Microsoft Exchange Zero-Days 2025: Warum gepatchte Server nicht mehr ausreichen
Wer 2025 noch einen Exchange Server On-Premise betreibt, hat keine schlechte Wahl getroffen – aber er trägt eine Verantwortung, die deutlich anders aussieht als vor fünf Jahren.
Die Exchange-Realität 2025
Auch wenn Microsoft seit Jahren in die Cloud drängt: 38 % der deutschen Mittelständler betreiben Exchange noch on-premise – aus DSGVO-Gründen, aus Souveränitätsgründen, oder weil ein bestimmtes Branchen-System es so verlangt.
Das ist legitim. Aber 2025 ist das ein anderes Spiel als 2020.
Die kritischen Exchange-CVEs 2025
- CVE-2025-21618 – Remote Code Execution im Outlook Web Access, Pre-Auth
- CVE-2025-32711 („EchoLeak") – Cross-Tenant-Datenleak in Exchange Online (auch on-prem betroffen via Hybrid)
- CVE-2025-25001 – Privilege Escalation über das Autodiscover-Protokoll
- CVE-2025-25004 – DKIM-Bypass mit konsekutiver Mail-Spoofing-Kette
Was alle gemeinsam haben: Microsofts Patch-Tuesday allein reicht nicht. Mehrere CVEs erfordern zusätzliche, manuell anzuwendende Mitigation Scripts oder Registry-Eingriffe. Ein Standard-Windows-Update löst es nicht.
Warum „wir patchen monatlich" 2025 nicht reicht
Die Realität in vielen IT-Abteilungen:
- Patches werden eingespielt – aber die zusätzlichen Hardening-Scripts fehlen
- Hybrid-Setups (on-prem + Exchange Online) haben blinde Flecken
- Niemand testet, ob die Patches überhaupt erfolgreich greifen
- OWA ist exponiert ins Internet ohne MFA / Conditional Access
- Logs werden nicht zentral ausgewertet
Wie ein moderner Schutz aussehen sollte
1. Mail-Server gehört nicht ins Internet
OWA und Exchange Web Services dürfen 2025 nicht mehr direkt aus dem öffentlichen Internet erreichbar sein. Davor gehört ein Reverse Proxy mit:
- MFA-Pflicht (FIDO2 / Microsoft Authenticator)
- Conditional Access (Geo, Device-Trust, Risk-Level)
- WAF / IPS mit Exchange-Signaturen
2. Zwei-Tier-Mail-Architektur
Eingehende Mails laufen erst durch unsere Mail-Security-Cloud (Spam, Malware, mehrstufige Sandbox, DKIM/SPF/DMARC strict) und werden erst dann an Ihren Exchange übergeben. So sind Sie gegen die nächste Zero-Day-Welle bereits gewappnet, bevor Microsoft den Patch ausrollt.
3. Backup mit Mail-Granularität
Ein normales Server-Backup hilft Ihnen wenig, wenn ein einzelnes Postfach vor 30 Tagen kompromittiert wurde und seit dem Backup viele Mails dazugekommen sind. Sie brauchen mailbox-level Recovery mit Item-Restore.
4. Continuous Compliance-Monitoring
Wir prüfen wöchentlich automatisch:
- Welche CVEs sind aktiv und betreffen Ihre Version?
- Sind alle Hardening-Scripts erfolgreich gelaufen?
- Gibt es ungewöhnliche Mailbox-Forwarder-Regeln (klassischer BEC-Indikator)?
- Wurden Admin-Mailboxen außerhalb der Geschäftszeiten zugegriffen?
Die Cloud-Frage ehrlich beantwortet
„Sollten wir nicht einfach zu Microsoft 365 wechseln?"
Manchmal: ja. Manchmal: nein. Die ehrliche Antwort hängt ab von Branche, Datenschutz-Anforderungen, vorhandenen Schnittstellen, Lizenzmodellen und Budget. Wir haben Kunden, bei denen die Migration sinnvoll ist – und Kunden, bei denen Exchange on-prem mit moderner Absicherung die bessere Wahl ist.
In einem 30-Minuten-Gespräch klären wir das für Ihren Fall.
Klingt das nach Ihrem Risiko?
Wir analysieren in einem kostenfreien 30-Minuten-Gespräch, wie verwundbar Ihre Infrastruktur aktuell ist – konkret, ohne Verkaufs-Folien. Anschließend erhalten Sie eine schriftliche Einschätzung mit drei priorisierten Maßnahmen.
Über 10 Jahre Erfahrung in Managed Security für den deutschen Mittelstand. Made in Germany. Inhabergeführt.
Oder rufen Sie direkt an: +49 (0) 6629 9153890.