Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine dringende Cybersicherheitswarnung herausgegeben: Nach dem offiziellen Supportende für ältere Versionen von Microsoft Exchange bleiben zehntausende Server in Deutschland kritisch verwundbar. Die Behörde schlägt Alarm, da sich ein Großteil der deutschen Exchange-Landschaft in einer gefährlichen Grauzone befindet – ohne garantierten Schutz vor neuen Schwachstellen.
Eine tickende Zeitbombe in deutschen Netzen
Laut Analyse des BSI laufen in Deutschland rund 92 Prozent der etwa 33.000 bekannten Exchange-Server weiterhin auf den veralteten Versionen 2016 und 2019. Mit dem Supportende erhalten diese Systeme keine regulären Sicherheitsupdates mehr. Das bedeutet: Sollte eine neue, kritische Lücke entdeckt werden, bleiben diese Server ungeschützt.
Die Lage ist besonders brisant, da viele dieser Systeme mit öffentlich erreichbarem Outlook Web Access (OWA) betrieben werden. Damit sind sie direkt über das Internet angreifbar. Betroffen von dieser Verwundbarkeit sind nicht nur klassische Unternehmen, sondern auch kritische Infrastrukturen und öffentliche Einrichtungen wie Krankenhäuser, Schulen, Kommunalverwaltungen, Kanzleien und Stadtwerke.
Das BSI stuft die Bedrohungslage mit der Kritikalität 2 (Gelb) ein. Diese Einstufung spiegelt das hohe Risiko wider. Im Falle einer Zero-Day-Schwachstelle müssten betroffene Server sofort und ungeplant vom Netz genommen werden, um eine Kompromittierung zu verhindern.
Die Folgen: Ransomware, Datenabfluss und DSGVO-Verstöße
Die potenziellen Auswirkungen einer erfolgreichen Attacke auf einen ungeschützten Exchange-Server sind gravierend. Da E-Mail-Systeme oft tief in die Unternehmensnetzwerke integriert sind, kann ein Verlust des Servers durch unzureichende Netzsegmentierung schnell zur vollständigen Übernahme des gesamten Unternehmensnetzwerks führen.
Die Konsequenzen reichen von einem sofortigen Produktionsstillstand über den Einsatz von Ransomware bis hin zum unkontrollierten Datenabfluss sensibler Kunden- und Mitarbeiterdaten. Letzteres zieht nicht nur massive Reputationsschäden nach sich, sondern kann auch schwere DSGVO-Verstöße und damit hohe Bußgelder zur Folge haben.
Übergangslösung ist kein Ersatz für eine Migration
Microsoft bietet zwar ein kostenpflichtiges „Extended Security Update-Programm“ (ESU) bis April 2026 an, um kritische Lücken vorübergehend zu schließen. Das BSI warnt jedoch eindringlich: Dies ist lediglich eine kurzfristige Überbrückung. Die ESU-Option ersetzt keinesfalls den notwendigen Umstieg auf die aktuellste Exchange Server SE Version oder eine Migration zu einer alternativen Plattform.
Zusätzlich rät das BSI den Betreibern, den frei zugänglichen Outlook Web Access (OWA) sofort abzusichern. Der Zugriff sollte auf vertrauenswürdige IP-Adressen beschränkt oder zwingend über ein VPN erfolgen, um die direkte Angriffsfläche aus dem Internet zu minimieren
Sie haben nach wie vor keinen richtigen Plan? Sie sind nicht alleine, wir helfen gerne
Angesichts der kritischen BSI-Warnung ist schnelles Handeln unerlässlich. Wir unterstützen Sie dabei, diese Risiken proaktiv zu eliminieren
- Erstberatung: kostenfrei und immer individuell
- Health Check & Risikoanalyse: Wir prüfen den aktuellen Zustand Ihrer Exchange-Umgebung, identifizieren Schwachstellen und liefern Ihnen eine fundierte Entscheidungsgrundlage.
- Migration: Unser erfahrenes Team übernimmt die vollständige und sichere Migration auf eine aktuelle Exchange-Version oder eine alternative Plattform, um Ausfälle und Datenverlust zu vermeiden.
Wenn Sie sich ganz unsicher sind:
In unserem kostenfreien Webinar „Alternative zu Microsoft? So lösen Sie Ihre Exchange-Kopfschmerzen“ am 20. November 2025 um 10 Uhr helfen wir Ihnen, in der aktuellen Situation den kühlen Kopf zu bewahren und versorgen Sie mit den aktuellen Informationen zu diesem Thema inklusive passende Alternativen.
Lassen Sie uns heute über Ihre IT-Sicherheit sprechen, bevor morgen der Ernstfall eintritt: