Wie Exchange Server Security Probleme gemeistert werden können

Die unbequeme Wahrheit: Ihr Exchange Server ist eine Sicherheitslücke

Früher war der Betrieb eines eigenen E-Mail-Servers eine vernünftige Entscheidung für sicherheitsbewusste Unternehmen. Heute hat sich das Bild grundlegend gewandelt: Die überwiegende Mehrheit der Unternehmen hostet E-Mails in der Cloud – und überlässt die komplexe Aufgabe der Absicherung erfahrenen Managed Services Anbietern.

Für Unternehmen, die noch immer einen Exchange Server on-Premise betreiben, ist die Botschaft der Sicherheitsbranche eindeutig:

„Sie müssen sich für immer von On-Premise Exchange verabschieden. Das ist die Quintessenz." – Dustin Childs, Head of Security Awareness, Zero Day Initiative (ZDI), Trend Micro

Exchange Server Security: Eine Geschichte eskalierender Schwachstellen

Die Sicherheitsprobleme rund um Microsoft Exchange Server sind kein neues Phänomen – sie haben sich über Jahre hinweg kontinuierlich verschärft.

ProxyLogon, ProxyShell, ProxyNotShell – eine nie endende Kette

• ProxyLogon (CVE-2021-26855): Im März 2021 bekannt gewordene Schwachstellengruppe, die SSRF- und RCE-Angriffe ermöglichte
• ProxyShell: Eng verwandte Folgeschwachstellen mit ähnlichem Angriffspotenzial
• ProxyNotShell: Die jüngsten Schwachstellen, die laut Microsoft aktiv in gezielten Angriffen ausgenutzt werden

Alle drei Schwachstellengruppen haben eines gemeinsam: Sie ermöglichen Server-seitige Request Forgery (SSRF) und Remote Code Execution (RCE) – also die Möglichkeit, fremden Code auf dem Zielserver auszuführen.

„Ein Exchange Server hat derzeit eine sehr große Angriffsfläche, und aus der Sicherheitsperspektive wurde seit Jahren nicht mehr wirklich umfassend daran gearbeitet." – Dustin Childs, Trend Micro

Warum das Patching so schwierig ist

Das Problem liegt nicht nur in den Schwachstellen selbst, sondern auch in der Komplexität ihrer Behebung. Laut Sicherheitsexperten liegt das an zwei strukturellen Ursachen:

• Alter des Codes: Microsoft Exchange ist über Jahrzehnte gewachsen – mit all den technischen Schulden, die das mit sich bringt
• Abhängige Mechanismen: Updates bergen das Risiko, dass Änderungen an einer Stelle andere Funktionen beschädigen – was Administratoren zwingt, jeden Patch aufwendig zu testen

Was Microsoft selbst empfiehlt

Auf Anfrage des Magazins WIRED bezog Aanchal Gupta, Corporate Vice President des Microsoft Security Response Center (MSRC), klar Stellung – und empfahl trotz aller Bemühungen um On-Premise-Sicherheit die Migration in die Cloud:

„Wir empfehlen unseren Kunden dringend, in die Cloud zu migrieren, um die Vorteile der Sicherheit in Echtzeit und der sofortigen Updates zu nutzen. Kunden, die ihre Systeme nicht auf dem neuesten Stand halten können, raten wir dringend, in die Cloud zu migrieren." – Aanchal Gupta, Corporate Vice President, Microsoft MSRC

Microsoft hat zwar mit dem Exchange Emergency Mitigation Service ein Tool eingeführt, das automatisch Sicherheitsmaßnahmen anwendet, bevor ein vollständiger Patch verfügbar ist. Dennoch bleibt die klare Empfehlung: Weg von On-Premise, hin zur Cloud.

Ihre Optionen: So nutzen Sie Microsoft Exchange sicher

Option 1: Migration zu Microsoft 365 / Exchange Online

Der Wechsel zu Microsoft 365 beseitigt das On-Premise-Sicherheitsproblem an der Wurzel. Microsoft übernimmt Patching, Infrastruktur und Sicherheitsupdates in Echtzeit.

In der Praxis zeigt sich jedoch: Die Administration von Microsoft 365 unterscheidet sich erheblich von der eines selbst betriebenen Exchange Servers. Eine professionelle Migrationsbegleitung durch erfahrene Experten ist dringend empfehlenswert – um Fallstricke zu vermeiden und den Betrieb während der Umstellung sicherzustellen.

Wichtig: Auch nach einer erfolgreichen Cloud-Migration bleibt das Thema E-Mail Security relevant. Die Cloud schützt die Infrastruktur – nicht automatisch den Inhalt.

Option 2: Exchange aus der sicheren privaten Cloud von ITcares

Für Unternehmen, die die Kontrolle über ihre Exchange-Umgebung behalten möchten, aber den Administrationsaufwand abgeben wollen, bietet ITcares Managed Server Hosting die optimale Lösung:

• Vollständiger Betrieb durch ITcares-Experten – Sie kümmern sich um nichts
• 7×24-Überwachung durch Software-Agenten mit zentraler Leitstelle
• Proaktives Patch-Management außerhalb Ihrer Arbeitszeiten – ohne Betriebsunterbrechung
• Lückenlose Dokumentation aller Änderungen – jederzeit nachvollziehbar
• Frühzeitige Trenderkennung verhindert Ausfälle, bevor sie entstehen

Umfassender E-Mail-Schutz: Managed E-Mail Security von ITcares

Unabhängig davon, ob Sie zu Microsoft 365 migrieren oder Exchange aus der ITcares-Cloud nutzen – E-Mail Security ist eine eigenständige Schutzebene, die beide Szenarien ergänzt.

ITcares Managed E-Mail Security schützt Ihre Kommunikation durch:

• Mehrere aufeinander abgestimmte E-Mail-Virenscanner mit führenden Phishing-Datenquellen
• Anti-Spam-Engine mit Spoofing-Schutz
• Sandboxing zur Analyse verdächtiger Anhänge und Links
• Bedrohungsabwehr nach dem „Best of Breed"-Prinzip – mit den jeweils führenden Technologien je Schutzebene

Fazit: On-Premise Exchange ist kein Sicherheitskonzept mehr

Die Häufung kritischer Schwachstellen, die Komplexität des Patchings und die klare Empfehlung von Microsoft selbst zeichnen ein eindeutiges Bild: On-Premise Exchange ist strukturell nicht mehr zu sichern – zumindest nicht mit vertretbarem Aufwand.

Die Lösung ist nicht mehr Patching, sondern ein konsequenter Strategiewechsel: in die Cloud oder in professionell verwaltete Managed Server. ITcares begleitet Sie dabei – von der Analyse über die Migration bis zum laufenden Betrieb.

Sprechen Sie uns unverbindlich an – damit Sie sich auf Ihr Kerngeschäft konzentrieren können, während wir Ihre Exchange-Umgebung sicher halten.