer könnte die Sicherheitslücke ausnutzen, indem er eine speziell gestaltete DNS-Antwort an ein anfälliges System sendet, was möglicherweise zu einer Speicherbeschädigung und der Ausführung von Remote-Code ohne Benutzereingriff führt.

• CVSS-Score: 9,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige DNS-Antworten beliebigen Code auf betroffenen Windows-Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Systems, zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten, zu lateraler Bewegung oder zur Störung des Unternehmensbetriebs führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt war und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und eine Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-41096 wird durch einen heap-basierten Pufferüberlauf im Windows-DNS-Client verursacht. Die Sicherheitslücke tritt auf, wenn der DNS-Client speziell gestaltete DNS-Antworten unsachgemäß verarbeitet, was zu Speicherbeschädigungen führt. Ein Angreifer kann die Schwachstelle aus der Ferne über das Netzwerk ohne Authentifizierung oder Benutzerinteraktion ausnutzen. Unter bestimmten Konfigurationen kann eine erfolgreiche Ausnutzung die Ausführung von durch den Angreifer kontrolliertem Code auf dem betroffenen System ermöglichen.

Die Schwachstelle beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit in hohem Maße und weist einen Netzwerkangriffsvektor mit geringer Angriffskomplexität auf, was sie für Unternehmensumgebungen besonders gefährlich macht.

AUSNUTZBARKEIT:

Betroffene Software ist der Microsoft Windows DNS-Client. Zur Ausnutzung muss ein Angreifer eine speziell gestaltete DNS-Antwort an ein anfälliges Windows-System senden. Es ist keine Authentifizierung oder Benutzerinteraktion erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Da DNS ein zentraler Netzwerkdienst ist, der in Unternehmensumgebungen weit verbreitet ist, könnte eine Ausnutzung schnell eine große Anzahl von Systemen betreffen. Erfolgreiche Angriffe können zu einer weitreichenden Kompromittierung von Endgeräten, dem Einsatz von Ransomware, dem Abgreifen von Anmeldedaten und Betriebsstörungen in Unternehmensnetzwerken führen.

WORKAROUND:

In den bereitgestellten Informationen sind keine Workarounds oder Abhilfemaßnahmen aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Schwachstelle erfordert sofortige Aufmerksamkeit, da sie eine Einstufung als „kritisch“, einen netzwerkbasierten Angriffsvektor, keine Authentifizierungsanforderungen, keine Benutzerinteraktion und einen CVSS-Wert von 9,8 aufweist. DNS-bezogene Schwachstellen sind besonders gefährlich, da sie auf grundlegende Netzwerkdienste abzielen, die in der gesamten Unternehmensinfrastruktur weit verbreitet sind.

CVE-2026-41089 – Windows Netlogon-Schwachstelle zur Remote-Codeausführung

„Ein anfälliger Domänencontroller kann eine speziell gestaltete Netzwerkanfrage in einen direkten Weg zur Kompromittierung des Unternehmens verwandeln.“

In Windows Netlogon besteht aufgrund eines stapelbasierten Pufferüberlaufs eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Ein nicht authentifizierter Angreifer könnte eine speziell gestaltete Netzwerkanfrage an einen Windows-Server senden, der als Domänencontroller fungiert, wodurch Netlogon die Anfrage fehlerhaft verarbeitet und möglicherweise vom Angreifer kontrollierten Code ausführt.

• CVSS-Score: 9,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem nicht authentifizierten Angreifer ermöglichen, aus der Ferne Code auf einem betroffenen Domänencontroller auszuführen. Eine erfolgreiche Ausnutzung kann zu einer Kompromittierung auf Domänenebene, zum Diebstahl von Anmeldedaten, zur Verbreitung von Malware, zu lateraler Bewegung und zu erheblichen Störungen der Authentifizierungsdienste führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-41089 wird durch einen stapelbasierten Pufferüberlauf in Windows Netlogon verursacht. Die Sicherheitslücke tritt auf, wenn Netlogon eine speziell gestaltete Netzwerkanfrage, die an einen als Domänencontroller fungierenden Windows-Server gesendet wird, nicht ordnungsgemäß verarbeitet. Da der Angriffsvektor netzwerkbasiert ist und keine Berechtigungen oder Benutzerinteraktion erfordert, könnte eine erfolgreiche Ausnutzung die Remote-Codeausführung auf einem hochsensiblen Authentifizierungssystem ermöglichen.

AUSNUTZBARKEIT:

Betroffene Software ist Windows Netlogon auf Windows-Servern, die als Domänencontroller fungieren. Die Ausnutzung erfordert das Senden einer speziell gestalteten Netzwerkanfrage an den anfälligen Domänencontroller. Es ist keine Anmeldung, kein vorheriger Zugriff und keine Benutzerinteraktion erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Domänencontroller bilden die Kerninfrastruktur für die Identitätsverwaltung. Ein erfolgreicher Angriff könnte die Authentifizierung gefährden, Anmeldedaten offenlegen, weitreichende laterale Bewegungen ermöglichen und den Zugriff auf geschäftskritische Systeme stören. Dies könnte zur Verbreitung von Ransomware, Datendiebstahl und weitreichenden Betriebsausfällen führen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich.

DRINGLICHKEIT:

Diese Sicherheitslücke erfordert dringende Maßnahmen, da sie als „kritisch“ eingestuft ist, einen CVSS-Wert von 9,8 aufweist, auf Domänencontroller abzielt und keine Authentifizierung oder Benutzerinteraktion erfordert. Auch wenn die Ausnutzung als „weniger wahrscheinlich“ eingeschätzt wird, sind die potenziellen Auswirkungen schwerwiegend.

CVE-2026-40403 – Sicherheitslücke zur Remote-Codeausführung in der Windows-Grafikkomponente

„Eine Kompromittierung innerhalb einer virtualisierten Umgebung sollte niemals zu einer Brücke in das Host-Betriebssystem werden.“

In der Windows-Grafikkomponente (Win32K – GRFX) besteht aufgrund eines heap-basierten Pufferüberlaufs eine kritische Sicherheitslücke zur Remote-Codeausführung. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, lokal Code auszuführen und möglicherweise aus einer isolierten Ausführungsumgebung zu entkommen, einschließlich Szenarien, in denen virtuelle Gastmaschinen das Host-Betriebssystem angreifen.

• CVSS-Score: 8,8

• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer mit lokalem Zugriff ermöglichen, beliebigen Code auszuführen und möglicherweise aus isolierten Ausführungsumgebungen auszubrechen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung des Host-Betriebssystems, zum unbefugten Zugriff auf sensible Systeme und zu weitreichenden Auswirkungen auf die Infrastruktur führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben wurde und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40403 wird durch einen heap-basierten Pufferüberlauf in Windows Win32K – GRFX verursacht. Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, lokal Code auszuführen, indem er eine fehlerhafte Speicherverwaltung innerhalb der Grafikkomponente ausnutzt. Der CVSS-Geltungsbereich ist als „geändert“ gekennzeichnet, was bedeutet, dass eine erfolgreiche Ausnutzung Systeme außerhalb der ursprünglichen Sicherheitsgrenze beeinträchtigen kann.

Microsoft gibt an, dass die Schwachstelle zu einem Ausbruch aus der isolierten Ausführungsumgebung führen könnte. Ein Angreifer, der Zugriff auf eine lokale Gast-VM erhält, könnte die Schwachstelle potenziell ausnutzen, um das Host-Betriebssystem anzugreifen. Der anfällige Endpunkt ist nur über die lokale VM-Schnittstelle zugänglich, da die externe Kommunikation blockiert ist.

AUSNUTZBARKEIT:

Betroffene Software ist die Windows-Grafikkomponente (Win32K – GRFX). Die Ausnutzung erfordert lokalen Zugriff und geringe Berechtigungen. Angreifer könnten die Schwachstelle aus einer Gast-VM-Umgebung heraus missbrauchen, um das Host-Betriebssystem anzugreifen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Virtualisierungs- und Isolationstechnologien spielen in Unternehmens- und Cloud-Umgebungen eine zentrale Rolle. Ein erfolgreicher Ausbruch aus einer isolierten Umgebung könnte die Sicherheitskontrollen des Hosts untergraben, sensible Workloads gefährden und Angreifern die Möglichkeit bieten, sich zwischen Systemen zu bewegen, die eigentlich isoliert bleiben sollten.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Schwachstelle sollte als Problem mit hoher Priorität behandelt werden, da sie Virtualisierungs- und Isolationsgrenzen betrifft, nur geringe Berechtigungen erfordert und Szenarien ermöglichen könnte, in denen der Gast den Host kompromittiert. Auch wenn die Ausnutzung als „weniger wahrscheinlich“ eingestuft wird, haben Schwachstellen, die ein Entkommen aus der Isolation ermöglichen, erhebliche Sicherheitsauswirkungen in Unternehmens- und Cloud-Umgebungen.

CVE-2026-40402 – Windows Hyper-V-Sicherheitslücke zur Rechteausweitung

„Eine Gast-VM sollte niemals zum Einfallstor für die Kontrolle des Hyper-V-Hosts auf SYSTEM-Ebene werden.“

In Windows Hyper-V besteht eine kritische Sicherheitslücke zur Rechteausweitung aufgrund eines Use-after-free-Fehlers. Ein Angreifer könnte dieses Problem von einer Gast-VM aus ausnutzen und die Sicherheitsgrenze zur Hyper-V-Hostumgebung überschreiten. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, SYSTEM-Rechte zu erlangen.

• CVSS-Score: 9,3
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, der von einer Hyper-V-Gastumgebung aus operiert, die Rechte auf dem Host zu erweitern. Eine erfolgreiche Ausnutzung kann zu Zugriff auf SYSTEM-Ebene, Kompromittierung des Hosts, Offenlegung von Daten, Manipulation und potenziellen Auswirkungen auf andere virtualisierte Workloads führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt war und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40402 wird durch eine Use-after-free-Bedingung in Windows Hyper-V verursacht. Das Problem ermöglicht es einer Gast-VM, den Hyper-V-Host-Kernel zu zwingen, von einer beliebigen, potenziell ungültigen Adresse zu lesen. In den meisten Fällen kann dies zu einem Denial-of-Service durch einen Host-Bugcheck führen. Microsoft weist jedoch darauf hin, dass Lesevorgänge, die speicherabgebildete Geräteregister betreffen, die mit an den Host angeschlossener Hardware verbunden sind, gerätespezifische Nebenwirkungen auslösen können, die die Host-Sicherheit gefährden könnten. Der CVSS-Umfang wurde geändert, da die Ausnutzung von der Sicherheitsgrenze der Gast-VM in die Hyper-V-Hostumgebung übergreifen kann.

AUSNUTZBARKEIT:

Betroffene Software ist Windows Hyper-V. Die Ausnutzung erfolgt lokal aus dem Kontext der Gast-VM heraus, erfordert keine Berechtigungen und keine Benutzerinteraktion. Ein erfolgreicher Angreifer könnte SYSTEM-Berechtigungen auf dem Hyper-V-Host erlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Eine Kompromittierung des Hyper-V-Hosts kann mehrere virtuelle Maschinen und sensible Workloads gleichzeitig gefährden. Dies kann zu Verletzungen der Mandantengrenzen, Unterbrechungen der Geschäftsdienste, Datendiebstahl und einem Vertrauensverlust in die virtualisierte Infrastruktur führen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte priorisiert werden, da sie als „kritisch“ eingestuft ist, einen CVSS-Wert von 9,3 aufweist, keine Berechtigungen oder Benutzerinteraktion erfordert und die Sicherheitsgrenze zwischen Gast und Host überwinden kann. Hyper-V-Hosts, die kritische Workloads unterstützen, sollten umgehend gepatcht werden.

CVE-2026-40367 – Sicherheitslücke in Microsoft Word zur Remote-Codeausführung

„Eine Dokumentvorschau sollte niemals ein unbemerktes Auslöseelement für die Codeausführung sein.“

In Microsoft Word besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund eines Fehlers bei der Dereferenzierung eines nicht vertrauenswürdigen Zeigers. Ein unbefugter Angreifer könnte die Sicherheitslücke ausnutzen, um lokal Code auszuführen, und das Vorschaufenster wurde als Angriffsvektor bestätigt, was das Risiko einer Gefährdung durch die routinemäßige Dokumentenbearbeitung erhöht.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Word-Inhalte beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Verbreitung von Malware, zum Diebstahl sensibler Informationen, zur Kompromittierung von Arbeitsstationen und zu weiteren Aktivitäten innerhalb der Unternehmensumgebung führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und in der Praxis noch nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40367 wird durch eine Dereferenzierung eines nicht vertrauenswürdigen Zeigers in Microsoft Office Word verursacht. Eine unsachgemäße Behandlung von Speicherreferenzen kann es ermöglichen, dass speziell gestaltete Word-Inhalte die Ausführung von Angreifer-kontrolliertem Code auf dem lokalen System auslösen. Obwohl der Titel auf die Ausführung von Remote-Code hinweist, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt lokal vom Zielsystem verarbeitet werden muss.

Das Vorschaufenster ist als Angriffsvektor bestätigt, was bedeutet, dass eine Ausnutzung während der Dokumentvorschau erfolgen kann, ohne dass das Dokument auf herkömmliche Weise vollständig geöffnet werden muss.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich, und das Vorschaufenster kann die Schwachstelle auslösen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Word-Dokumente gehören nach wie vor zu den gängigsten Dateiformaten im Geschäftsleben, die per E-Mail und über Kollaborationsplattformen ausgetauscht werden. Ein erfolgreicher Angriff könnte die Systeme von Mitarbeitern kompromittieren, vertrauliche Daten offenlegen, den Diebstahl von Anmeldedaten ermöglichen und einen Einstiegspunkt für umfassendere Angriffe auf das Unternehmen schaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Microsoft gibt an, dass alle entsprechenden Update-Pakete für die betroffene Software installiert werden sollten.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte als Patch-Aufgabe mit hoher Priorität behandelt werden, da sie als „kritisch“ eingestuft ist und das Vorschaufenster als Angriffsvektor dient. Auf der Vorschau basierende Ausnutzungswege reduzieren den normalerweise erforderlichen Umfang an Benutzerinteraktion und erhöhen die Gefährdung des Unternehmens durch Angriffe mit bösartigen Dokumenten.

CVE-2026-40366 – Sicherheitslücke in Microsoft Word zur Remote-Codeausführung

„Eine einfache Dokumentvorschau kann zu einem Pfad für die Codeausführung werden, wenn Speicher unsicher wiederverwendet wird.“

In Microsoft Word besteht aufgrund eines Use-after-free-Fehlers eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Ein unbefugter Angreifer könnte das Problem ausnutzen, um lokal Code auszuführen, wenn bösartiger Word-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt, was das Risiko bei der routinemäßigen Dateiverarbeitung erhöht.

• CVSS-Score: 8,4

• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Word-Dokumente beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Installation von Malware, zum Datendiebstahl, zur Kompromittierung von Arbeitsstationen und zur weiteren Ausbreitung innerhalb der Organisation führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40366 wird durch eine „Use-after-free“-Situation in Microsoft Office Word verursacht. Die Schwachstelle tritt auf, wenn Word den Speicher nach seiner Freigabe nicht ordnungsgemäß verwaltet, was es speziell gestalteten Inhalten ermöglichen könnte, die Ausführung von Angreifer-kontrolliertem Code auszulösen. Obwohl im Titel „Remote Code Execution“ (Remote-Codeausführung) verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt auf dem Zielsystem verarbeitet werden muss. Der Vorschaubereich ist ein Angriffsvektor, was bedeutet, dass das Verhalten der Dokumentvorschau Benutzer der Ausnutzung aussetzen kann.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich, und das Vorschaufenster kann als Angriffsvektor genutzt werden.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Exploit könnte die Endgeräte von Mitarbeitern kompromittieren, sensible Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Angreifern einen Einstiegspunkt für ein umfassenderes Eindringen in das Unternehmen verschaffen. Word-Dateien werden häufig per E-Mail und über Tools zur Zusammenarbeit geteilt, wodurch diese Schwachstelle besonders relevant für Phishing- und dokumentbasierte Angriffe ist.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate.

DRINGLICHKEIT:

Diese Schwachstelle sollte priorisiert werden, da sie als „kritisch“ eingestuft ist und eine Gefährdung des Vorschaufensters beinhaltet. Auch wenn die Ausnutzung als „weniger wahrscheinlich“ eingestuft wird, reduzieren Angriffspfade über die Dokumentenvorschau die Entscheidungsmöglichkeiten der Benutzer und erhöhen das Risiko durch bösartige Dateien.

CVE-2026-40365 – Schwachstelle zur Remote-Codeausführung in Microsoft SharePoint Server

„Ein SharePoint-Konto mit geringen Berechtigungen sollte niemals als Einfallstor für die Remote-Codeausführung auf dem Server dienen.“

In Microsoft SharePoint Server besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund unzureichender Granularität der Zugriffskontrolle. Ein authentifizierter Angreifer mit geringen Berechtigungen, beispielsweise in der Rolle eines Site-Eigentümers, könnte die Schwachstelle ausnutzen, um beliebigen Code remote auf dem SharePoint-Server einzuschleusen und auszuführen.

• CVSS-Score: 8,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es authentifizierten Angreifern ermöglichen, beliebigen Code auf betroffenen SharePoint-Servern aus der Ferne auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung des Servers, zum unbefugten Zugriff auf Geschäftsdaten, zur Verbreitung von Malware und zur Störung von Kollaborationsdiensten führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt war und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40365 wird durch eine unzureichende Granularität der Zugriffskontrolle in Microsoft Office SharePoint verursacht. Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, beliebigen Code zu schreiben und die Remote-Ausführung auf dem SharePoint-Server auszulösen. Microsoft gibt an, dass ein Benutzer mit mindestens den Berechtigungen eines Site-Eigentümers die Schwachstelle in einem netzwerkbasierten Angriff ausnutzen könnte.

Die Schwachstelle weist einen Netzwerk-Angriffsvektor auf, ist von geringer Komplexität, erfordert geringe Berechtigungen und erfordert keine Benutzerinteraktion. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden alle als „Hoch“ eingestuft.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft SharePoint Server, einschließlich SharePoint Server 2016 und SharePoint Enterprise Server 2016, die dasselbe KB-Update verwenden. Die Ausnutzung erfordert ein authentifiziertes Konto mit mindestens den Rechten eines Site-Eigentümers.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

In SharePoint-Umgebungen werden häufig sensible Dokumente, interne Kommunikation, Projektdaten und Geschäftsabläufe gespeichert. Ein erfolgreicher Angriff könnte vertrauliche Informationen offenlegen, Kollaborationsplattformen stören und Angreifern einen Zugang zum Unternehmensnetzwerk verschaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate für betroffene SharePoint-Umgebungen so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte als Problem mit hoher Priorität behandelt werden, da sie die Remote-Codeausführung auf SharePoint-Servern bereits mit geringem authentifiziertem Zugriff ermöglicht. Kollaborationsplattformen sind häufig das Ziel von Angriffen, da sie wertvolle Geschäftsdaten enthalten und oft in umfassendere Unternehmenssysteme integriert sind.

CVE-2026-40364 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Word

„Die Vorschau eines Word-Dokuments kann zu einem Angriffsweg werden, noch bevor der Benutzer die Datei vollständig öffnet.“

In Microsoft Word besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund von Typverwechslungen, der Verwendung nicht initialisierter Ressourcen und Schwachstellen durch heap-basierte Pufferüberläufe. Ein unbefugter Angreifer könnte die Sicherheitslücke ausnutzen, um lokal Code auszuführen, wenn bösartiger Word-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartigen Word-Inhalt beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung von Endgeräten, zur Ausführung von Malware, zum Datendiebstahl und zur weiteren Ausbreitung innerhalb des Unternehmens führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt war und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, die Wahrscheinlichkeit einer Ausnutzung wird jedoch als „eher wahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40364 betrifft den unsachgemäßen Zugriff auf eine Ressource unter Verwendung eines inkompatiblen Typs, auch bekannt als Typverwechslung, in Microsoft Office Word.

Die Schwachstelle umfasst zudem die Nutzung von Schwachstellen durch nicht initialisierte Ressourcen und heap-basierte Pufferüberläufe. Diese Probleme bei der Speicherverwaltung können es ermöglichen, dass speziell gestaltete Word-Inhalte den Speicher beschädigen und lokal von Angreifern kontrollierten Code ausführen. Obwohl im Titel „Remote Code Execution“ (Remote-Codeausführung) verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt auf dem Zielrechner verarbeitet werden muss. Das Vorschaufenster ist ein Angriffsvektor.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Angriff könnte Benutzer-Workstations kompromittieren, sensible Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Angreifern einen Fuß in das Unternehmen verschaffen. Da Word-Dokumente häufig per E-Mail, über Tools zur Zusammenarbeit und über Websites geteilt werden, eignet sich diese Schwachstelle gut für Phishing- und dokumentbasierte Angriffe.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate.

DRINGLICHKEIT:

Diese Schwachstelle sollte priorisiert werden, da sie als „kritisch“ eingestuft ist, das Vorschaufenster ein Angriffsvektor ist und die Ausnutzung als „eher wahrscheinlich“ eingeschätzt wird. Dokumentbasierte Schwachstellen können sich schnell über normale Geschäftsabläufe verbreiten und erfordern unter Umständen nur sehr wenig Benutzereingriff.

CVE-2026-40363 – Schwachstelle zur Remote-Codeausführung in Microsoft Office

„Ein bösartiges Office-Dokument kann zu einem unsichtbaren Angriffsauslöser werden, wenn bereits Vorschauaktionen eine anfällige Speicherverwaltung offenlegen.“

In Microsoft Office besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund eines heap-basierten Pufferüberlaufs. Ein unbefugter Angreifer könnte die Schwachstelle ausnutzen, um lokal Code auszuführen, wenn speziell gestaltete Office-Inhalte verarbeitet werden. Das Vorschaufenster ist als Angriffsvektor bestätigt, was das Risiko bei normalen Dokumentenverarbeitungsaktivitäten erhöht.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Office-Dateien beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten, zur Offenlegung von Daten, zur Kompromittierung von Endgeräten und zu einem umfassenderen Eindringen in das Unternehmensnetzwerk führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt war und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40363 wird durch einen heap-basierten Pufferüberlauf in Microsoft Office verursacht. Durch unsachgemäße Speicherverwaltung können speziell gestaltete Office-Inhalte den Speicher beschädigen und von Angreifern kontrollierten Code auf dem lokalen System ausführen. Obwohl der Titel auf die Ausführung von Remote-Code hinweist, ist der CVSS-Angriffsvektor „Lokal“, da die Ausnutzung erfolgt, wenn schädliche Inhalte lokal vom Zielrechner verarbeitet werden.

Das Vorschaufenster ist als Angriffsvektor bestätigt, was bedeutet, dass eine Ausnutzung während der Vorschau erfolgen kann, ohne dass ein Dokument auf herkömmliche Weise vollständig geöffnet werden muss.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Office-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Office-basierte Schwachstellen sind nach wie vor äußerst effektiv, da Office-Dokumente tief in die geschäftliche Kommunikation und Zusammenarbeit integriert sind. Ein erfolgreicher Exploit könnte die Arbeitsstationen von Mitarbeitern kompromittieren, sensible Geschäftsinformationen offenlegen und Angreifern einen ersten Zugang zu Unternehmensumgebungen verschaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate für betroffene Office-Produkte.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte als Patch-Aufgabe mit hoher Priorität behandelt werden, da sie als „kritisch“ eingestuft ist und der Vorschaubereich ein Angriffsvektor darstellt. Auch wenn die Ausnutzung derzeit als „weniger wahrscheinlich“ eingestuft wird, verringern Angriffe auf Dokumente über die Vorschau die üblichen Warnsignale für Benutzer und erhöhen die Wahrscheinlichkeit einer versehentlichen Offenlegung.

CVE-2026-40361 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Word

„Eine Word-Vorschau kann zu einem unbemerkten Startpunkt für von Angreifern kontrollierten Code werden.“

In Microsoft Word besteht aufgrund eines Use-after-free-Fehlers eine kritische Sicherheitslücke zur Remote-Codeausführung. Ein unbefugter Angreifer könnte das Problem ausnutzen, um lokal Code auszuführen, wenn bösartiger Word-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt, und die Ausnutzung wird als „eher wahrscheinlich“ eingestuft.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Word-Inhalte beliebigen Code auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung von Endgeräten, zur Ausführung von Malware, zum Diebstahl sensibler Daten und zu einem erweiterten Zugriff innerhalb der Organisation führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, die Wahrscheinlichkeit einer Ausnutzung wird jedoch als „eher wahrscheinlich“ eingestuft.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40361 wird durch eine „Use-after-free“-Situation in Microsoft Office Word verursacht. Die Schwachstelle tritt auf, wenn Word Speicher nach dessen Freigabe unsachgemäß behandelt, wodurch speziell gestaltete Inhalte die Codeausführung auf dem lokalen System auslösen können. Obwohl der Titel von Remote-Codeausführung spricht, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt lokal verarbeitet werden muss. Das Vorschaufenster ist ein Angriffsvektor, der das Risiko bei routinemäßigen Dokumentenvorschauen erhöht.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Exploit könnte Mitarbeiter-Workstations kompromittieren, vertrauliche Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Angreifern einen Einstiegspunkt in das Unternehmen verschaffen. Word-Dateien werden häufig per E-Mail und über Tools zur Zusammenarbeit geteilt, wodurch diese Schwachstelle für Phishing-basierte Angriffe von hoher Relevanz ist.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Wenden Sie das offizielle Microsoft-Sicherheitsupdate an.

DRINGLICHKEIT:

Dieser Sicherheitslücke sollte Priorität eingeräumt werden, da sie als „kritisch“ eingestuft ist, das Vorschaufenster ein Angriffsvektor darstellt und die Wahrscheinlichkeit einer Ausnutzung als „eher wahrscheinlich“ eingeschätzt wird. Dokumentbasierte Angriffe können sich schnell durch normale Geschäftsabläufe bewegen und erfordern unter Umständen nur sehr wenig Benutzereingriff.

CVE-2026-40358 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Office

„Eine routinemäßige Dokumentenvorschau kann zu dem Moment werden, in dem ein Angreifer Codeausführung auf einem Unternehmensgerät erlangt.“

In Microsoft Office besteht aufgrund eines Use-after-free-Fehlers eine kritische Sicherheitslücke zur Remote-Codeausführung. Ein unbefugter Angreifer könnte die Sicherheitslücke ausnutzen, um lokal Code auszuführen, wenn bösartiger Office-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt, was das Risiko bei normalen Dokumentenverarbeitungsaktivitäten erhöht.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über speziell gestaltete Office-Dateien beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Installation von Malware, zum Diebstahl von Anmeldedaten, zur Offenlegung sensibler Geschäftsinformationen und zur Kompromittierung von Mitarbeiter-Workstations führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40358 wird durch eine „Use-after-free“-Bedingung in Microsoft Office verursacht. Die Sicherheitslücke tritt auf, wenn Office Speicher nach dessen Freigabe unsachgemäß behandelt, wodurch speziell gestaltete Inhalte möglicherweise die Ausführung von Angreifer-kontrolliertem Code auf dem lokalen System auslösen können. Obwohl der Titel auf die Ausführung von Remote-Code hinweist, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt auf dem Zielrechner verarbeitet werden muss.

Das Vorschaufenster ist als Angriffsvektor bestätigt, was bedeutet, dass eine Ausnutzung während der Vorschau erfolgen kann, ohne dass der Benutzer das Dokument vollständig öffnen muss.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Office-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Office-Anwendungen sind tief in die tägliche Geschäftskommunikation und Zusammenarbeit integriert. Ein erfolgreicher Angriff könnte Endgeräte kompromittieren, vertrauliche Informationen offenlegen, Phishing-Kampagnen unterstützen und Angreifern einen ersten Zugang zu Unternehmensnetzwerken verschaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate für betroffene Office-Produkte.

DRINGLICHKEIT:

Diese Schwachstelle sollte priorisiert werden, da sie als „kritisch“ eingestuft ist und das Vorschaufenster ein Angriffsvektor darstellt. Auch wenn die Ausnutzung derzeit als „weniger wahrscheinlich“ eingeschätzt wird, erhöhen Angriffspfade über die Dokumentenvorschau das Risiko und verringern den normalerweise erforderlichen Umfang an Benutzerinteraktion.

CVE-2026-35421 – Windows GDI-Schwachstelle zur Remote-Codeausführung

„Eine manipulierte Bilddatei kann die normale Grafikverarbeitung in einen Pfad zur Codeausführung verwandeln.“

In Windows GDI besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund eines heap-basierten Pufferüberlaufs. Ein unbefugter Angreifer könnte die Schwachstelle lokal ausnutzen, wenn ein Benutzer eine speziell gestaltete Enhanced Metafile-Datei mit Microsoft Paint öffnet oder verarbeitet.

• CVSS-Score: 7,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, über bösartige EMF-Inhalte Code auf einem betroffenen System auszuführen. Eine erfolgreiche Ausnutzung kann zur Ausführung von Malware, zum Datendiebstahl, zur Kompromittierung von Arbeitsstationen und zur weiteren Ausbreitung innerhalb der Organisation führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-35421 wird durch einen heap-basierten Pufferüberlauf in Windows GDI verursacht. Die Sicherheitslücke wird ausgelöst, wenn speziell gestaltete Enhanced Metafile-Inhalte mit Microsoft Paint geöffnet oder verarbeitet werden, was dazu führt, dass die betroffene Windows-Grafikkomponente den Speicher fehlerhaft verwaltet. Obwohl im Titel „Remote Code Execution“ verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, da die schädliche Datei auf dem Zielrechner verarbeitet werden muss. Eine Benutzerinteraktion ist erforderlich.

AUSNUTZBARKEIT:

Betroffene Software ist Windows GDI. Die Ausnutzung erfordert, dass ein Benutzer eine speziell gestaltete EMF-Datei mit Microsoft Paint öffnet oder verarbeitet. Es sind keine Berechtigungen erforderlich, aber eine Benutzerinteraktion ist notwendig.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Exploit könnte die Endgeräte von Mitarbeitern kompromittieren, sensible Dateien offenlegen und Angreifern einen Einstiegspunkt für weiterreichende Angriffe verschaffen. Schädliche bildbasierte Dateien können per E-Mail, Downloads oder Dateifreigaben verbreitet werden, wodurch gezielte Angriffe auf Benutzer eine realistische Gefahr darstellen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte priorisiert werden, da sie als „kritisch“ eingestuft ist und über manipulierte Grafikinhalte zur Codeausführung führen kann. Auch wenn eine Ausnutzung als „unwahrscheinlich“ eingeschätzt wird, sind dateibasierte Angriffe nach wie vor eine gängige Methode, um Benutzer anzugreifen.

CVE-2026-32161 – Sicherheitslücke bei der Remote-Codeausführung im nativen Windows-WLAN-Miniport-Treiber

„Ein Angreifer in der Nähe, der sich im selben WLAN-Netzwerk befindet, sollte niemals in der Lage sein, WLAN-Datenverkehr zur Remote-Codeausführung zu nutzen.“

Im nativen Windows-WLAN-Miniport-Treiber besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund einer Race-Condition und eines Use-after-free-Fehlers. Ein unbefugter Angreifer im selben Netzwerksegment könnte die Sicherheitslücke unter bestimmten zeitlichen und netzwerktechnischen Bedingungen ausnutzen, um Code auf betroffenen Systemen auszuführen.

• CVSS-Score: 7,5
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern im selben lokalen oder virtuellen Netzwerksegment ermöglichen, aus der Ferne beliebigen Code auf anfälligen Windows-Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung von Endgeräten, zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten und zur Störung von drahtlos verbundenen Umgebungen führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-32161 wird durch die gleichzeitige Ausführung unter Verwendung gemeinsam genutzter Ressourcen mit unsachgemäßer Synchronisation verursacht, was allgemein als Race Condition bekannt ist, sowie durch einen Use-after-free-Fehler im Windows Native WiFi Miniport Driver. Die Sicherheitslücke tritt auf, wenn der Treiber Speicher und Synchronisation während des Betriebs im drahtlosen Netzwerk unsachgemäß handhabt. Ein Angreifer im selben Netzwerksegment kann günstige Zeitbedingungen ausnutzen, um eine Speicherbeschädigung auszulösen und vom Angreifer kontrollierten Code auszuführen.

Der Angriffsvektor ist „Adjacent“, was bedeutet, dass die Ausnutzung auf Systeme beschränkt ist, die mit demselben Netzwerksegment, Switch oder virtuellen Netzwerk verbunden sind wie der Angreifer. Microsoft weist darauf hin, dass die Ausnutzung bestimmte Netzwerkkonfigurationen und zeitliche Bedingungen erfordert, was eine zuverlässige Ausnutzung erschwert.

AUSNUTZBARKEIT:

Betroffene Software ist der Windows Native WiFi Miniport Driver. Die Ausnutzung erfordert, dass sich der Angreifer im selben Netzwerksegment wie das Zielsystem befindet. Es sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Sicherheitslücken in der drahtlosen Infrastruktur können Endgeräte, Roaming-Geräte und Remote-Arbeitsumgebungen von Unternehmen gefährden. Eine erfolgreiche Ausnutzung könnte es Angreifern ermöglichen, in lokalen Netzwerksegmenten Fuß zu fassen und potenziell tiefer in Unternehmenssysteme vorzudringen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Schwachstelle sollte bei drahtlosfähigen Unternehmenssystemen priorisiert werden, da sie die Remote-Codeausführung ohne Authentifizierung oder Benutzerinteraktion ermöglicht. Obwohl die Ausnutzung einen angrenzenden Netzwerkzugang und komplexe zeitliche Bedingungen erfordert, bleiben drahtlose Angriffspfade attraktive Ziele in gemeinsamen Büro-, Campus- und öffentlichen Netzwerkumgebungen.

CVE-2026-40372 – ASP.NET Core-Sicherheitslücke zur Rechteausweitung

„Wenn die Signaturvalidierung versagt, benötigen Angreifer keine Anmeldedaten – sie können Vertrauen vortäuschen und direkt die Kontrolle auf SYSTEM-Ebene erlangen.“

Diese Schwachstelle in ASP.NET Core entsteht durch eine unsachgemäße Überprüfung kryptografischer Signaturen innerhalb der Data Protection-Komponente. Unter bestimmten Bedingungen – insbesondere in Nicht-Windows-Umgebungen, die betroffene Paketversionen verwenden – kann ein Angreifer bösartige Payloads erstellen, die Integritätsprüfungen umgehen. Dies ermöglicht eine unbefugte Rechteausweitung über das Netzwerk, ohne dass eine Authentifizierung oder Benutzerinteraktion erforderlich ist, was potenziell Zugriff auf SYSTEM-Ebene gewährt und die Offenlegung oder Manipulation sensibler Daten ermöglicht.

• CVSS-Score: 9,1
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Diese Schwachstelle untergräbt eine der grundlegendsten Sicherheitsgarantien – die Datenintegrität. Wenn Angreifer vertrauenswürdige Payloads fälschen können, können sie sich als Benutzer ausgeben, Berechtigungen ausweiten und das Anwendungsverhalten manipulieren, ohne entdeckt zu werden. Das Risiko ist besonders hoch, da die Ausnutzung keinen vorherigen Zugriff erfordert und aus der Ferne ausgeführt werden kann.

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bestätigt. Die Schwachstelle wurde nicht öffentlich als ausgenutzt bekannt gegeben, und eine Ausnutzung wird zum jetzigen Zeitpunkt als unwahrscheinlich angesehen. Die Einfachheit des Angriffsvektors und das Fehlen erforderlicher Berechtigungen erhöhen jedoch die Wahrscheinlichkeit einer zukünftigen Ausnutzung.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle wird durch eine unsachgemäße Überprüfung kryptografischer Signaturen (CWE-347) in der ASP.NET Core Data Protection-Bibliothek verursacht, insbesondere in den Versionen 10.0.0 bis 10.0.6. Ein Fehler in der verwalteten kryptografischen Implementierung führt zu einer fehlerhaften Validierung geschützter Nutzdaten, wodurch manipulierte oder gefälschte Daten als gültig behandelt werden können. Dies betrifft Authentifizierungstoken, Cookies und andere geschützte Datenstrukturen. Das Problem betrifft in erster Linie Anwendungen, die unter Linux, macOS oder Nicht-Windows-Systemen laufen, auf denen verwaltete Kryptografie verwendet wird. Windows-Systeme, die die standardmäßige CNG-basierte Verschlüsselung verwenden, sind nicht betroffen, sofern sie nicht explizit für die Verwendung verwalteter Algorithmen konfiguriert wurden.

AUSNUTZBARKEIT:

Zu den betroffenen Systemen gehören ASP.NET Core-Anwendungen, die Microsoft.

AspNetCore.DataProtection in den Versionen 10.0.0–10.0.6, insbesondere in eigenständigen Bereitstellungen oder wenn das NuGet-Paket das gemeinsame Framework überschreibt. Die Ausnutzung erfolgt durch das Senden speziell gestalteter Nutzdaten an die Anwendung, um die Signaturvalidierung zu umgehen und erweiterte Berechtigungen zu erlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Diese Sicherheitslücke kann zu einer vollständigen Kompromittierung der Vertrauensgrenzen der Anwendung führen. Angreifer können sich Privilegien auf SYSTEM-Ebene verschaffen, auf sensible Daten zugreifen, kritische Datensätze ändern und gültige Authentifizierungsartefakte generieren, die auch nach der Behebung bestehen bleiben. Dies birgt Risiken hinsichtlich langfristiger Persistenz, Datenverletzungen, Verstößen gegen Vorschriften und Reputationsschäden.

ABHILFE:

Wenn ein Patch nicht sofort verfügbar ist, sollten Sie die Verwendung betroffener Versionen des Data Protection-Pakets vermeiden, sicherstellen, dass Anwendungen auf das gemeinsame Framework zurückgreifen, sofern dies sicher ist, die Exposition anfälliger Dienste einschränken und Protokolle auf Anomalien wie wiederholte Fehler bei ungültigen Payloads überwachen. Der Übergang zu nicht betroffenen Umgebungen oder Konfigurationen kann das Risiko vorübergehend verringern.

DRINGLICHKEIT:

Die Kombination aus netzwerkbasierter Ausnutzung, fehlender Authentifizierungsanforderung und erheblichen Auswirkungen auf Vertraulichkeit und Integrität macht diese Schwachstelle extrem gefährlich. Auch wenn bisher noch keine Ausnutzung beobachtet wurde, sind die Bedingungen ideal für eine rasche Übernahme durch Angreifer. Ein sofortiges Patchen, kombiniert mit der Validierung von Laufzeit-Binärdateien und der Schlüsselrotation, ist entscheidend, um sowohl eine anfängliche Kompromittierung als auch eine Persistenz nach dem Patchen zu verhindern.

CVE-2026-20929 – Windows HTTP.sys-Sicherheitslücke zur Rechteausweitung

„Diese Schwachstelle verwandelt einen vertrauenswürdigen Netzwerkzugang in eine Möglichkeit, innerhalb von Windows weiter aufzusteigen, wodurch eine routinemäßige Kompromittierung weitaus gefährlicher wird.“

CVE-2026-20929 ist eine hochgradige Sicherheitslücke zur Rechteausweitung in Microsoft Windows HTTP.sys, die durch eine unsachgemäße Zugriffskontrolle verursacht wird. Sie ermöglicht es einem autorisierten Angreifer, über ein Netzwerk hinweg Berechtigungen zu erweitern, was bedeutet, dass ein Angreifer, der bereits über einen gewissen Zugriff verfügt, die Schwachstelle nutzen könnte, um eine stärkere Kontrolle über ein betroffenes System zu erlangen. Obwohl hier keine bestätigten öffentlichen Exploits aufgeführt sind, ist das Problem dennoch schwerwiegend, da Schwachstellen zur Rechteausweitung Angreifern oft dabei helfen, ein Eindringen zu vertiefen, den Zugriff zu erweitern und die Persistenz nach einem anfänglichen Einbruch zu stärken.

• CVSS-Score: 7,5
• SCHWERWIEGENDKEIT: Hoch

BEDROHUNG:

Ein autorisierter Angreifer könnte eine unsachgemäße Zugriffskontrolle in Windows HTTP.sys ausnutzen, um über ein Netzwerk Berechtigungen zu erweitern. Dies macht die Schwachstelle besonders besorgniserregend in Umgebungen, in denen Angreifer möglicherweise bereits über einen Zugang mit geringen Berechtigungen verfügen und versuchen, administrative Kontrolle zu erlangen.

EXPLOITS:

In den bereitgestellten Daten ist keine bestätigte aktive Ausnutzung vermerkt. Es gibt hier auch keinen eindeutigen öffentlichen Zero-Day-Status. Da es sich jedoch um ein netzwerkbasiertes Problem der Rechteausweitung in einer zentralen Windows-Komponente handelt, sollten Sicherheitsteams davon ausgehen, dass ein Interesse an Exploits wahrscheinlich ist, sobald die Analyse des Patches weit verbreitet ist.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-20929 betrifft Windows HTTP.sys, den HTTP-Protokollstack auf Kernel-Ebene, der von Windows zur Verarbeitung des Webverkehrs und zur Unterstützung HTTP-basierter Dienste verwendet wird. Die Schwachstelle wird durch eine unsachgemäße Zugriffskontrolle verursacht, was bedeutet, dass HTTP.sys unter bestimmten Bedingungen Einschränkungen nicht korrekt durchsetzt. Ein Angreifer mit autorisiertem Zugriff kann diese Schwachstelle über das Netzwerk ausnutzen, um erweiterte Berechtigungen auf dem Zielsystem zu erlangen. Da HTTP.sys in einem Bereich des Betriebssystems mit hohen Berechtigungen arbeitet, kann eine erfolgreiche Ausnutzung schwerwiegende Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben. In der Praxis kann diese Schwachstelle einem Angreifer helfen, von einem eingeschränkten Zugriff zu einer weitaus mächtigeren Position auf dem Host zu gelangen, was die Wahrscheinlichkeit einer tiefergehenden Kompromittierung und Folgeangriffen erhöht.

AUSNUTZBARKEIT:

Betroffene Versionen sind Windows 10 Version 1607 und andere unterstützte Windows-Versionen, die die anfällige HTTP.sys-Komponente vor den entsprechenden Sicherheitsupdates verwenden. Unter Windows 10 Version 1607 sind Builds vor 10.0.14393.8783 anfällig. Für die Ausnutzung muss der Angreifer bereits über eine gewisse Berechtigung verfügen und in der Lage sein, das Ziel über das Netzwerk zu erreichen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke ist gefährlich, da sie Angreifern helfen kann, eine kleine Sicherheitsverletzung in einen schwerwiegenden Sicherheitsvorfall zu verwandeln. Eine geringfügige Kompromittierung, die andernfalls eingedämmt werden könnte, kann zum Sprungbrett für privilegierten Zugriff, umfassendere Systemkontrolle und stärkere Persistenz werden. Aus geschäftlicher Sicht kann dies zu Dienstunterbrechungen, unbefugtem Zugriff auf sensible Daten, Schäden an kritischen Systemen und erhöhten Wiederherstellungskosten führen. Mächtige Schwachstellen zur Privilegienerweiterung werden oft zum Kraftmultiplikator, der gewöhnliche Einbruchsaktivitäten in eine vollwertige Betriebskrise verwandelt.

WORKAROUND:

Die bevorzugte Abhilfemaßnahme ist die Installation des Sicherheitsupdates von Microsoft. Wenn der Patch nicht sofort bereitgestellt werden kann, verringern Sie das Risiko, indem Sie den Zugriff auf betroffene Systeme einschränken, unnötige HTTP-basierte Dienste beschränken, sensible Hosts segmentieren und verdächtige Aktivitäten zur Privilegienerweiterung im Zusammenhang mit HTTP-Diensten genau überwachen. Es gibt keinen wirksamen Ersatz für das Patchen.

Sicherheitsupdates vom Patch Tuesday im Mai 2026

Ich habe mir die technischen Details der neuen EU-Altersverifikation angesehen, und mein Urteil könnte nicht vernichtender ausfallen. Um es direkt auf den Punkt zu bringen: Wer auch immer als CTO, CIO oder Datenschutzbeauftragter bei der EU für diese Lösung der Altersverifikation verantwortlich ist, sollte sofort entlassen werden. Es ist mir völlig unbegreiflich, wie man mit einer solchen Selbstsicherheit ein Produkt präsentieren kann, das nicht einmal ansatzweise aktuellen technischen Sicherheitsstandards entspricht. Die simplen „Hacks“, die nur Minuten nach der Veröffentlichung publik wurden, sind kein Zufall – sie sind das Ergebnis einer Architektur, die jedes einzelne Prinzip der eigenen EU-DSGVO ignoriert.

Wo bleiben die Datenminimierung oder die Sicherheit als oberste Direktive? Fehlanzeige. Stattdessen sehen wir einen pureren Dilettantismus, der unter dem Deckmantel des Jugendschutzes auf Hunderte Millionen Bürger losgelassen werden soll. Wir reden hier nicht von einem kleinen Bug in einer Gaming-App. Wir reden von der Infrastruktur, die künftig darüber entscheiden soll, wer in Europa welche Inhalte konsumieren darf. Und diese Infrastruktur ist, gelinde gesagt, konzeptionell kaputt.

In diesem massiven Artikel werde ich dieses Kartenhaus Stein für den Stein abtragen. Wir schauen uns an, wie Paul Moore die App in 120 Sekunden lächerlich gemacht hat, warum der „Digital Omnibus“ die DSGVO von innen heraus auffrisst und wie eine echte, technisch saubere Lösung auf Basis von Passkeys und Zero-Knowledge Proofs (ZKP) aussehen müsste, die Anonymität wirklich ernst nimmt.

I. Der regulatorische Masterplan: Schutz als Vorwand für Kontrolle?

Die Europäische Union hat mit dem Gesetz über digitale Dienste (Digital Services Act, DSA) und der novellierten eIDAS-Verordnung (eIDAS 2.0) einen Rahmen geschaffen, der angeblich die Sicherheit im Netz erhöhen soll. Ein zentrales Element ist dabei die Altersverifikation. Ab 2026 sollen Online-Plattformen verpflichtet werden, den Zugriff auf „schädliche“ Inhalte wie Pornografie, Glücksspiel oder den Erwerb von Alkohol für Minderjährige radikal zu reglementieren.

Das Ende des „Ich bin 18“-Buttons

Bisher reichte oft eine einfache Selbstdeklaration. Die Kommission hat jedoch klargestellt, dass das sogenannte „Tick-Box“-Verfahren rechtlich nicht mehr ausreicht. Die neuen Leitlinien fordern „effektive, robuste und nicht-intrusive“ Methoden. Doch was die EU unter „nicht-intrusiv“ versteht, ist ein schlechter Witz. Am 15. April 2026 präsentierte Kommissionspräsidentin Ursula von der Leyen eine Referenz-App als „technisch bereit“ und „datenschutzfreundlich“.

Diese App fungiert als eine Art „Mini-Wallet“, eine Vorstufe zur umfassenden EUDI-Wallet (EU Digital Identity), die bis Ende 2026 für jeden Mitgliedstaat verpflichtend wird. Das Ziel klingt in der Theorie edel: Nutzer sollen beweisen können, dass sie über 18 sind, ohne ihren Namen oder ihr Geburtsdatum preiszugeben. Doch wie wir gleich sehen werden, ist der Weg dorthin gepflastert mit technischer Inkompetenz.

II. Die Anatomie des Versagens: Der Paul Moore Hack

Es dauerte keine zwei Stunden, nachdem die Kommission den Quellcode der App veröffentlicht hatte, bis der Sicherheitsberater Paul Moore demonstrierte, dass das gesamte Sicherheitskonzept ein schlechter Scherz ist. Wenn von der Leyen von „höchsten Datenschutzstandards“ spricht, während ein Profi das System mit einem einfachen Datei-Explorer aushebelt, dann ist das politischer Selbstmord auf Raten.

Die „Clown-Tier“-Designentscheidungen

Moore identifizierte Schwachstellen, die so basal sind, dass man sich fragen muss, ob die Entwickler jemals ein Buch über Mobile Security gelesen haben.

1. Unsichere lokale Speicherung (PIN-Bypass): Die App speichert die PIN des Nutzers in einer einfachen XML-Datei im Verzeichnis shared_prefs. Diese PIN ist nicht kryptografisch an den Datentresor (Vault) gebunden, in dem die Identitätsnachweise liegen. Moore löschte einfach die Einträge PinEnc und PinIV. Nach einem Neustart akzeptierte die App die Erstellung einer neuen PIN und gewährte vollen Zugriff auf die Identität des ursprünglichen Nutzers.
2. Der Biometrie-Schalter: Ob eine biometrische Authentifizierung (Face ID/Fingerabdruck) nötig ist, wird über ein simples Flag gesteuert: UseBiometricAuth. Moore änderte diesen Wert in der Konfigurationsdatei einfach von „true“ auf „false“. Ergebnis: Die App fragte gar nicht erst nach dem Gesichtsscan. Wer das Handy physisch in der Hand hält, ist der Chef – Jugendschutz adé.
3. Manipulation der Ratenbegrenzung: Um Brute-Force-Angriffe auf die PIN zu verhindern, gibt es einen Zähler. Dieser Zähler wurde jedoch als einfache Ganzzahl in derselben ungeschützten Datei gespeichert. Ein Angreifer kann ihn jederzeit manuell auf Null zurücksetzen und unendlich viele Kombinationen testen.
4. Hardware-Sicherheitsanker ignoriert: Moderne Smartphones besitzen eine „Secure Enclave“ (Apple) oder ein „Trusted Execution Environment“ (Android). Das sind physikalisch isolierte Bereiche für kryptografische Schlüssel. Die EU-App nutzt diese jedoch nicht konsequent, sondern lässt sensible Sicherheits-Flags im regulären, editierbaren Dateisystem liegen. Das ist so, als würde man ein Hochsicherheitsschloss kaufen, den Schlüssel aber unter die Fußmatte legen.

III. Biometrie-Lecks: Wenn der Datenschutz zur Falle wird

Ein besonders brisanter Aspekt der App ist das Onboarding. Nutzer müssen ihren Reisepass via NFC scannen und ein Selfie aufnehmen, um die Echtheit ihrer Daten zu beweisen.

Unverschlüsselte Bilder im Cache

Die technische Analyse offenbarte ein Horrorszenario für Datenschützer:

• Die aus dem NFC-Chip extrahierten hochauflösenden Gesichtsbilder (DG2-Daten) werden als unverschlüsselte PNG-Dateien auf dem Gerät abgelegt.
• Diese Bilder werden nur gelöscht, wenn der Verifizierungsprozess erfolgreich abgeschlossen wurde. Stürzt die App ab oder bricht der Nutzer ab, verbleiben diese sensiblen Biometriedaten ungeschützt auf dem Smartphone.
• Selfies werden teilweise im externen Speicher abgelegt und laut Berichten überhaupt nicht gelöscht.

Gemäß Artikel 9 der DSGVO sind biometrische Daten besonders schutzwürdig. Dass eine offizielle EU-App solche Daten unverschlüsselt im Dateisystem „vergisst“, ist ein massiver Verstoß gegen die eigenen Gesetze. Paul Moore warnte Ursula von der Leyen direkt: Dieses Produkt wird der Katalysator für einen gigantischen Daten-Breach sein.

IV. Das legislative Schlupfloch: Der „Digital Omnibus“

Während die Technik versagt, bereitet die EU im Hintergrund eine gesetzliche Aufweichung vor, die noch viel gefährlicher ist. Das am 19. November 2025 vorgestellte „Digital Omnibus“-Paket wird von Organisationen wie noyb (Max Schrems) und EDRi als massiver Angriff auf die digitalen Grundrechte gewertet.

Die subjektive Identifizierbarkeit

Der Kern der Kritik liegt in einer geplanten Neudefinition von „personenbezogenen Daten“ in Artikel 4(1) der DSGVO. Bisher gilt ein objektiver Maßstab: Daten sind personenbezogen, wenn sie irgendjemand einer natürlichen Person zuordnen kann.

Der neue Vorschlag führt einen subjektiven Ansatz ein: Informationen sollen für eine bestimmte Firma dann nicht als personenbezogen gelten, wenn diese Firma die Person mit vernünftigerweise wahrscheinlichen Mitteln nicht identifizieren kann.

Die Gefahr für die Altersverifikation: Plattformen könnten künftig behaupten: „Wir erhalten von der EU-App nur einen kryptografischen Token. Wir wissen nicht, wer dahintersteckt, also ist das für uns kein personenbezogenes Datum.“ Dass Datenbroker im Hintergrund diese Token längst wieder mit Klarnamen verknüpft haben, würde dann keine Rolle mehr spielen. Dies entzieht den Bürgern ihre Rechte auf Auskunft, Löschung und Widerspruch.

KI-Training als „legitimes Interesse“

Zudem soll das Training von KI-Modellen als „legitimes Interesse“ (Art. 88c) eingestuft werden. Das bedeutet das Ende der Opt-In-Kultur. Firmen könnten Ihre Daten ohne explizite Einwilligung für ihre Algorithmen nutzen. Wir bewegen uns weg vom Schutz der Privatsphäre hin zu einem System, in dem der Mensch nur noch als Datenquelle für die europäische KI-Industrie dient.

V. Der dezentrale Ausweg: Anonymität durch Passkeys und ZKP

Es gibt eine Lösung für das Problem der Altersverifikation, die keine Überwachungsinfrastruktur benötigt. Die Technologie ist bereits in unseren Taschen vorhanden: Passkeys auf Basis von FIDO2/WebAuthn kombiniert mit Zero-Knowledge Proofs (ZKP).

Warum Passkeys die Basis sind

Ein Passkey ist ein kryptografisches Schlüsselpaar, das hardwaregebunden auf dem Gerät erzeugt wird. Der private Schlüssel $K_{priv}$ verlässt die „Secure Enclave“ niemals. Im Gegensatz zu Passwörtern sind Passkeys resistent gegen Phishing und Server-Breaches.

Die Magie der Zero-Knowledge Proofs (ZKP)

Der entscheidende Fehler der EU-App ist die Verknüpfung von Identität und Attestierung. Eine Website braucht nicht zu wissen, wer ich bin, sondern nur, was ich bin (über 18).

Ein anonymes System funktioniert in vier Phasen:

1. Einmaliges Onboarding: Der Nutzer weist sein Alter gegenüber einer vertrauenswürdigen Stelle nach (z.B. staatliches Register). Diese stellt ein kryptografisch signiertes Attest aus, das lokal auf dem Handy gespeichert wird.
2. Anonymer Passkey: Für jede Plattform wird ein einzigartiger, domain-spezifischer Passkey generiert. Dies verhindert, dass verschiedene Webseiten Nutzerprofile verknüpfen können.
3. ZKP-Präsentation: Wenn eine Plattform das Alter anfordert, generiert das Handy einen mathematischen Beweis (ZKP). Die Aussage lautet: „Ich besitze ein gültiges Zertifikat für ‚Alter $\geq$ 18‘, ohne das Geburtsdatum zu verraten.“
4. Double-Blind Prinzip: Weder der Staat noch die Plattform wissen alles. Der Staat weiß, wem er das Attest gab, aber nicht, wo es genutzt wird. Die Plattform weiß, dass der Nutzer über 18 ist, aber nicht, wer er ist.

Vergleich der Modelle

VI. Das Scheitern hat Tradition: Von der ID Wallet zum Führerschein-Chaos

Man sollte meinen, die EU hätte aus den Fehlern der Vergangenheit gelernt. Doch weit gefehlt. Das Scheitern der deutschen „ID Wallet“ im Jahr 2021 war eine Vorwarnung. Auch damals wurde eine blockchain-basierte Lösung mit großer Fanfare (Andreas Scheuer, Dorothee Bär) gelauncht, nur um Tage später wegen Sicherheitsmängeln und mangelnder Skalierbarkeit aus den App-Stores entfernt zu werden.

Die Sicherheitsforscherin Lilith Wittmann sprach damals von einem „Kaiser ohne Kleider“. IT-Experten warnten Monate im Voraus, doch die Politik ignorierte die Realität zugunsten von PR-Terminen kurz vor der Wahl. Heute sehen wir dasselbe Muster auf europäischer Ebene: Man forciert einen Rollout, bevor die Wissenschaft konsolidiert ist und bevor die Sicherheitsarchitektur überhaupt den Namen verdient.

VII. Die Rolle von Big Tech und die Souveränitätslüge

Ein weiteres Problem ist die Abhängigkeit von Google und Apple. Die EUDI-Wallet und die Altersverifikations-App sind auf die Betriebssysteme und App-Stores dieser Giganten angewiesen. Wenn die EU-App Sicherheitsstandards fordert, die nur durch die Integration in die proprietären Hardware-Enklaven von Apple oder Google erreicht werden können, zementiert sie die Marktmacht dieser Unternehmen.

Gleichzeitig positionieren sich Konzerne wie Meta als Unterstützer von Initiativen wie OpenAge, um von den eigentlichen Problemen – ihren schädlichen Algorithmen und der Datenausbeutung – abzulenken. Eine Altersverifikation, die lediglich den Zugang regelt, aber das „Engagement-Mining“ der Plattformen unberührt lässt, bekämpft nur die Symptome, nicht die Ursache der Gefährdung von Minderjährigen.

Fazit: Zeit für digitale Notwehr

Die Altersverifikation in der EU befindet sich in einer Sackgasse aus technischer Inkompetenz und legislativer Übergriffigkeit. Das aktuelle Modell hebelt den Datenschutz aus, indem es einerseits unsichere Apps bereitstellt und andererseits durch den „Digital Omnibus“ rechtliche Schlupflöcher schafft, die die Zweckbindung personenbezogener Daten untergraben.

Wer als Verantwortlicher zulässt, dass biometrische Daten unverschlüsselt in Cache-Ordnern liegen, hat jede Glaubwürdigkeit verloren. Wir brauchen keine staatliche App, die unsere Ausweise scannt. Wir brauchen eine Altersverifikation, die nur ein Merkmal bestätigt, aber niemals eine Identität preisgibt.

Forderungen für einen echten Jugendschutz:

1. Sofortiger Stopp der Referenz-App: Keine produktive Nutzung einer App, die lokale Sicherheitsflags in Textdateien speichert.
2. Hardware-Zwang: Altersnachweise dürfen nur in zertifizierten Hardware-Sicherheitsmodulen (HSM/Secure Enclave) verarbeitet werden.
3. ZKP-Standardisierung: Die EU muss offene kryptografische Standards für Zero-Knowledge Proofs forcieren, statt auf „Gaffa-Tape-Lösungen“ zu setzen.
4. Stopp des Digital Omnibus: Die DSGVO darf nicht für die Interessen der KI-Lobby geopfert werden.

Nur durch eine radikale Abkehr vom jetzigen Modell der „staatlich kontrollierten Identitäts-App“ hin zu einer „nutzerzentrierten Attributs-Kryptografie“ kann der Schutz von Kindern im Netz realisiert werden, ohne das Recht auf Anonymität für uns alle zu opfern.

Exchange Server Update Mai 2026: Warum Sie jetzt handeln müssen

E-Mail-Server sind das Rückgrat fast jeder Firma. Aber genau deshalb sind sie auch das Lieblingsziel von Angreifern. Wenn Microsoft am Patchday ein neues Exchange Server Update veröffentlicht, ist das für IT-Admins oft der Startschuss für eine Nachtschicht. Im Mai 2026 geht es aber um mehr als nur das Schließen einer Sicherheitslücke. Es ist der Beginn einer architektonischen Zeitenwende für alle, die Exchange betreiben – egal ob in der Cloud oder im eigenen Keller.

Ich weiß, dass Updates oft Stress bedeuten. Man hat Angst, dass nach dem Neustart die Dienste nicht hochfahren oder die Datenbanken streiken. Aber die Alternative – ein gehacktes System oder eine kaputte Hybrid-Anbindung – ist weitaus schlimmer. In diesem Artikel schauen wir uns an, was im aktuellen Hotfix steckt, warum das Ende von EWS (Exchange Web Services) Ihre Planung dominieren wird und was das alles für reine On-Prem-Umgebungen bedeutet.

Was ist neu im Exchange Server Update vom Mai 2026?

Das aktuelle Update ist ein sogenanntes Hotfix Update (HU). Im Gegensatz zu den großen Cumulative Updates (CU) konzentriert sich ein HU gezielt auf zwei Bereiche: Sicherheitskorrekturen und die Vorbereitung auf die Zukunft der Cloud-Konnektivität.

1. Die Sicherheitslücke (EoP)

Im Fokus steht die Behebung einer „Elevation of Privilege“ (EoP) Schwachstelle. Angreifer könnten diese Lücke nutzen, um sich höhere Rechte auf Ihrem Server zu verschaffen. Wenn jemand erst einmal Admin-Rechte auf dem Exchange hat, gehört ihm praktisch das gesamte Active Directory. Das Update schließt diese Lücke und sorgt dafür, dass Ihr System wieder den aktuellen Sicherheitsstandards entspricht.

2. Der Wechsel zu Microsoft Graph (Der „Gamechanger“)

Das ist der Punkt, der viele Hybrid-Admins kalt erwischen könnte. Das Mai 2026 Update enthält die Funktionalität, um die sogenannte „Rich Coexistence“ (Frei/Gebucht-Zeiten, MailTips, Profilbilder) von EWS auf die REST-basierte Microsoft Graph API umzustellen. Microsoft schaltet EWS in der Cloud bald ab. Wer jetzt nicht handelt, wird im April 2027 feststellen, dass die Zusammenarbeit zwischen lokalem Server und Cloud plötzlich nicht mehr funktioniert.

Entwarnung für „Pure On-Prem“: Was, wenn ich keine Cloud nutze?

Ich höre oft von Admins: „Wir nutzen kein Entra ID, kein M365 und kein Azure. Was geht mich diese Graph-Migration an?“

Die kurze Antwort: Technisch gesehen betrifft Sie die Graph-Migration für „Rich Coexistence“ nicht.

Wenn Ihr Exchange Server eine Insel ist, die nur interne Postfächer bedient und keine Verbindung zu Exchange Online hält, müssen Sie keinen PowerShell-Befehl für Graph absetzen. Microsoft Graph ist eine Cloud-API. Ohne Cloud-Anbindung gibt es für Ihren Server nichts, wohin er „graphen“ könnte.

Aber (und das ist ein großes Aber):

• Die Sicherheitslücke bleibt: Die EoP-Schwachstelle ist für jeden Exchange Server gefährlich, der im Netz hängt. Der Patch ist für Sie also genauso überlebenswichtig wie für Hybrid-Kunden.
• Support-Ende von 2016/2019: Auch ohne Cloud-Pläne müssen Sie sich mit der Exchange Server Subscription Edition (SE) beschäftigen. Exchange 2016 und 2019 nähern sich dem Ende ihres Lebenszyklus. Wer weiterhin Sicherheitsupdates erhalten möchte, kommt um den Wechsel auf die SE-Version nicht herum.
• Interne Applikationen: Viele Ihrer internen Tools (Backup, Archivierung, CRM) nutzen EWS lokal auf Ihrem Server. Das bleibt vorerst erhalten. Microsoft schaltet EWS in der Cloud ab, nicht die lokale Schnittstelle auf Ihrem eigenen Server. Dennoch ist es ratsam, bei künftigen Software-Anschaffungen auf moderne Schnittstellen zu achten.

Die bittere Pille: Exchange 2016 und 2019 bleiben außen vor

Hier wird es politisch und technisch ungemütlich. Microsoft hat zwar Patches für die alten Versionen veröffentlicht:

• Exchange Server 2019 (CU14 und CU15)
• Exchange Server 2016 (CU23)

Aber Vorsicht: Diese Versionen erhalten lediglich die Sicherheits-Fixes. Die neue Graph-Unterstützung für Hybrid-Szenarien gibt es nur für die Exchange Server Subscription Edition (SE).

Das bedeutet im Klartext: Wenn Sie doch irgendwann eine Hybrid-Anbindung planen oder bereits nutzen, haben Sie mit den alten Versionen ein Verfallsdatum. Spätestens im April 2027 schaltet Microsoft EWS in Exchange Online ab. Ein Upgrade auf Exchange SE ist also für die meisten Firmen eine zwingende Voraussetzung.

Warum das Hotfix Update so wichtig für Ihre Sicherheit ist

Manche Admins denken: „Wir haben eine Firewall und nutzen MFA, uns passiert schon nichts.“ Das ist leider ein gefährlicher Irrtum. Sicherheitslücken wie die aktuelle EoP-Vulnerability greifen oft an Stellen an, an denen klassische Schutzwälle bereits überwunden wurden oder gar nicht greifen.

Ein Sicherheitsupdate ist Ihre letzte Verteidigungslinie. Ohne diesen Patch bleibt die Tür für versierte Hacker einen Spalt weit offen. In der Vergangenheit haben wir gesehen, wie schnell Exploit-Code nach der Veröffentlichung von Updates im Netz landet. Zeit ist hier also der entscheidende Faktor.

Die Gefahr von Privilege Escalation

Bei einer Rechteausweitung muss der Angreifer nicht einmal Ihr Passwort kennen. Er nutzt einen Fehler im Code des Servers aus, um von einem normalen Benutzerkonto auf die Ebene des System-Admins aufzusteigen. Das ist so, als würde ein Gast in einem Hotel plötzlich den Generalschlüssel für alle Zimmer erhalten. Das aktuelle Mai-Update nimmt den Angreifern diesen Schlüssel wieder weg.

Deep Dive: Die Migration zu Microsoft Graph API (Hybrid-Fokus)

Wenn Sie bereits auf Exchange SE migriert sind und Hybrid nutzen, ist das Mai-Update Ihr Startschuss für die „Stage 2“.

Was ist „Rich Coexistence“?

Vielleicht fragen Sie sich: „Brauche ich das überhaupt?“ Wenn Ihre Nutzer im Outlook sehen wollen, ob ein Kollege in der Cloud gerade in einem Meeting ist (Free/Busy), oder wenn sie beim Tippen einer Mail gewarnt werden wollen, dass der Empfänger im Urlaub ist (MailTips), dann nutzen Sie Rich Coexistence. Bisher lief das alles über EWS.

Die Deadline im Nacken

• Oktober 2026: Ab diesem Zeitpunkt wird EWS in vielen Tenants bereits eingeschränkt.
• April 2027: EWS wird in Exchange Online endgültig abgeschaltet.

Wer bis dahin seine hybride Konfiguration nicht auf die neue „dedicated Exchange hybrid app“ und die Graph-Berechtigungen umgestellt hat, wird mit Ticket-Anfragen von verärgerten Nutzern überhäuft werden.

Vorbereitung: So machen Sie Ihren Server bereit für das Patching

Bevor Sie auf „Installieren“ klicken, ist eine gute Vorbereitung die halbe Miete. Ich habe schon zu viele Server gesehen, die nach einem abgebrochenen Update im „Limbus“ hingen. Das lässt sich fast immer durch einfache Schritte vermeiden.

Prüfen Sie zuerst Ihren aktuellen Patch-Stand. Der Exchange HealthChecker ist hier Ihr bester Freund. Dieses Skript zeigt Ihnen sofort, ob Ihr Server die nötigen Voraussetzungen erfüllt.

Checkliste vor der Installation:

• Vollständiges Backup: Erstellen Sie ein Backup der virtuellen Maschine (Snapshot) und der Datenbanken.
• Speicherplatz prüfen: Stellen Sie sicher, dass auf dem Systemlaufwerk mindestens 10 GB freier Platz sind.
• Admin-Rechte: Sie müssen die Installation mit erhöhten Rechten ausführen.
• Wartungsfenster: Informieren Sie die Nutzer. Exchange-Updates dauern oft länger als geplant.

Schritt-für-Schritt-Anleitung: Installation des Exchange Hotfixes

Es gibt zwei Wege, das Update einzuspielen. Entweder nutzen Sie Windows Update oder Sie laden das Paket manuell als .msp-Datei herunter. Ich persönlich bevorzuge den manuellen Weg, da man hier mehr Kontrolle über den Prozess hat.

Installation via Windows Update

Falls Ihr Server so konfiguriert ist, finden Sie das Update unter „Optionale Updates“ oder direkt in der Liste der wichtigen Sicherheitsupdates. Der Vorteil: Windows kümmert sich um den Neustart der Dienste. Der Nachteil: Man sieht bei Fehlern oft nur kryptische Codes.

Manueller Download und Installation

1. Laden Sie das Paket (KB5081755 für Exchange SE) von der offiziellen Microsoft-Seite herunter.
2. Öffnen Sie die Eingabeaufforderung (CMD) unbedingt als Administrator.
3. Navigieren Sie zum Pfad der Datei und führen Sie sie aus: msiexec /p ExchangeSE-KB5081755-x64-en.msp.
4. Folgen Sie den Anweisungen und lassen Sie das System danach neu starten.

Wichtig: Klicken Sie niemals einfach doppelt auf die Datei im Explorer. Das führt oft dazu, dass die Installation zwar durchläuft, aber wichtige Registrierungsschlüssel nicht gesetzt werden, weil die nötigen Rechte fehlen.

Nach der Installation: Graph API aktivieren (Nur für Hybrid-Szenarien)

Wenn das Update installiert ist, ist der Server zwar sicher, aber die Hybrid-Konnektivität nutzt standardmäßig immer noch EWS. Rein lokale Umgebungen ignorieren diesen Schritt bitte. Alle anderen müssen aktiv werden.

Der PowerShell-Befehl

Nachdem Sie sichergestellt haben, dass Sie die dedizierte Hybrid-App in Entra ID konfiguriert haben, müssen Sie die Funktion auf dem lokalen Server freischalten. Nutzen Sie dazu die Exchange Management Shell (EMS) mit Administratorrechten:

New-SettingOverride -Name "EnableGraphHybridCoexistence" -Component "CloudService" -Section "HybridConfiguration" -Parameters @("Enabled=true") -Reason "Migration from EWS to Graph"

Nachdem Sie diesen Befehl ausgeführt haben, müssen Sie den Microsoft Exchange Active Directory Topology Dienst neu starten. Danach beginnt Ihr Server, für Anfragen an die Cloud die moderne Graph-Schnittstelle zu nutzen.

Häufige Probleme und wie Sie sie lösen

Es läuft nicht immer alles glatt. Eines der häufigsten Probleme nach einem Exchange Server Update ist, dass die Exchange-Dienste auf „Deaktiviert“ stehen bleiben. Das passiert oft, wenn die Installation vorzeitig abgebrochen wird oder ein Fehler auftritt.

Keine Panik. Schauen Sie in die Diensteverwaltung (services.msc). Wenn die Dienste auf „Disabled“ stehen, setzen Sie sie manuell auf „Automatisch“ und starten Sie sie. Prüfen Sie danach im Event Viewer unter „Anwendung“ nach Fehlern mit der Quelle „MSExchange Common“.

Wenn das Update abbricht

Sollte die Installation mit einem Fehler abbrechen, löschen Sie die temporären Dateien im Ordner C:\Windows\Temp. Starten Sie den Server neu und versuchen Sie es erneut. Oft blockiert ein Virenscanner den Zugriff auf bestimmte Dateien. Ein Blick in das Setup-Log unter C:\ExchangeSetupLogs\ServiceUpdate gibt meist den entscheidenden Hinweis.

Nach dem Update: Kontrolle ist besser als Vertrauen

Nutzen Sie erneut das Exchange HealthChecker Skript. Es zeigt Ihnen die neue Versionsnummer an und bestätigt, dass die Sicherheitslücke geschlossen ist. Für Exchange SE Kunden zeigt es auch an, ob die Graph-Migration erfolgreich eingeleitet wurde. Erst wenn hier alles grün ist, sollten Sie den Snapshot der VM löschen.

Warum der HealthChecker unverzichtbar ist

Dieses Tool prüft nicht nur die Version, sondern auch, ob die nötigen Konfigurationen (wie Extended Protection) korrekt gesetzt sind. Ohne dieses Tool tappen Sie im Dunkeln.

Die Rolle von Extended Protection beim Exchange Patching

Extended Protection verhindert Man-in-the-Middle-Angriffe, indem es die Authentifizierung stärker an den TLS-Kanal bindet. Das aktuelle Update vom Mai 2026 setzt voraus, dass Ihre Konfiguration sauber ist. Der HealthChecker warnt Sie, falls hier Handlungsbedarf besteht. Denken Sie daran: Sicherheit ist kein Ziel, sondern ein fortlaufender Prozess.

Fazit: Sicherheit ist ein Dauerlauf, kein Sprint

Das Exchange Server Update vom Mai 2026 ist weit mehr als eine lästige Wartungsaufgabe. Für reine On-Premise-Umgebungen ist es vor allem ein Pflichttermin für die Sicherheit. Für Hybrid-Admins ist es der lebensnotwendige Rettungsring vor dem EWS-Ende.

Warten Sie nicht bis zum Wochenende oder bis zum April 2027. Planen Sie das Update für die nächsten Tage ein. Ein sicherer und zukunftsfähiger Mailserver ist die beste Visitenkarte für eine IT-Abteilung, die ihre Infrastruktur im Griff hat.

Meine Empfehlung: Installieren Sie das Hotfix sofort wegen der Sicherheitslücke. Auch wenn Sie keine Cloud nutzen: Prüfen Sie Ihren Upgrade-Pfad zu Exchange SE, um langfristig im Support-Rahmen zu bleiben. Viel Erfolg beim Patching!

Microsoft hat diesen Monat richtig ausgeholt. Mit 167 geschlossenen Sicherheitslücken ist der April 2026 einer der umfangreichsten Patchdays seit langem. Aber wie so oft gilt: Wo viel gehobelt wird, fallen Späne – besonders Admins von Windows Server sollten diesen Monat zweimal hinschauen, bevor sie auf „Neustart“ klicken.

Die kritischen Lücken (Zero-Days)

Ganz oben auf der Liste stehen zwei Schwachstellen, die bereits vorab bekannt waren oder aktiv ausgenutzt werden:

1. CVE-2026-32201 (Microsoft SharePoint Server): Diese Spoofing-Lücke wird bereits für Angriffe genutzt. Wer SharePoint im Einsatz hat, sollte hier keine Zeit verlieren.
2. CVE-2026-33825 (Microsoft Defender): Eine Schwachstelle zur Ausweitung von Berechtigungen (Elevation of Privilege). Hier bekommt ein Angreifer SYSTEM-Rechte. Microsoft hat den Fix bereits über die Defender-Plattform-Updates (Version 4.18.26030.3011) ausgerollt, aber eine manuelle Prüfung schadet nicht.

Insgesamt gibt es acht als „Kritisch“ eingestufte Fehler, die meisten davon erlauben Remote Code Execution (RCE) – also das Ausführen von Schadcode aus der Ferne.

CVE-2026-33827 – Sicherheitslücke in Windows TCP/IP, die die Ausführung von Remote-Code ermöglicht

„Ein einziges fehlerhaftes Paket reicht aus – diese Schwachstelle ermöglicht es Angreifern, den Netzwerkzugriff zu einer vollständigen Systemkompromittierung zu nutzen, ohne sich jemals anzumelden.“

Diese kritische Sicherheitslücke im Windows-TCP/IP-Stack wird durch eine Race Condition bei der Behandlung gemeinsam genutzter Ressourcen während der gleichzeitigen Ausführung verursacht. Ein nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, indem er speziell gestaltete IPv6-Pakete an ein Zielsystem mit aktiviertem IPSec sendet, wodurch potenziell eine Remote-Codeausführung erreicht werden kann. Obwohl ein präzises Timing erforderlich ist, sind die Auswirkungen schwerwiegend und ermöglichen die vollständige Kontrolle über betroffene Systeme.

CVSS-Score: 8,1
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Code-Ausführung über Race Condition im TCP/IP-Stack

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Schwachstelle wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Eine Ausnutzung wird aufgrund der Komplexität, die Race Condition zu gewinnen, als eher unwahrscheinlich angesehen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle entsteht durch eine fehlerhafte Synchronisation bei der Verarbeitung gemeinsam genutzter Ressourcen innerhalb des Windows-TCP/IP-Stacks, insbesondere im Zusammenhang mit der IPv6- und IPSec-Verarbeitung. Aufgrund einer Race Condition können mehrere Threads, die auf dieselbe Ressource zugreifen, zu Speicherbeschädigungen oder inkonsistenten Systemzuständen führen. Ein Angreifer kann dies ausnutzen, indem er speziell gestaltete IPv6-Pakete sendet, die darauf ausgelegt sind, die Race Condition im richtigen Moment auszulösen. Bei Erfolg kann dies zur Ausführung von beliebigem Code im Kernel-Kontext führen, wodurch der Angreifer vollständige Kontrolle über das System erlangt.

AUSNUTZBARKEIT:

• Betrifft Windows-Systeme, auf denen IPv6 und IPSec aktiviert sind.
• Die Ausnutzung erfordert keine Authentifizierung, aber ein präzises Timing, um die Race Condition zu gewinnen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke stellt eine Bedrohung mit hohen Auswirkungen dar, da sie es Angreifern ermöglicht, Systeme aus der Ferne ohne Anmeldedaten oder Benutzerinteraktion zu kompromittieren. Eine erfolgreiche Ausnutzung könnte zur vollständigen Übernahme des Systems, zum Einsatz von Ransomware, zur lateralen Bewegung über Netzwerke hinweg und zur Störung kritischer Dienste führen. Trotz hoher Komplexität stellt der potenzielle Schaden ein ernstes Unternehmensrisiko dar.

WORKAROUND:

Falls ein Patch nicht sofort verfügbar ist:

• Deaktivieren Sie IPv6, sofern nicht erforderlich
• Deaktivieren Sie IPSec, wo dies möglich ist
• Beschränken Sie die Netzwerkexposition auf vertrauenswürdige Quellen

DRINGLICHKEIT:

Dies ist eine kritische Sicherheitslücke zur Remote-Codeausführung, die keine Authentifizierung oder Benutzerinteraktion erfordert. Auch wenn die Ausnutzung komplex ist, erhöht die Möglichkeit einer vollständigen Kompromittierung des Systems durch ein einziges Netzwerkpaket das Risiko erheblich. Systeme, die nicht vertrauenswürdigen Netzwerken ausgesetzt sind, sind besonders gefährdet, weshalb eine schnelle Bereitstellung von Patches unerlässlich ist, um potenzielle groß angelegte Angriffe zu verhindern.

CVE-2026-33826 – Sicherheitslücke bei der Remote-Codeausführung in Windows Active Directory

„Ein vertrauenswürdiger Domänenbenutzer kann zu einem unsichtbaren Angreifer werden – diese Schwachstelle macht den routinemäßigen Verzeichniszugriff zu einer Ausgangsbasis für die vollständige Kompromittierung des Systems.“

Diese Sicherheitslücke in Windows Active Directory wird durch eine unsachgemäße Eingabevalidierung verursacht und ermöglicht es einem authentifizierten Angreifer innerhalb derselben Domäne, beliebigen Code auf einem Zielsystem auszuführen. Durch das Senden speziell gestalteter RPC-Anfragen kann ein Angreifer die Schwachstelle ausnutzen, um die Kontrolle über betroffene Server zu erlangen, was dies zu einer ernsthaften Bedrohung in Unternehmensumgebungen macht, in denen Vertrauensgrenzen von entscheidender Bedeutung sind.

CVSS-Score: 8,0
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Code-Ausführung durch unsachgemäße Eingabevalidierung bei der RPC-Verarbeitung in Active Directory

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Schwachstelle wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Aufgrund der geringen Komplexität des Angriffs wird eine Ausnutzung jedoch als wahrscheinlich eingestuft.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle resultiert aus einer unzureichenden Validierung von Eingabedaten innerhalb der RPC-Verarbeitungsmechanismen von Active Directory. Ein authentifizierter Angreifer in derselben Domäne kann speziell gestaltete RPC-Aufrufe an einen Zielserver senden. Aufgrund der unzureichenden Validierung können böswillige Eingaben so verarbeitet werden, dass es zu Speicherbeschädigungen oder unbeabsichtigten Ausführungswegen kommt. Dies kann es dem Angreifer ermöglichen, beliebigen Code im Kontext des RPC-Dienstes auszuführen, je nach Dienstkonfiguration möglicherweise mit erhöhten Berechtigungen.

AUSNUTZBARKEIT:

• Betrifft Windows-Systeme, auf denen Active Directory-Dienste ausgeführt werden.
• Erfordert authentifizierten Zugriff mit geringen Berechtigungen innerhalb derselben Domäne (angrenzendes Netzwerk).
• Die Ausnutzung ist aufgrund der geringen Komplexität unkompliziert.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Diese Schwachstelle ist in Unternehmensumgebungen besonders gefährlich, da sie es Angreifern, die bereits einen Fuß in das Netzwerk gesetzt haben, ermöglicht, ihren Angriff rasch zu eskalieren. Eine Kompromittierung der Active Directory-Infrastruktur kann zu einer vollständigen Übernahme der Domäne, unbefugtem Zugriff auf sensible Systeme und weitreichenden Störungen führen. Sie untergräbt das zentrale Vertrauensmodell der Identitätsverwaltung in Unternehmen.

WORKAROUND:

Falls ein Patch nicht sofort verfügbar ist:

• Beschränken Sie den RPC-Zugriff ausschließlich auf vertrauenswürdige Systeme
• Überwachen und prüfen Sie ungewöhnliche RPC-Aktivitäten
• Wenden Sie eine strenge Netzwerksegmentierung innerhalb der Domäne an

DRINGLICHKEIT:

Diese Schwachstelle verbindet geringe Angriffskomplexität mit hohen Auswirkungen, was sie in realen Szenarien besonders gefährlich macht. Sobald ein Angreifer auch nur minimalen Domänenzugriff erlangt hat, kann er diese Schwachstelle schnell ausnutzen, um sich lateral zu bewegen und Code auf kritischen Servern auszuführen. Active Directory ist ein hochkarätiges Ziel, und eine Verzögerung der Patches erhöht das Risiko einer weitreichenden Kompromittierung.

CVE-2026-33824 – Sicherheitslücke bei der Remote-Codeausführung in den Windows Internet Key Exchange (IKE)-Dienst-Erweiterungen

„Das ist genau die Art von Schwachstelle, auf die Angreifer warten – still, aus der Ferne und verheerend.“

Diese kritische Sicherheitslücke betrifft den Windows Internet Key Exchange (IKE)-Dienst, insbesondere IKEv2, wo eine unsachgemäße Speicherverwaltung eine Double-Free-Situation ermöglicht. Ein Angreifer kann diese Schwachstelle aus der Ferne ausnutzen, indem er speziell gestaltete Netzwerkpakete sendet, was zur vollständigen Remote-Codeausführung führt. Da keine Authentifizierung oder Benutzerinteraktion erforderlich ist, stellt dieses Problem ein ernstes Risiko für exponierte Systeme dar, insbesondere für solche, die VPN- oder IPsec-Dienste nutzen.

CVSS-Score: 9,8
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Codeausführung

EXPLOITS:

Es wurden keine öffentlichen Exploits oder Proof-of-Concept-Code (PoC) beobachtet. Die Schwachstelle wurde nicht öffentlich bekannt gegeben und wird derzeit als wenig wahrscheinlich einzunutzen eingestuft, obwohl ihre Eigenschaften sie für Angreifer äußerst attraktiv machen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle wird durch eine Double-Free-Bedingung (CWE-415) in den Windows-IKE-Dienst-Erweiterungen verursacht. Diese tritt auf, wenn das System die Speicherfreigabe während der Verarbeitung von IKEv2-Paketen fehlerhaft handhabt. Ein Angreifer kann speziell gestaltete Pakete senden, um das Double-Free auszulösen, was zu einer Speicherbeschädigung führt. Diese Beschädigung kann ausgenutzt werden, um beliebigen Code im Kontext des Systems auszuführen, wodurch potenziell die vollständige Kontrolle über den betroffenen Rechner erlangt wird. Da der Angriff über das Netzwerk erfolgt und keine Authentifizierung erfordert, vergrößert er die Angriffsfläche erheblich.

AUSNUTZBARKEIT:

• Betrifft Windows-Systeme, auf denen IKEv2 aktiviert ist.
• Die Ausnutzung erfolgt remote über speziell gestaltete UDP-Pakete, die an die Ports 500 und 4500 gesendet werden.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Schwachstelle stellt eine ernsthafte Bedrohung für Unternehmensumgebungen dar, insbesondere für solche, die für die sichere Kommunikation auf VPN oder IPsec angewiesen sind. Eine erfolgreiche Ausnutzung kann zu einer vollständigen Kompromittierung des Systems führen, wodurch Angreifer sensible Daten stehlen, den Betrieb stören oder sich lateral im Netzwerk bewegen können. Da keine Benutzerinteraktion erforderlich ist, ist dies besonders gefährlich für Systeme mit Internetanbindung.

WORKAROUND:

• Blockieren Sie eingehenden Datenverkehr auf den UDP-Ports 500 und 4500, wenn IKE nicht benötigt wird.
• Wenn IKE erforderlich ist, beschränken Sie den Zugriff auf diese Ports ausschließlich auf vertrauenswürdige IP-Adressen.

DRINGLICHKEIT:

Diese Schwachstelle setzt Systeme einer nicht authentifizierten Remote-Codeausführung aus, ohne dass eine Benutzerinteraktion erforderlich ist. Die geringe Komplexität des Angriffs und die Auswirkungen auf das gesamte System machen sie zu einem idealen Kandidaten für eine schnelle Ausnutzung. Systeme mit Internetverbindung, auf denen IKEv2-Dienste laufen, sind besonders gefährdet, und eine Verzögerung der Patch-Bereitstellung erhöht das Risiko potenzieller großflächiger Angriffe.

CVE-2026-33115 – Schwachstelle in Microsoft Word zur Remote-Codeausführung

„Eine einfache Dokumentvorschau kann unbemerkt eine vollständige Kompromittierung des Systems auslösen – dieser Fehler verwandelt alltägliche Dateien in versteckte Angriffswaffen.“

Diese Sicherheitslücke in Microsoft Word wird durch einen Use-after-free-Speicherfehler verursacht, der es einem Angreifer ermöglicht, beliebigen Code auf einem lokalen System auszuführen. Obwohl sie als lokaler Angriffsvektor eingestuft ist, kann sie durch bösartige Dokumente ausgelöst werden, unter anderem über den Vorschaubereich, was sie in realen Szenarien, in denen Benutzer mit nicht vertrauenswürdigen Dateien interagieren, äußerst gefährlich macht.

CVSS-Score: 8,4
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Codeausführung über eine „Use-after-free“-Speicherbeschädigung in Microsoft Word

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Sicherheitslücke wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Eine Ausnutzung wird zum jetzigen Zeitpunkt als unwahrscheinlich angesehen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Sicherheitslücke ist auf eine fehlerhafte Speicherverwaltung in Microsoft Word zurückzuführen, insbesondere auf eine „Use-after-free“-Situation. Diese tritt auf, wenn Speicher freigegeben wird, aber von der Anwendung weiterhin referenziert wird. Ein Angreifer kann ein bösartiges Word-Dokument erstellen, das die Muster der Speicherzuweisung und -freigabe manipuliert. Wenn das Dokument geöffnet – oder sogar in der Vorschau angezeigt – wird, greift die Anwendung möglicherweise auf freigegebenen Speicher zu, was zu einer Speicherbeschädigung führt. Dies kann es dem Angreifer ermöglichen, beliebigen Code im Kontext des Benutzers auszuführen, der Word ausführt.

AUSNUTZBARKEIT:

• Betrifft Microsoft Word und zugehörige Office-Komponenten.
• Keine Authentifizierung erforderlich. Die Ausnutzung kann durch das Öffnen oder Anzeigen einer Vorschau eines bösartigen Dokuments erfolgen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke stellt ein erhebliches Risiko dar, da sie gängiges Benutzerverhalten ausnutzt – das Öffnen oder Anzeigen einer Vorschau von Dokumenten. Angreifer können Phishing- oder Dateifreigabetechniken nutzen, um bösartige Dateien zu verbreiten, was zur Kompromittierung von Endgeräten führt. Nach der Ausnutzung können Angreifer Malware installieren, sensible Daten stehlen oder sich lateral innerhalb der Organisation bewegen. Der Vektor „Vorschau-Fenster“ erhöht das Risiko, da er die Notwendigkeit einer expliziten Benutzeraktion verringert.

WORKAROUND:

Wenn ein Patch nicht sofort verfügbar ist:

• Deaktivieren Sie das Vorschau-Fenster im Windows Explorer
• Vermeiden Sie das Öffnen nicht vertrauenswürdiger oder unaufgefordert zugesandter Dokumente
• Nutzen Sie die Funktionen „Geschützte Ansicht“ und Anwendungs-Sandboxing

DRINGLICHKEIT:

Dies ist eine kritische Sicherheitslücke, die eine weit verbreitete Anwendung betrifft, mit dem zusätzlichen Risiko einer Ausnutzung über den Vorschaubereich. Die Möglichkeit, die Codeausführung mit minimaler oder gar keiner Benutzerinteraktion auszulösen, erhöht das Risiko erheblich, insbesondere in Phishing-Szenarien. Unternehmen sollten der Installation von Patches auf Endgeräten Priorität einräumen, um das Risiko einer weitreichenden Kompromittierung zu verringern.

CVE-2026-33114 – Sicherheitslücke in Microsoft Word zur Ausführung von Remote-Code

„Ein einziger nicht vertrauenswürdiger Zeiger kann ein harmloses Dokument in eine vollständige Systemübernahme verwandeln – diese Schwachstelle ermöglicht es Angreifern, alltägliche Dateien als Waffe einzusetzen.“

Diese Sicherheitslücke in Microsoft Word wird durch eine Dereferenzierung eines nicht vertrauenswürdigen Zeigers verursacht, wodurch ein Angreifer beliebigen Code auf einem lokalen System ausführen kann. Obwohl sie als lokaler Angriff eingestuft wird, kann sie durch bösartige Dokumente ausgelöst werden, unter anderem über den Vorschaubereich, was sie zu einer ernsthaften Bedrohung in gängigen Benutzer-Workflows im Zusammenhang mit der Dokumentenverarbeitung macht.

CVSS-Score: 8,4
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Codeausführung durch Dereferenzierung eines nicht vertrauenswürdigen Zeigers in Microsoft Word

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Sicherheitslücke wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Eine Ausnutzung wird zum jetzigen Zeitpunkt als unwahrscheinlich angesehen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Sicherheitslücke entsteht durch unsachgemäße Handhabung von Zeigern in Microsoft Word. Konkret kann die Anwendung einen Zeiger dereferenzieren, der auf nicht vertrauenswürdigen oder ungültigen Speicher verweist. Ein Angreifer kann ein bösartiges Dokument erstellen, das Zeigerreferenzen während der Verarbeitung manipuliert. Wenn das Dokument geöffnet oder in der Vorschau angezeigt wird, versucht Word möglicherweise, auf Speicherorte zuzugreifen, die vom Angreifer kontrolliert oder beeinflusst werden, was zu einer Speicherbeschädigung führt. Dies kann letztendlich die Ausführung von beliebigem Code im Kontext des Benutzers ermöglichen.

AUSNUTZBARKEIT:

• Betrifft Microsoft Word und zugehörige Office-Komponenten.
• Keine Authentifizierung erforderlich. Die Ausnutzung kann durch das Öffnen oder Anzeigen einer Vorschau eines speziell gestalteten Dokuments erfolgen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke ist gefährlich, da sie normales Benutzerverhalten ausnutzt – die Interaktion mit Dokumenten. Angreifer können schädliche Dateien über Phishing oder gemeinsam genutzte Laufwerke verbreiten, was zur Kompromittierung von Endgeräten führt. Der Vektor „Vorschau-Fenster“ erhöht das Risiko, da er die Notwendigkeit einer Benutzerinteraktion verringert. Eine erfolgreiche Ausnutzung kann zu Datendiebstahl, der Verbreitung von Malware und lateraler Bewegung innerhalb des Unternehmens führen.

WORKAROUND:

Wenn ein Patch nicht sofort installiert werden kann:

• Deaktivieren Sie den Vorschaubereich im Windows Explorer
• Vermeiden Sie das Öffnen von Dateien aus nicht vertrauenswürdigen Quellen
• Verwenden Sie die geschützte Ansicht und Endpunkt-Schutzmaßnahmen

DRINGLICHKEIT:

Diese Sicherheitslücke betrifft eine weit verbreitete Produktivitätsanwendung und kann mit minimaler Benutzerinteraktion ausgelöst werden, unter anderem über den Vorschaubereich.

Die Kombination aus hoher Auswirkung und einfacher Ausnutzung durch Phishing-Kampagnen erhöht die Wahrscheinlichkeit einer Ausnutzung in realen Szenarien, wodurch eine zeitnahe Patching-Maßnahme von entscheidender Bedeutung ist.

CVE-2026-32190 – Sicherheitslücke in Microsoft Office zur Ausführung von Remote-Code

„Diese Schwachstelle verwandelt alltägliche Dokumente in stille Waffen – und löst eine vollständige Kompromittierung des Systems ohne einen einzigen Klick aus.“

Diese kritische Sicherheitslücke in Microsoft Office wird durch einen Use-after-free-Speicherfehler verursacht, der es einem Angreifer ermöglicht, beliebigen Code auf einem lokalen System auszuführen. Obwohl eine lokale Ausführung erforderlich ist, bleibt das Risiko aufgrund von Angriffsvektoren wie dem Vorschaufenster, das schädliche Inhalte automatisch verarbeiten kann, hoch. Eine erfolgreiche Ausnutzung kann Angreifern die vollständige Kontrolle über betroffene Systeme verschaffen, was dies zu einer ernsthaften Bedrohung in Umgebungen macht, in denen häufig mit Office-Dateien gearbeitet wird.

CVSS-Score: 8,4
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Code-Ausführung

EXPLOITS:

Es wurden keine öffentlichen Exploits oder Proof-of-Concept-Code (PoC) identifiziert. Die Schwachstelle wurde noch nicht öffentlich bekannt gegeben und wird derzeit als weniger wahrscheinlich ausnutzbar eingestuft, obwohl ähnliche Schwachstellen in der Vergangenheit schnell als Angriffswaffen genutzt wurden.

TECHNISCHE ZUSAMMENFASSUNG:

Diese Sicherheitslücke wird als „Use-after-free“-Problem (CWE-416) klassifiziert, bei dem Microsoft Office den Speicher nach dessen Freigabe nicht ordnungsgemäß verwaltet. Wenn eine speziell gestaltete Datei verarbeitet wird, greift die Anwendung möglicherweise weiterhin auf bereits freigegebenen Speicher zu. Ein Angreifer kann diesen Zustand ausnutzen, um den Speicher zu beschädigen und beliebigen Code auszuführen. Insbesondere kann das Vorschaufenster als Angriffsvektor dienen, was bedeutet, dass die Schwachstelle ausgelöst werden kann, ohne die Datei explizit zu öffnen, was das Risiko einer versehentlichen Offenlegung erhöht.

AUSNUTZBARKEIT:

• Betrifft unterstützte Versionen von Microsoft Office vor der gepatchten Version.
• Die Ausnutzung erfolgt, wenn eine schädliche Datei lokal geöffnet oder in der Vorschau angezeigt wird, einschließlich über das Vorschaufenster.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Diese Sicherheitslücke stellt eine erhebliche Bedrohung für Unternehmen dar, die für ihren täglichen Betrieb auf Microsoft Office angewiesen sind. Angreifer können bösartige Dokumente nutzen, um die vollständige Kontrolle über Benutzersysteme zu erlangen, was zu Datendiebstahl, dem Einsatz von Ransomware oder lateraler Bewegung innerhalb des Netzwerks führen kann. Der Angriffsvektor über das Vorschaufenster erhöht die Wahrscheinlichkeit einer versehentlichen Kompromittierung, selbst bei vorsichtigen Benutzern.

WORKAROUND:

• Deaktivieren Sie das Vorschaufenster in E-Mail-Clients und Datei-Explorern, wo dies möglich ist.
• Vermeiden Sie das Öffnen oder Anzeigen von Dateien aus nicht vertrauenswürdigen oder unbekannten Quellen.

DRINGLICHKEIT:

Diese Schwachstelle ermöglicht in bestimmten Szenarien, wie z. B. beim Rendern im Vorschaufenster, die Ausführung von Code mit erheblichen Auswirkungen, ohne dass eine Benutzerinteraktion erforderlich ist. Da sie typische Vorsichtsmaßnahmen von Benutzern umgehen kann, ist sie besonders gefährlich bei Phishing-Kampagnen und gezielten Angriffen. Die rasche Bereitstellung von Patches ist entscheidend, um eine Ausnutzung über gängige Dokumenten-Workflows zu verhindern.

CVE-2026-32157 – Sicherheitslücke zur Remote-Codeausführung im Remote-Desktop-Client

„Eine Verbindung zum falschen Server kann schon ausreichen – diese Schwachstelle ermöglicht es Angreifern, eine vertrauenswürdige Remote-Sitzung in eine vollständige Systemübernahme zu verwandeln.“

Diese kritische Schwachstelle im Remote-Desktop-Client wird durch ein „Use-after-free“-Speicherproblem verursacht, das ausgenutzt werden kann, wenn ein Benutzer eine Verbindung zu einem bösartigen oder kompromittierten Remote-Desktop-Server herstellt. Die Schwachstelle ermöglicht es einem Angreifer, über das Netzwerk beliebigen Code auf dem Client-Rechner auszuführen. Obwohl eine Benutzerinteraktion erforderlich ist, nutzt der Angriff vertrauenswürdige Workflows, was ihn in realen Szenarien äußerst effektiv macht.

CVSS-Score: 8,8
SCHWERWIEGUNG: Kritisch
BEDROHUNG : Remote-Codeausführung

EXPLOITS:

Es wurden keine öffentlichen Exploits oder Proof-of-Concept-Code (PoC) gemeldet. Die Schwachstelle ist nicht öffentlich bekannt und wird derzeit als wenig wahrscheinlich einzunutzen eingestuft, obwohl sie ein hohes Potenzial für gezielte Angriffe bietet.

TECHNISCHE ZUSAMMENFASSUNG:

Diese Schwachstelle resultiert aus einer „Use-after-free“-Situation (CWE-416) im Remote-Desktop-Client.

Sicherheitsupdates vom Patch Tuesday im April 2026

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im April 2026.

Der März-Patchday 2026 präsentiert sich auf den ersten Blick etwas ruhiger als der turbulente Vormonat, doch der Schein trügt. Während Microsoft dieses Mal keine aktiv ausgenutzten Sicherheitslücken meldet, stehen IT-Administratoren dennoch vor einer Mammutaufgabe: 79 behobene Schwachstellen, darunter zwei öffentlich bekannte Zero-Day-Lücken und kritische Fehler in der Office-Suite, verlangen nach sofortiger Aufmerksamkeit.

Besonders die Kombination aus KI-Integrationen wie Microsoft Copilot und klassischen Office-Anwendungen rückt in den Fokus der Angreifer. Ein proaktives Schwachstellen-Management ist auch in diesem Monat kein optionaler Luxus, sondern die Basis für die Betriebssicherheit Ihres Unternehmens. In diesem Artikel analysieren wir die wichtigsten Updates und zeigen Ihnen, wo die größten Gefahren lauern.

Die nackten Zahlen: Eine Übersicht des März-Updates

Microsoft hat im März 2026 insgesamt 79 Sicherheitslücken geschlossen. Damit liegt die Anzahl über dem Vormonat (58), bleibt aber leicht unter dem Jahresdurchschnitt.

Verteilung nach Schweregrad

• Kritisch (Critical): 3
• Wichtig (Important): 72
• Moderat (Moderate): 4

Die Verteilung der Kategorien zeigt einen deutlichen Schwerpunkt auf der Ausweitung von Berechtigungen (46 Fälle), gefolgt von Remote-Code-Execution (18 Fälle) und der Offenlegung von Informationen (10 Fälle). Betroffen sind neben Windows 11 und Windows Server auch SQL Server, .NET und intensiv die Microsoft Office-Produkte.

Brennpunkt: Die 2 öffentlich bekannten Zero-Day-Lücken

Auch wenn laut Microsoft derzeit keine aktive Ausnutzung in freier Wildbahn („in the wild“) beobachtet wurde, stellt die öffentliche Bekanntheit dieser Lücken ein erhöhtes Risiko dar. Sobald Details bekannt sind, ist die Entwicklung von Exploits meist nur eine Frage von Stunden.

CVE-2026-21262 – SQL Server Elevation of Privilege Vulnerability

„Fehlerhafte Zugriffskontrollen in Datenbankstrukturen können einfache Benutzer in Administratoren verwandeln und die Integrität des gesamten Datenschatzes gefährden.“

Diese Schwachstelle betrifft den Microsoft SQL Server und ermöglicht es einem bereits authentifizierten Angreifer, seine Berechtigungen über das Netzwerk auf das Niveau eines SQL-Admins anzuheben. Die Lücke wurde durch eine Veröffentlichung über Berechtigungen in gespeicherten Prozeduren bekannt.

CVSS-Score: 7.8 SCHWERWIEGENDHEIT: Wichtig BEDROHUNG: Erhöhung von Berechtigungen

EXPLOITS: Die Details zur Schwachstelle wurden öffentlich dokumentiert. Es gibt jedoch noch keine Berichte über massenhafte Ausnutzung durch Cyberkriminelle.

TECHNISCHE ZUSAMMENFASSUNG: Die Sicherheitslücke resultiert aus einer unzureichenden Prüfung der Zugriffsberechtigungen innerhalb des SQL Servers. Ein Angreifer mit minimalen Rechten kann diese Logikfehler ausnutzen, um administrative Rollen zu übernehmen. Da SQL Server oft das Herzstück der Unternehmensdaten bilden, ist das Schadenspotenzial enorm.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Kompromittierung des SQL-Admins bedeutet den vollen Zugriff auf alle gespeicherten Daten, die Möglichkeit zur Datenmanipulation oder zum Diebstahl sensibler Kundendaten. Dies kann zu massiven Compliance-Verstößen und Betriebsunterbrechungen führen.

CVE-2026-26127 – .NET Denial of Service Vulnerability

„Ein einziger präparierter Lesezugriff kann .NET-Anwendungen in die Knie zwingen und kritische Dienste weltweit zum Stillstand bringen.“

Eine öffentlich bekannte Schwachstelle in .NET ermöglicht es Angreifern, einen Denial-of-Service-Zustand (DoS) herbeizuführen. Durch einen „Out-of-bounds read“ kann die Anwendung zum Absturz gebracht werden.

CVSS-Score: 7.5 SCHWERWIEGENDHEIT: Wichtig BEDROHUNG: Denial of Service

TECHNISCHE ZUSAMMENFASSUNG: Ein Angreifer kann über das Netzwerk speziell geformte Daten an eine .NET-Anwendung senden. Da die Anwendung versucht, außerhalb des zugewiesenen Speicherbereichs zu lesen, kommt es zum Programmabbruch. Da viele Webdienste auf .NET basieren, ist die Reichweite dieser Lücke groß.

Fokus: Office & Copilot – Die neuen Angriffsvektoren

In diesem Monat sollten Administratoren ein besonderes Augenmerk auf Microsoft Office legen. Hier wurden kritische Lücken geschlossen, die besonders heimtückisch sind.

CVE-2026-26144 – Microsoft Excel Information Disclosure Vulnerability

„Wenn die KI zum unfreiwilligen Spion wird: Eine Lücke in Excel erlaubt es dem Copilot, sensible Daten ohne Wissen des Nutzers nach außen zu tragen.“

Diese als kritisch eingestufte Schwachstelle ermöglicht die Offenlegung von Informationen. Das Besondere: Angreifer können den „Copilot Agent Mode“ dazu bringen, Daten über das Netzwerk zu exfiltrieren, ohne dass der Benutzer interagieren muss (Zero-Click).

CVSS-Score: 7.5 SCHWERWIEGENDHEIT: Kritisch BEDROHUNG: Offenlegung von Informationen

DRINGLICHKEIT: Aufgrund des „Zero-Click“-Potenzials und der Integration moderner KI-Funktionen ist dieses Update für alle Unternehmen, die Microsoft 365 nutzen, von höchster Priorität.

CVE-2026-26110 & CVE-2026-26113 – Microsoft Office RCE

Diese beiden Lücken ermöglichen die Ausführung von beliebigem Code (Remote Code Execution). Besonders gefährlich: Die Ausnutzung kann bereits über die Vorschau-Funktion (Preview Pane) in Outlook oder dem Explorer erfolgen. Ein einfaches Betrachten einer Datei reicht somit aus, um das System zu infizieren.

Die Sicherheitsupdates vom Patch Tuesday März 2026

Hören Sie das? Das ist das schrille Pfeifen der Bundesregierung, die im Wald der digitalen Abhängigkeit laut „Souveränität“ ruft, während sie gleichzeitig die Haustürschlüssel der deutschen Sicherheitsarchitektur an einen US-Milliardär übergibt. Es ist ein lächerliches Schauspiel. Einerseits schwafelt die CDU-geführte Regierung unter Kanzler Friedrich Merz von der „Zeitenwende“ und der Notwendigkeit, sich von autokratischen Systemen und der technologischen Vorherrschaft des Silicon Valley zu emanzipieren. Andererseits rollt man für Palantir den roten Teppich aus – ein Unternehmen, dessen DNA so tief mit dem US-Geheimdienstapparat und der MAGA-Bewegung von Donald Trump verwoben ist, dass man sich fragen muss: Ist das Naivität oder nackter Zynismus?

In diesem Artikel zerlegen wir das Kartenhaus der deutschen Digitalpolitik. Wir blicken hinter die Fassade von Gotham und Foundry und analysieren, warum die Bundesregierung sehenden Auges in die totale Abhängigkeit steuert, während sie den Bürgern das Märchen vom Datenschutz erzählt.

1. Wasser predigen, Wein trinken: Die „Souveränitäts“-Heuchelei der CDU

Es ist fast schon amüsant, wenn man es nicht mit seinen eigenen Steuergeldern bezahlen müsste. Die Union schreit bei jeder Gelegenheit nach europäischer Cloud-Infrastruktur und digitaler Eigenständigkeit. Doch wenn es ernst wird, wenn es um die Innere Sicherheit geht, greift man zum bequemsten Werkzeug im Kasten: Palantir.

Der Widerspruch als Prinzip

Warum baut Deutschland keine eigenen Lösungen? Warum investiert man Milliarden in Aufrüstung, aber lässt die digitale Flanke sperrangelweit offen? Die Antwort ist simpel: Bequemlichkeit schlägt Prinzipien. Man will die Macht des „Data Mining“, ohne die Verantwortung für die Entwicklung zu tragen. Dass man sich damit zum digitalen Vasallen Washingtons macht, wird in Berlin geflissentlich ignoriert.

Digitale Souveränität

Was bedeutet „Digitale Souveränität“ eigentlich noch, wenn die Kernprozesse unserer Polizei und Geheimdienste auf proprietärer Software aus den USA laufen? Es ist ein hohler Begriff, eine Worthülse für Sonntagsreden, während man im Hinterzimmer die Verträge mit Peter Thiels Daten-Krake unterschreibt.

2. Peter Thiel und die MAGA-Connection: Ein „Partner“ zum Fürchten

Reden wir Tacheles: Wer Palantir kauft, kauft nicht nur Software. Er kauft die Ideologie seiner Schöpfer. Peter Thiel, der Mann hinter dem Unternehmen, ist kein neutraler Tech-Genie. Er ist einer der wichtigsten Finanziers der Trump-Bewegung und ein erklärter Skeptiker der Demokratie.

Daten für den „Commander-in-Chief“

In einem Szenario, in dem Donald Trump und seine MAGA-Gefolgschaft das Weiße Haus kontrollieren, ist die Vorstellung, deutsche Geheimdienstdaten lägen auf Systemen eines Thiel-Unternehmens, schlichtweg beängstigend. Glaubt in der Bundesregierung wirklich jemand ernsthaft, dass Palantir im Zweifelsfall den deutschen Datenschutz über die Anforderungen der US-Regierung stellen würde?

Die Rolle von Palantir im US-Apparat

Palantir wurde mit Startkapital von In-Q-Tel, dem Investmentarm der CIA, gegründet. Das Unternehmen ist kein „Partner“ der deutschen Regierung – es ist ein integraler Bestandteil des US-Sicherheitskomplexes. Wer hier von Unabhängigkeit spricht, hat entweder keine Ahnung oder lügt sich schamlos in die eigene Tasche.

3. Der CLOUD Act: Das Ende der Illusion vom deutschen Serverstandort

Ein beliebtes Argument der Palantir-Apologeten in den deutschen Innenministerien ist: „Die Daten liegen doch in Frankfurt!“ Ein schönes Märchen, das leider an der harten Realität des US-Rechts zerschellt.

Zugriff per Gesetz

Der U.S. CLOUD Act erlaubt es US-Behörden, Zugriff auf Daten zu verlangen, die von US-Unternehmen kontrolliert werden – völlig egal, wo auf der Welt der Server steht. Ob die Daten in Berlin, Frankfurt oder auf dem Mond liegen, spielt keine Rolle. Wenn Washington pfeift, muss Palantir liefern.

CLOUD Act

Die Bundesregierung ignoriert diesen Fakt beharrlich. Man versteckt sich hinter juristischen Gutachten, die das Papier nicht wert sind, auf dem sie stehen. Die technologische Realität ist: Software-Updates, Fernwartung und die proprietäre Struktur von Gotham erlauben technisch immer einen Abfluss von Metadaten oder sogar Kerninhalten. Ein „Backdoor per Design“ lässt sich bei geschlossener Software niemals ausschließen.

4. Karlsruhe im Rückspiegel: Warum das Verfassungsgericht ignoriert wird

Wir erinnern uns an das Jahr 2023. Das Bundesverfassungsgericht hat der automatisierten Datenanalyse in Hessen und Hamburg eine schallende Ohrfeige verpasst. Die Richter in Karlsruhe machten klar: Massives Data-Mining ohne konkreten Tatverdacht ist mit dem Grundgesetz nicht vereinbar.

Das Prinzip der informationellen Selbstbestimmung

Doch was macht die Bundesregierung unter Merz? Sie baut „Bundes-VeRA“ (Verfahrensübergreifende Recherche- und Analyseplattform) weiter aus. Man versucht, die Urteile mit kosmetischen Änderungen zu umgehen, während der Kern der Überwachungstechnologie von Palantir unberührt bleibt.

Datenschutz

Datenschutz wird hier zum reinen „Compliance-Check“ degradiert. Man hakt Listen ab, anstatt die Bürgerrechte zu schützen. Dass Palantir darauf spezialisiert ist, disparate Datenquellen zu verknüpfen und Profile zu erstellen, die weit über das hinausgehen, was ein menschlicher Ermittler jemals könnte, wird als „Fortschritt“ verkauft. In Wahrheit ist es der langsame Tod der Privatsphäre.

5. Die „Ontology“-Falle: Warum Vendor Lock-in eine nationale Gefahr ist

Eines der mächtigsten Werkzeuge von Palantir ist die sogenannte „Ontology“. Sie bildet die gesamte operative Welt einer Behörde digital ab. Das klingt effizient, ist aber in Wahrheit die perfekte Fessel.

Einmal Palantir, immer Palantir

Wer seine gesamten Datenstrukturen erst einmal in das proprietäre Format von Palantir überführt hat, kommt dort nie wieder heraus. Ein Wechsel zu einem europäischen Anbieter? Technisch nahezu unmöglich und finanziell ein Desaster.

Datenanalyse

Indem die Bundesregierung Palantir tief in die Infrastruktur von BKA und Landespolizeien einsinken lässt, begeht sie einen strategischen Fehler ersten Ranges. Wir machen uns für Jahrzehnte abhängig von den Preisvorstellungen und der technologischen Gnade eines US-Konzerns. Das ist keine Souveränität, das ist digitale Leibeigenschaft.

6. Die Ignoranz der Bundesregierung: Ein gefährliches Spiel

Es ist schwer zu sagen, was schlimmer ist: Die Ignoranz gegenüber den technischen Risiken oder der Verrat an den eigenen politischen Idealen. Während man in Brüssel über den AI Act streitet und ethische KI fordert, implementiert man zu Hause die mächtigste und intransparenteste Analyse-KI der Welt.

US-Geheimdienste

Die Verstrickung mit US-Geheimdiensten wird in Berlin als „notwendiges Übel“ abgetan. Doch in einer Welt, in der die USA zunehmend isolationistisch agieren und ihre Technologie als politisches Druckmittel einsetzen, ist dieses Vertrauen nicht nur naiv, sondern gefährlich.

Fazit: Zeit für eine digitale Umkehr

Palantir ist kein Segen für die deutsche Sicherheit. Es ist ein Symptom für das Versagen einer politischen Elite, die zu faul ist, eigene Kompetenzen aufzubauen, und zu feige, dem „Partner“ USA die Stirn zu bieten. Die CDU-geführte Bundesregierung opfert unsere digitale Souveränität auf dem Altar einer vermeintlichen Effizienz.

Was jetzt passieren muss:

• Sofortiger Stopp des Ausbaus von Palantir-Systemen auf Bundesebene.
• Investition in Open-Source-Alternativen, die unter europäischer Kontrolle stehen.
• Echte Transparenz über die Datenabflüsse und Zugriffsmöglichkeiten durch den CLOUD Act.

Wir dürfen nicht zulassen, dass unsere Sicherheit zum Geschäftsmodell für US-Milliardäre und zum Spielball der MAGA-Politik wird. Es ist Zeit, dass „Digitale Souveränität“ mehr wird als nur ein billiger Slogan in einem Wahlwerbespot.