Mobile-Menu

Ende des Herstellersupports erhöht Risiko für Cyberangriffe Zehntausende Exchange-Server ohne Schutz in Deutschland

Quelle: Pressemitteilung BSI 2 min Lesedauer

Anbieter zum Thema

Bundesamt für Sicherheit i.d.Informationstechnik
sysob IT-Distribution GmbH & Co. KG
FAST LTA GmbH
FTAPI Software GmbH

Nach dem Support-Ende für Microsoft Exchange 2016 und 2019 stehen mehr als 30.000 öffentlich erreichbare Installationen ohne Sicherheitsupdates da. Laut BSI bedeutet das gravierende Folgen für viele Einrichtungen.

Laut BSI sind weiterhin tausende Exchange-Server in Deutschland frei aus dem Internet erreichbar und laufen mit veralteten Versionen.(Bild: © Pakin - stock.adobe.com)
Laut BSI sind weiterhin tausende Exchange-Server in Deutschland frei aus dem Internet erreichbar und laufen mit veralteten Versionen.
(Bild: © Pakin - stock.adobe.com)

Seit dem 14. Oktober 2025 liefert Microsoft keine Sicherheitsupdates mehr für „Exchange Server 2016“ und „Exchange Server 2019“. Trotz dieser absehbaren Frist nutzt ein Großteil der rund 33.000 bekannten On-Premises-Installationen in Deutschland weiterhin diese oder noch ältere Versionen. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) sind über 92 Prozent davon mit einem offen erreichbaren „Outlook Web Access“ angebunden.

Betroffen sind Organisationen aus nahezu allen Bereichen, etwa Krankenhäuser, Stadtwerke, Kommunalverwaltungen, Arztpraxen oder Unternehmen aller Größen.

BSI warnt vor dauerhafter Verwundbarkeit

Ohne laufende Sicherheitsupdates bleiben neu entdeckte Schwachstellen ungepatcht. Das BSI bewertet die Lage mit Kritikalität Gelb und weist darauf hin, dass Betreiber ihre Systeme nicht zeitnah absichern können. Ein erfolgreicher Angriff auf Exchange wirkt sich wegen häufig flacher Netzwerkstrukturen schnell auf ganze IT-Umgebungen aus; Ransomware-Verschlüsselungen, Datenabflüsse und langandauernde Betriebsunterbrechungen sind typische Folgen.

Da auf Exchange personenbezogene Daten verarbeitet werden, verstößt der Weiterbetrieb veralteter Versionen zudem gegen Vorgaben der Datenschutz-Grundverordnung.

Auswirkungen auf Betrieb und Kommunikation

Fällt eine kritische Schwachstelle an, könnte nur die sofortige Abschaltung der Systeme das Umfeld noch schützen. Für viele betroffene Organisationen würde das erhebliche Einschränkungen ihrer Kommunikationsfähigkeit bedeuten, und zwar inklusive E-Mail, Kalender und internen Workflows.

Thomas Caspers, Vizepräsident des BSI, verdeutlicht die Dringlichkeit: Wer Software ohne aktiven Support betreibt, setze sensible Daten vermeidbaren Risiken aus. Verantwortliche müssten unmittelbar handeln, um weitere Kompromittierungen zu verhindern.

Welche Optionen haben betroffene Betreiber?

Microsoft bietet bis April 2026 ein kostenpflichtiges „Extended Security Update“ Programm an. Dieses überbrückt höchstens sechs Monate und verschafft nur begrenzte Zeit für strukturelle Maßnahmen. Das BSI empfiehlt daher, möglichst zeitnah auf „Exchange Server SE“ oder alternative Lösungen zu migrieren.

Zusätzlich mahnt die Behörde, Outlook Web Access nicht offen aus dem Internet verfügbar zu halten. Der Zugriff sollte auf vertrauenswürdige IP-Adressen beschränkt oder über ein VPN abgesichert werden. Weitere Hinweise zur Absicherung von E-Mail-Systemen stellt das BSI im IT-Grundschutz bereit.

(ID:50611707)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte