BSI: Fahrlässige Admins gefährden zehntausende Exchange-Server

Das BSI warnt aktuell mit Nachdruck vor katastrophalen Zuständen vieler deutscher Exchange-Server. Fast 40 Prozent der Server sind demnach "stark gefährdet". Der Grund? Schlampige Administratoren, die es besser wissen müssten.

"Geschäftskritische Bedrohungslage", viele schauen weg

Exchange ist hierzulande in zehntausenden Betrieben, aber auch in Bildungseinrichtungen, Krankenhäusern und Behörden im Einsatz. In einer weitreichenden Untersuchung zählt das Bundesamt für Sicherheit in der Informationstechnik BSI rund 45.000 Microsoft-Exchange-Server in Deutschland, die derzeit über Outlook Web Access (OWA) ohne Beschränkungen aus dem Internet erreichbar sind.

Zwölf Prozent dieser Server werden demnach mit so veralteten Exchange-Versionen betrieben, dass für diese keine Sicherheitsupdates mehr bereitstehen. Auf 25 Prozent sind zwar die aktuellen Exchange-Varianten 2016 und 2019 im Einsatz, doch fehlen wichtige Sicherheitspatches.


"Damit sind mindestens 37 Prozent aller offen aus dem Internet erreichbaren Microsoft-Exchange-Server verwundbar", so das BSI. Das entspricht laut den Sicherheitsexperten rund 17.000 Systemen in Deutschland. Das Amt schätzt die Dunkelziffer aber noch deutlich höher ein.

"Dass es in Deutschland von einer derart relevanten Software zigtausende angreifbare Installationen gibt, darf nicht passieren. Unternehmen, Organisationen und Behörden gefährden ohne Not ihre IT-Systeme (...)", so Claudia Plattner, Präsidentin des Amtes.

Betreiber müssen handeln

Verantwortlich für diese Lage sind aus Sicht des BSI klar die "Betreiber der Instanzen", die veraltetet Exchange-Versionen einsetzen, verfügbare Sicherheitsupdates nicht einzuspielen und die Instanzen unzureichend konfigurieren.

Zu diesen systemkritischen Konfigurationen zählt laut der offiziellen Exchange-Warnung des BSI demnach aktuell die Aktivierung der "Extended Protection for Authentication", wichtig für den Schutz gegen die kritische Sicherheitslücke CVE-2024-21410.

Die derzeit aktuellen Versionen von Exchange sind:

Siehe auch: