LONDON (IT BOLTWISE) – In Exchange Server 2019 sorgt eine SSRF-Schwachstelle (CVE-2026-45504, CVSS 8,8) dafür, dass niedrig privilegierte Nutzer potenziell beliebige Dateien auslesen können. Gleichzeitig steigt der Druck durch Business Email Compromise (BEC), bei dem viele KMU wöchentlich betroffen sind. Branchenexperten raten, Abwesenheitsnotizen mit sensiblen Details zu vermeiden und Sicherheitsmaßnahmen zügig umzusetzen. Der Beitrag ordnet die technischen Ursachen, die Microsoft-Fix-Logik und die nötigen Schutzschritte für produktive Umgebungen ein.
Exchange Server 2019 steht erneut im Fokus: Sicherheitsexperten warnen vor einer Server-Side Request Forgery (SSRF)-Schwachstelle, die in der Praxis deutlich mehr als „nur“ eine Lücke im Patch-Management ist. Die als CVE-2026-45504 gelistete Sicherheitsfindung wird mit einem CVSS-Schweregrad von 8,8 bewertet. Das Besondere daran ist das Bedrohungsprofil: Niedrig privilegierte, aber authentifizierte Nutzer sollen dadurch potenziell beliebige Dateien auslesen können. Für Unternehmen heißt das, dass bestehende Annahmen über „vertrauenswürdige interne Konten“ schnell zerbröseln und Incident-Response-Pläne realistisch nachgeschärft werden müssen.
Während Exchange seit Jahren die Backbone-Komponente in vielen Unternehmenskommunikationen bleibt, trifft die aktuelle Risikoanalyse besonders kleine und mittelständische Unternehmen. Laut Branchenberichten sind 79 % der KMU wöchentlich von Business Email Compromise (BEC) betroffen. Der durchschnittliche Schaden wird dabei auf rund 118.000 Euro pro Vorfall beziffert. BEC ist als Angriffsklasse deshalb so gefährlich, weil sie weniger durch technische Brillanz als durch soziale Täuschung wirkt: kompromittierte Konten, glaubwürdige Kommunikationsmuster und vorgetäuschte „dringende“ Zahlungen. Hier entsteht eine gefährliche Wechselwirkung zwischen Schwachstellen im Messaging-Umfeld und der Tatsache, dass Betrüger oft auf genau passende Informationen zielen.
Technisch wird die CVE-2026-45504 offenbar durch Probleme in der OneDrive- und WOPI-Integration begünstigt. WOPI (Web Application Open Platform Interface) wird typischerweise genutzt, um Dokumente in Browser-Workflows zwischen verschiedenen Komponenten auszutauschen. SSRF wirkt in solchen Architekturen meist über eine Kombination aus URL- oder Request-Manipulation und mangelnder Absicherung gegen das Auslesen von internen Ressourcen. Entscheidende Bedeutung haben dabei Rechtekonzepte, Netzrestriktionen und die Frage, welche „Datei“-Abhängigkeiten ein Server im Fehlerfall überhaupt erreichen darf. Unternehmen sollten daher nicht nur den Fix einspielen, sondern auch Logik- und Netzwerkbarrieren umsetzen, die SSRF-Folgen reduzieren.
Ein zweiter Praxishebel liegt in der „harten“ Kommunikation innerhalb des Systems: Abwesenheitsnachrichten (Out-of-Office) sind oft der am wenigsten geprüfte Bereich, obwohl sie Angreifern sehr konkret helfen können. Sicherheitsanalysten raten zu Zurückhaltung, weil detaillierte Abwesenheitsdaten, Namenslisten von Kollegen oder Vertretern sowie Funktionsbezeichnungen gezielt genutzt werden können, um Anfragen wie interne Abstimmungen wirken zu lassen. Ebenso problematisch sind Hinweise auf Zahlungsprozesse oder Rechnungsstrukturen. Wie ein Sicherheitsanalyst in einem aktuellen Interview sinngemäß betont: „Wer in OOO klare Identitäten und Zeitfenster teilt, liefert Betrügern die Stichworte für glaubwürdige BEC-Skripte.“
Für die Konfiguration solcher Antworten ist außerdem entscheidend, wie sich Automatisierung in verschiedenen Outlook-Welten realisieren lässt. In der „New Outlook“-Oberfläche greifen Nutzer über die Kontoeinstellungen auf die Abwesenheitsfunktion zu, während die klassische Desktop-Anwendung entsprechende Optionen im Dateimenü anbietet. Für Outlook im Web wird die Verwaltung über den Bereich „E-Mail“ vorgenommen. Ein häufig übersehenes Detail: Private Konten mit IMAP- oder POP3-Protokollen unterstützen keine nativen automatischen Antworten. In solchen Fällen werden regelbasierte Workarounds benötigt, die in vielen Umgebungen zusätzliche Fehlerflächen erzeugen können. Deshalb sollte man nicht nur „ob“ eine Automatisierung existiert, sondern auch „wie“ sie implementiert ist, auditieren.
Microsoft hat zudem im Umfeld weiterer Client-Funktionen Stabilitäts- und UX-Themen sichtbar adressiert. Berichten zufolge stellte der Konzern Ende Juni einen serverseitigen Fix bereit, nachdem Copilot-Buttons in der klassischen Outlook-Version für bestimmte Lizenzinhaber zeitweise verschwanden. Einige Nutzer mussten die Anwendung neu starten oder aktualisieren, um wieder in den vollen Funktionszustand zu gelangen. Diese Episode wirkt auf den ersten Blick wie ein UI-Thema, ist aber für Unternehmen relevant: Bei produktionsnahen Rollouts müssen Funktionsabgrenzungen, Lizenzzuordnungen und Metriken überwacht werden, sonst entsteht ein indirekter Sicherheits- und Compliance-Risiko, wenn Nutzer Workarounds anstoßen oder dokumentierte Prozesse umgehen. Die KI-Personalisierung zeigt dabei eine Hierarchie: Spezifische E-Mail-Entwurfsanweisungen für Microsoft 365 Copilot sollen Vorrang vor globalen Personalisierungseinstellungen haben.
Der Blick auf „New Outlook“ bringt einen weiteren technischen Punkt, der auch für Sicherheits- und Datenschutzkonzepte zählt: Laut aktuellen Angaben ist eine vollständige PST-Datei-Unterstützung in „New Outlook“ ein wichtiger Meilenstein. Import, Export und Suche archivierter Daten sollen nun möglich sein, allerdings nur in Verbindung mit einer klassischen Outlook-Installation. Das ist mehr als Komfort: PST-Dateien sind lokal verwaltete Container und damit ein klassisches Risiko für Datenabfluss, unzureichende Verschlüsselung oder fehlerhafte Berechtigungen, falls sie auf Endgeräten unsauber gespeichert oder geteilt werden. In einer Enterprise-Umgebung müssen deshalb Zugriffskontrollen, DLP-Regeln und Vorgaben zur Aufbewahrung (Retention) überprüft werden, gerade wenn KI-Funktionen auf Inhalte zugreifen oder diese im Rahmen von Workflows verarbeiten.
Beim Ausblick sollte man das Gesamtbild zusammensetzen: Exchange-spezifische SSRF-Risiken, ein realer BEC-Wellenlauf und zusätzliche Stabilitätsänderungen durch Client- und KI-Integrationen. Ein belastbarer Schutz entsteht meist aus der Kombination mehrerer Maßnahmen: Patchen der SSRF-Schwachstelle, klare Prozesse für Abwesenheitsnotizen, sowie technische Einschränkungen, die SSRF-Auswirkungen begrenzen (z. B. restriktive Netzpfade, konsequente Least-Privilege-Modelle, Monitoring abnormaler Zugriffe). Gleichzeitig empfehlen Experten, dringende Anfragen zur Zahlungsdurchführung telefonisch zu verifizieren und allgemeine Kontaktinformationen zu nutzen, statt personenbezogene Details in OOO zu hinterlegen. Für die nächsten Quartale dürfte der Trend klar sein: Unternehmen investieren stärker in Security-by-Design für Messaging-Stacks, während Regulatorik und Datenschutzvorgaben wie DSGVO-nahe Anforderungen an Datenminimierung und Protokollierung in der Praxis stärker in Konfigurationsentscheidungen einfließen. Als Wettbewerberblick lohnt sich außerdem, die Sicherheits- und Admin-Konzepte in anderen Collaboration-Plattformen wie Google Workspace im Auge zu behalten, weil Nutzer und Angreifer zunehmend plattformübergreifend agieren und Sicherheitsmodelle dadurch vergleichbarer werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Exchange Server 2019: SSRF-Lücke und BEC-Risiko erhöhen den Handlungsdruck" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Exchange Server 2019: SSRF-Lücke und BEC-Risiko erhöhen den Handlungsdruck" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Exchange Server 2019: SSRF-Lücke und BEC-Risiko erhöhen den Handlungsdruck« bei Google Deutschland suchen, bei Bing oder Google News!