Microsoft-Sicherheitslücke: Gefahr nach wie vor nicht gebannt
01. August 2025
Die vor zwei Wochen bekannt gewordene Sicherheitslücke in Microsofts SharePoint-Software bleibt eine akute Bedrohung – auch wenn der Konzern reagiert hat. Angreifer konnten bereits weitreichenden Zugriff auf Systeme gewinnen. Vor allem der deutsche Mittelstand sollte das Risiko nicht unterschätzen. Wer selbst betriebene Server nutzt, muss Updates zügig einspielen – oder alternative Schutzmaßnahmen ergreifen.
Angriffsziel SharePoint
Microsofts Plattform SharePoint, die weltweit von Unternehmen, Behörden und Bildungseinrichtungen zur gemeinsamen Arbeit an Dokumenten genutzt wird, steht erneut im Fokus von Cyberangriffen. Eine schwerwiegende Schwachstelle hat Angreifenden über Wochen den Zugang zu sensiblen Systemen ermöglicht.
Der Hintergrund: Mitte Juli 2025 wurde bekannt, dass Unbekannte eine Sicherheitslücke in selbst betriebenen SharePoint-Servern ausnutzen. Die Angreifer konnten dabei über sogenannte „Spoofing“-Techniken ihre Identität verschleiern. So täuschten sie vor, autorisierte Nutzer*innen zu sein – mit weitreichenden Folgen für betroffene Organisationen.
Deutschland besonders betroffen
Laut Daten der Shadowserver Foundation waren weltweit mehr als 1000 SharePoint-Server anfällig für die Schwachstelle. Allein in Deutschland blieben 104 Systeme über Tage ungeschützt im Netz – und damit offen für Angriffe.
Eine Analyse des niederländischen Cybersecurity-Dienstleisters Eye Security zeigt: Deutschland liegt weltweit auf Platz 3 bei bestätigten Vorfällen. Nur in den USA und auf Mauritius gab es mehr Angriffe. Von insgesamt 396 infizierten Servern entfallen 42 auf Unternehmen mit Sitz oder Geschäftsbetrieb in Deutschland.
Auch Behörden und Hochschulen gehören zu den Betroffenen. Eye Security warnt, dass sich Angreifende nicht zufällig ein Ziel aussuchen: „Diese Kampagne war weder zufällig noch opportunistisch. Die Angreifer wussten genau, wonach sie suchten“, so Lodi Hensen, VP Security Operations bei Eye Security.
Schwachstelle bereits geschlossen – aber Angriff läuft weiter
Zwar hat Microsoft ein Sicherheitsupdate bereitgestellt. Doch nicht alle Unternehmen haben es rechtzeitig installiert. Einige Server blieben offen – andere wurden bereits vorher kompromittiert.
Einmal im System, können die Angreifenden etwa Passwörter stehlen oder sogenannte digitale Schlüssel kopieren. Damit lassen sich Systeme auch nachträglich wieder betreten – selbst dann, wenn die eigentliche Sicherheitslücke geschlossen wurde.
Besonders gefährlich ist, dass inzwischen auch kriminelle Gruppen aktiv sind. Sie nutzen die kompromittierten Zugänge, um gezielt Ransomware-Angriffe vorzubereiten. Dabei verschlüsseln sie Dateien und fordern Lösegeld.
Der Mittelstand im Visier
Die aktuellen Angriffe betreffen längst nicht nur Großunternehmen oder staatliche Stellen. Eye Security sieht vor allem den europäischen Mittelstand in Gefahr.
Viele kleinere Firmen betreiben SharePoint-Server noch selbst – also lokal im eigenen Rechenzentrum („On-Premises“). Anders als bei der Cloud-Version SharePoint Online fehlt dort oft eine durchgehende Sicherheitsüberwachung.
Angreifende haben es dabei leicht. Der Zugang über die Schwachstelle erlaubt nicht nur das Auslesen von Daten, sondern auch Manipulation und Spionage.
Verdacht auf chinesische Gruppen
Microsoft selbst geht davon aus, dass die erste Angriffswelle von Gruppen aus China gestartet wurde. Dazu zählen laut Einschätzung des Unternehmens unter anderem Gruppen mit den Codenamen Linen Typhoon, Violet Typhoon und Storm-2603.
Auch US-Behörden wie das FBI und das Cyber-Kommando des Verteidigungsministeriums sind eingeschaltet. „Wir gehen davon aus, dass es sich bei mindestens einem der Täter […] um einen mit China in Verbindung stehenden Bedrohungsakteur handelt“, sagte Charles Carmakal, Technikchef von Googles Sicherheitsfirma Mandiant, der Washington Post.
Noch immer Handlungsbedarf
Trotz aller Warnungen ist die Gefahr nicht gebannt. Die Schwachstelle erhielt auf der international anerkannten CVSS-Skala eine Einstufung von 9,8 – fast dem Maximalwert von 10.
Die US-Behörde CISA rief Unternehmen erneut dazu auf, schnell zu handeln. Wer den Patch nicht installieren könne, solle die betroffenen Server zumindest vom Internet trennen.
Auch Eye Security empfiehlt, kompromittierte Systeme vom Netz zu nehmen oder zu isolieren, um Folgeschäden zu vermeiden. (mit dpa)
Ein Beitrag von:
