Exchange-Lücken im August: Lohnt sich der eigene Mailserver noch?

Der Microsoft-Patchday am 11. August brachte 421 Schwachstellen, davon 62 kritisch. Für Betreiber eines eigenen Mailservers besonders relevant: sieben Lücken in Exchange Server, darunter CVE-2026-62911 (CVSS 8.0). Die Ausnutzung wurde im Mai beim Pwn2Own-Wettbewerb in Berlin vorgeführt — Angreifer konnten die Authentifizierung umgehen und Postfächer übernehmen. Dazu kam ein aktiv ausgenutzter Windows-Kernel-Zero-Day (CVE-2026-68820).

Wer Exchange lokal betreibt, sollte den Patchstand jetzt prüfen. Und danach eine unbequemere Frage stellen.

Warum Exchange On-Premises besonders exponiert ist

Ein Mailserver muss aus dem Internet erreichbar sein — das ist sein Zweck. Damit steht er dauerhaft im Schussfeld, und Exchange ist seit Jahren eines der beliebtesten Ziele überhaupt. Hinzu kommt: Exchange hat in einer Windows- Domäne traditionell sehr weitreichende Rechte. Eine erfolgreiche Übernahme bleibt selten auf die Mails beschränkt.

Das heißt nicht, dass ein eigener Mailserver falsch ist. Es heißt, dass er konsequent gepflegt werden muss: Patches innerhalb von Tagen, aktuelle kumulative Updates, MFA für alle Zugänge, kein ungeschütztes Outlook Web Access, sauberes Monitoring.

Die drei realistischen Wege

• Weiter On-Premises: Sinnvoll, wenn es gute Gründe gibt — besondere Datenschutzanforderungen, Anbindung an lokale Fachanwendungen, vorhandenes Know-how. Voraussetzung ist ein verbindlicher Patch- und Betriebsprozess. Wichtig zu wissen: Der Support für die älteren Exchange-Versionen ist ausgelaufen, aktuell ist die Subscription Edition — wer noch auf 2016 oder 2019 sitzt, betreibt ein System ohne Sicherheitsupdates.
• Hybrid: Postfächer in der Cloud, bestimmte Funktionen lokal. In der Praxis oft der Übergangszustand — und der aufwendigste, weil beide Welten gepflegt werden müssen.
• Vollständig in die Cloud: Nimmt den Betrieb des Servers ab, verlagert die Verantwortung aber nicht komplett. Konfiguration, Berechtigungen, MFA-Durchsetzung und Backup der Postfächer bleiben Ihre Aufgabe — und die Frage des Datenstandorts sollte bewusst entschieden werden.

Was in jedem Fall gilt

Unabhängig vom Modell: MFA für alle Postfachzugriffe, korrekt konfigurierte Mail-Authentifizierung (SPF, DKIM, DMARC) für die eigene Domain, ein Backup der Postfächer, das unabhängig vom Mailsystem existiert, und dokumentierte Zuständigkeiten für Updates.

Unser Fazit

„Cloud oder eigener Server” ist keine Glaubensfrage, sondern eine Abwägung aus Anforderungen, Risiko und verfügbarer Betreuungskapazität. Wir bewerten mit Ihnen den aktuellen Stand Ihrer Mail-Infrastruktur und zeigen auf, welcher Weg zu Ihrem Betrieb passt — inklusive einer ehrlichen Aufwandsschätzung.