Bonn, 28. Oktober 2025. Für die Mail-Server-Produkte Microsoft Exchange Server 2016 und 2019 ist Mitte Oktober planmäßig der Support des Herstellers ausgelaufen. Seitdem werden keine Sicherheitsupdates mehr für diese Versionen bereitgestellt. Dennoch werden nach Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI) weiterhin über 30.000 MS-Exchange-Server in Deutschland mit diesen oder noch älteren Versionen und einem offen über das Internet erreichbaren Outlook Web Access betrieben. Das BSI weist daher darauf hin, dass diese Installationen für neu entdeckte Schwachstellen voraussichtlich dauerhaft verwundbar bleiben und nicht kurzfristig abgesichert werden können. Dies betrifft nach Kenntnis des BSI Unternehmen, Krankenhäuser, Schulen, Stadtwerke, Kommunen und viele weitere Organisationen. Das BSI hat eine entsprechende Bedrohungsinformation (BITS) veröffentlicht und an seine Zielgruppen versandt.
Thomas Caspers, Vizepräsident des BSI:
"Wer trotz Hinweisen des Herstellers und ausreichender Vorlaufzeit Software einsetzt, die keine Sicherheitsupdates mehr erhält, handelt schlicht fahrlässig. Wenn für diese Software Schwachstellen entdeckt werden - und damit ist leider jederzeit zu rechnen - sind die Daten der Unternehmen und Organisationen Cyberangriffen schutzlos ausgeliefert. Hier ist schnelles und konsequentes Handeln der Verantwortlichen erforderlich!"
Microsoft Exchange-Server sind in der Regel zentrale Bausteine innerhalb von IT-Netzwerken. Ein erfolgreicher Cyberangriff hat daher oftmals gravierende Folgen und kann bei unzureichenden Sicherheitsmaßnahmen zur vollständigen Kompromittierung des jeweiligen Netzwerkes führen. Da keine Sicherheitsupdates mehr bereitgestellt werden, wäre beim Bekanntwerden einer neuen Schwachstelle in der Regel die Abschaltung der Anwendung notwendig, um das gesamte IT-Netzwerk zu schützen. Dies hätte erhebliche Auswirkungen auf die Kommunikationsfähigkeit der jeweiligen Organisation.
Das BSI rät daher dringend, auf aktuelle Software-Varianten umzustellen oder eine Migration auf entsprechende Alternativen durchzuführen.
https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251028_Support_Ende_Exchange-Server.html
© Bundesamt für Sicherheit in der Informationstechnik