Exchange Server im eigenen Haus: 17 belegt ausgenutzte Lücken, seit Oktober 2025 ohne Support

Der CISA-Katalog nachweislich ausgenutzter Schwachstellen führt für Exchange Server 17 Einträge, und 13 davon tragen den Vermerk für bekannte Ransomware-Nutzung. Der jüngste Eintrag kam am 13. April 2026 dazu. Für Exchange Server 2016 und 2019 gibt es seit dem 14. Oktober 2025 keine öffentlichen Sicherheitsupdates mehr. Beides gilt gleichzeitig, und genau darin besteht das Problem.

Was tatsächlich in der Liste steht

Der CISA-KEV-Katalog stellt eine Aufnahmebedingung, die keine andere Liste stellt: Die Ausnutzung muss beobachtet sein, nicht denkbar. Stand 19.08.2026 betreffen 17 seiner Einträge Exchange Server. Fünf davon tragen einen CVSS-Wert von 9,8. Elf gelten als „hoch“. Einer gilt als „mittel“ — und ausgerechnet der trägt den Ransomware-Vermerk ebenfalls.

Der jüngste CVE-Jahrgang in dieser Tabelle ist 2024, und das liest sich schnell als „Geschichte“. Ist es nicht. Der zuletzt aufgenommene Eintrag — am 13. April 2026 — betrifft eine Lücke aus 2023. CISA hatte den Ausnutzungsbeleg erst 2026. Alte Löcher hören nicht auf, benutzt zu werden; es wird nur nicht mehr darüber geredet.

Warum ausgerechnet dieser Server

Ein Exchange-Server steht selten am Rand. Er authentifiziert gegen das Verzeichnis, er hält Zugangsdaten, und er ist in aller Regel von außen erreichbar, weil ein Mailserver genau dafür da ist. Das BSI schrieb am 28. Oktober 2025, ein erfolgreicher Angriff auf einen solchen Server könne zur vollständigen Kompromittierung des Netzwerks führen — und dass beim Bekanntwerden einer neuen Schwachstelle in einer nicht mehr unterstützten Version in der Regel nur noch die Abschaltung der Anwendung bleibe, um den Rest zu schützen.

In derselben Mitteilung nennt das BSI eine Zahl: über 30.000 Exchange-Server in Deutschland liefen weiterhin mit Version 2016, 2019 oder älter und mit einem offen über das Internet erreichbaren Outlook Web Access — in Unternehmen, Krankenhäusern, Schulen, Stadtwerken und Kommunen. Der Vizepräsident des BSI nannte es „schlicht fahrlässig“, trotz Hinweisen des Herstellers und ausreichender Vorlaufzeit Software einzusetzen, die keine Sicherheitsupdates mehr erhält.

Was am 14. Oktober 2025 endete

Exchange Server 2016 und Exchange Server 2019 folgen beide Microsofts fester Lifecycle-Richtlinie und erreichten an diesem Tag das Ende des erweiterten Supports. Microsofts Ankündigung von diesem Tag zählt auf, was wegfällt: Fehlerbehebungen, Sicherheitskorrekturen, Zeitzonen-Updates. Die Server laufen weiter. Auf ihnen ändert sich nichts. Genau deshalb rutscht dieses Datum in so vielen Umgebungen durch.

Es gibt eine bezahlte Brücke, und ihre Vorgeschichte gehört dazu. Im Mai 2024 schrieb Microsoft ausdrücklich, es werde für keine der beiden Versionen verlängerten Support oder Extended Security Updates geben. Im Juli 2025 kündigte Microsoft dann doch ein ESU-Programm an: sechs Monate, Oktober 2025 bis 14. April 2026, ausdrücklich ohne Verlängerung. Am 15. April 2026 kam eine zweite Periode von Mai bis Ende Oktober 2026 — mit dem Satz, danach werde es keine weitere Verlängerung dieses Programms geben.

Drei Bedingungen entscheiden, ob dieses Programm für dich überhaupt in Frage kommt. Periode 2 richtet sich an Kunden mit einem Microsoft Enterprise Agreement und muss auch von denen neu gekauft werden, die Periode 1 bereits hatten. Die Updates werden nur privat an eingetragene Kunden ausgeliefert — seit Oktober 2025 erscheinen Sicherheitsupdates für Exchange 2016 und 2019 nicht mehr im öffentlichen Download Center und nicht über Windows Update. Und Microsoft sagt nicht zu, während der Periode überhaupt Updates zu veröffentlichen.

Drei Wege, wenn die Cloud nicht in Frage kommt

Weg eins: Exchange Server SE. Das ist der einzige Weg, auf dem Exchange selbst unterstützt bleibt. Erschienen am 1. Juli 2025, läuft unter der Modern-Lifecycle-Richtlinie und hat damit gar kein veröffentlichtes Ablaufdatum — von den elf Support-Zyklen, die patchletter für Exchange Server führt, sind zehn abgelaufen und dieser ist der eine, der es nicht ist. Von Exchange 2019 CU15 aus ist es ein In-Place-Upgrade, das Microsoft als identisch zur Installation eines Cumulative Update beschreibt. Von Exchange 2016 aus gibt es diese Abkürzung nicht: Dort steht ein Seite-an-Seite-Umzug auf neue Infrastruktur an. Der Stolperstein ist die Lizenz — SE verwendet dasselbe Modell wie SharePoint Server Subscription Edition und verlangt Subskriptionslizenzen oder Lizenzen mit aktiver Software Assurance, und zwar für Server- und Benutzerlizenzen. Ausnahme bleibt die kostenlose Hybrid-Serverlizenz über den Hybrid Configuration Wizard.

Weg zwei: Zeit kaufen, mit fester Wand. Das ESU-Programm deckt genau Exchange 2016 CU23 sowie Exchange 2019 CU14 oder CU15 ab, und Periode 2 endet mit dem Oktober 2026. Das ist keine Strategie, das ist eine Restlaufzeit — und ihr Ende steht veröffentlicht fest. Wer diesen Weg geht, braucht den Plan für die Zeit danach, bevor er kauft, nicht danach. Microsoft selbst schreibt zu beiden Perioden, es sei ihm lieber, die Kunden würden ihre Migration abschließen, statt die Verlängerung zu kaufen.

Weg drei: Exchange verlassen. Groupware im eigenen Haus endet nicht mit Exchange. grommunio etwa bezeichnet sich als nativen Exchange-Ersatz aus Europa und gibt Kompatibilität zu MAPI/HTTP, EWS und ActiveSync an — das ist die Angabe des Herstellers, und sie gehört gegen die eigenen Clients und Add-ins getestet, nicht geglaubt. Zur Ehrlichkeit gehört die Größenordnung: Das ist ein größeres Projekt als der SE-Umstieg, kein kleineres, und es verschiebt das Lifecycle-Problem zu einem anderen Hersteller, statt es abzuschaffen.

Was auf jedem der drei Wege gilt

Vor allem anderen herausfinden, was tatsächlich läuft — einschließlich Sicherheitsupdate, nicht nur des Cumulative Update. In der Exchange Management Shell:

Get-Command Exsetup.exe | ForEach-Object {$_.FileVersionInfo}

Die Gewohnheit Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion ist hier die Falle: Microsofts Dokumentation weist ausdrücklich darauf hin, dass diese Ausgabe das Cumulative Update zeigt, das installierte Sicherheitsupdate aber nicht. Ein Server kann darin aktuell aussehen und in Wahrheit Monate zurückliegen.

Drei Dinge gelten danach unabhängig vom gewählten Weg:

• Microsofts Exchange Health Checker laufen lassen. Er meldet Build, erkannte Hotfixes und Konfigurationslücken in einem Durchlauf.
• Extended Protection prüfen. Ab Exchange 2019 CU14 und in SE ist es standardmäßig eingeschaltet; für ältere Stände liefert Microsoft ein Skript mit. Es mildert Authentifizierungs-Relay- und Man-in-the-Middle-Angriffe ab und verträgt sich nicht mit SSL-Offloading am Load Balancer — das sollte man vorher wissen, nicht hinterher.
• OWA und ECP aus dem offenen Internet nehmen. Die 30.000 des BSI wurden genau deshalb gezählt, weil ihr Outlook Web Access von außen antwortete.

Die ehrliche Einschränkung

Die 17 Einträge sind eine Untergrenze, keine Obergrenze. KEV verzeichnet Ausnutzung, die jemand beobachtet und dokumentiert hat; eine Lücke, die still benutzt wird, steht dort noch nicht. Und die Liste sagt auch nicht, welche der 17 auf deinen konkreten Stand zutreffen — das hängt an Version und Konfiguration und beantwortet nur die eigene Inventur.

Die BSI-Zahl trägt dieselbe Unsicherheit in die andere Richtung. Sie wurde von außen gezählt, und von außen sehen ein ESU-Kunde und ein aufgegebener Server gleich aus. Ein Teil dieser 30.000 wird unter Vertrag gepatcht. Welcher, sieht man von draußen nicht.

Auf jedem der drei Wege bleibt dieselbe Mechanik: Es erscheint etwas, und du musst es mitbekommen. Exchange Server SE hat seit dem RTM-Stand vom 1. Juli 2025 bis zum 11. August 2026 neun weitere Updates bekommen — in unregelmäßigen Abständen und bis dahin ohne ein einziges Cumulative Update in Microsofts Build-Tabelle. patchletter mailt dir, sobald ein neuer Exchange-Stand erscheint; anhaken auf der Produktseite zu Exchange Server. Kostenlos, ohne Konto, Abmeldung mit einem Klick. Den aktuellen Ausnutzungsstand zeigt die CVE-Seite.

patchletter-Zahlen aus dem eigenen Bestand, Stand: 19.08.2026 — 17 KEV-Einträge für Exchange Server, davon 13 mit Ransomware-Vermerk, jüngste Aufnahme 13.04.2026; 11 erfasste Support-Zyklen, davon 10 abgelaufen. Schweregrade aus der NVD, Ausnutzungsbeleg und Ransomware-Vermerk von CISA. Lifecycle-Daten, ESU-Bedingungen, Build-Nummern und Extended Protection aus Microsoft Learn und dem Exchange-Team-Blog; Serverzahl und zitierte Bewertung aus der BSI-Pressemitteilung vom 28.10.2025. Alle externen Quellen abgerufen am 19.08.2026.