Exchange-Supportende: BSI schlägt wegen gefährdeten Servern Alarm

Trotz Support-Ende für Exchange Server 2016 und 2019 sind über 30.000 deutsche Server weiterhin mit veralteten Versionen im Einsatz. Das BSI warnt vor erheblichen Sicherheitsrisiken und fordert schnelle Upgrades.

Über 30.000 Exchange-Server ohne Sicherheitsupdates

Besonders problematisch: Viele dieser Server sind mit einem frei über das Internet zugänglichen Outlook Web Access erreichbar. Seit dem 14. Oktober werden keine Sicherheitsupdates mehr für diese Versionen bereitgestellt. Dies bedeutet, dass neu entdeckte Schwachstellen nicht mehr geschlossen werden können.

Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) laufen 92 Prozent der dem BSI bekannten rund 33.000 On-Premise-Exchange-Server mit offen aus dem Internet erreichbarem Outlook Web Access mit Version 2019 und älter. Das BSI hat daher jetzt eine Bedrohungsinformation veröffentlicht und warnt vor den Konsequenzen. Die Bedrohung wird mit der Kritikalität "2/Gelb" beurteilt, dass heißt "Maßnahmen müssen zeitnah ergriffen werden. Temporäre Beeinträchtigungen des Regelbetriebs möglich".

Wer trotz Hinweisen des Herstellers und ausreichender Vorlaufzeit Software einsetzt, die keine Sicherheitsupdates mehr erhält, handelt schlicht fahrlässig.

Breite Betroffenheit in kritischen Bereichen

Die veralteten Systeme finden sich quer durch alle Sektoren der deutschen IT-Landschaft. Neben tausenden Unternehmen sind unter anderem auch eine Vielzahl von Krankenhäusern und Arztpraxen, Schulen und Hochschulen, Sozialdiensten, Anwalts- und Steuerkanzleien, Stadtwerken und Kommunalverwaltungen betroffen. Diese breite Streuung macht die Situation besonders brisant, da kritische Infrastrukturen und sensible Datenbestände gefährdet sind.

Sollte demnächst eine kritische Schwachstelle in Microsoft Exchange bekannt werden - wie es in den letzten Jahren mehrfach der Fall war - kann diese nicht mit einem Sicherheitsupdate geschlossen werden. Die betroffenen ExchangeServer müssen dann ggf. umgehend vom Netz genommen werden, um eine Kompromittierung zu vermeiden. Die Folge wäre eine massive Einschränkung der Kommunikationsfähigkeit der betroffenen Organisationen.

Die Gefahr beschränkt sich nicht nur auf die Mail-Server selbst. Exchange Server stellen typischerweise zentrale Komponenten der IT-Infrastruktur dar. Ein Cyberangriff kann daher das gesamte Netzwerk kompromittieren. Sollten neue Sicherheitslücken entdeckt werden, für die es keine Patches mehr gibt, müssten Administratoren die Server womöglich komplett vom Netz nehmen - mit massiven Ausfällen der internen und externen Kommunikation als Folge.

Upgrade-Optionen verfügbar

Als Lösungsweg empfiehlt das BSI ein Upgrade auf Exchange Server Subscription Edition (SE) oder die Migration auf alternative Lösungen. Exchange Server SE ist seit 1. Juli 2025 allgemein verfügbar und derzeit identisch zu Exchange 2019 CU15. Die Subscription Edition unterliegt der Modern Lifecycle Policy und hat kein festes Support-Ende, solange Konfigurationen aktuell gehalten werden.

Für Exchange 2019-Nutzer ist ein direktes In-Place-Upgrade auf SE möglich. Exchange 2016-Betreiber müssen zunächst auf Exchange 2019 migrieren, bevor sie auf SE wechseln können.

Mit über 30.000 gefährdeten Systemen allein in Deutschland sieht das BSI erheblichen Handlungsbedarf. Was meint ihr - sollten Unternehmen endgültig in die Cloud wechseln oder auf Exchange SE setzen?


Siehe auch: