BSI warnt: 81 Prozent deutscher Exchange-Server offen für Angreifer

Veraltet, ungepatcht und hochriskant: Microsoft Exchange Server laufen hierzulande massenhaft ohne jeglichen Support weiter. Die Migration auf die neue Edition stockt gewaltig, während Angreifer laut BSI bei den offenen Systemen leichtes Spiel haben.

Exchange-Support-Aus: Bilanz des Zögerns

Wie das CERT-Bund mitteilt, bleibt die Lage angespannt. Der Anteil der auf Exchange SE aktualisierten Server stieg seit Oktober von acht auf 19 Prozent. Umgekehrt laufen damit weiterhin 81 Prozent der aus dem Internet erreichbaren Exchange-Server in Deutschland mit Versionen ohne Herstellersupport.

Obwohl der Support für Microsoft Exchange Server 2016 und 2019 im Oktober 2025 endete, sind also in Deutschland weiterhin zehntausende Systeme ohne Sicherheitsupdates im Einsatz. Mehr als drei Monate nach dem Stichtag betreiben Unternehmen und Behörden die veraltete Software weiter.


Neu entdeckte Schwachstellen werden in diesen Versionen nicht mehr geschlossen, was das Risiko erfolgreicher Angriffe erhöht.

Der Umstieg gestaltet sich schwierig. Die einzige von Microsoft unterstützte On-Premises-Variante ist die "Exchange Server Subscription Edition" (SE). Die Migration erfordert oft zusätzliche Upgrades des zugrunde liegenden Windows Servers. Zudem stößt das abonnementbasierte Lizenzmodell, das unbefristete Lizenzen ablöst, in vielen Organisationen auf Zurückhaltung bei der Budgetfreigabe.

Träge Migration zur Subscription Edition

Nach Angaben des CERT-Bund entfallen rund 40 Prozent der Installationen weiterhin auf Exchange 2019 und etwa 35 Prozent auf Exchange 2016. Die deutlich älteren Versionen 2010 und 2013 machen zusammen noch rund sechs Prozent aus. Die Zahlen deuten auf einen erheblichen Investitionsstau hin.

Bereits im Oktober 2025 hatte das BSI vor mehr als 30.000 Servern mit offenem Outlook Web Access gewarnt. BSI-Vizepräsident Thomas Caspers bezeichnete den Weiterbetrieb veralteter Software trotz langer Vorlaufzeit schon damals als "schlicht fahrlässig", doch die offiziellen Warnungen haben bisher so gut wie nichts bewirkt.

Risiken für Kritische Infrastrukturen

Exchange-Server sind häufig tief in Unternehmensnetze eingebunden und verfügen über weitreichende Rechte im Active Directory. Eine Kompromittierung kann zur vollständigen Übernahme der Domäne führen. Mit Blick auf die seit 2024 verschärften Vorgaben der NIS-2-Richtlinie drohen Verantwortlichen zudem Bußgelder, wenn veraltete Systeme ohne angemessene Schutzmaßnahmen betrieben werden.

Betroffen sind nicht nur Unternehmen, sondern auch Betreiber Kritischer Infrastrukturen. Nach Angaben des BSI finden sich unter den Betreibern unsicherer Exchange-Server auch Krankenhäuser, Schulen, Stadtwerke und Kommunen. Da Angreifer gezielt nach ungepatchten Systemen suchen, bleibt die Gefahr von Ransomware-Angriffen und Datendiebstahl hoch. Zwar steigt die Migrationsquote langsam, die Zahl verwundbarer Systeme ist jedoch weiterhin erheblich.

Habt ihr die Migration auf die Subscription Edition schon hinter euch oder setzt euer Unternehmen auf Alternativen? Schreibt uns eure Erfahrungen und Meinungen gerne in die Kommentare.


Siehe auch: