Aktive Outlook-Angriffe, kritische Exchange-Lücken: Was der Februar-Patchday wirklich bedeutet

Veröffentlicht: 13. November 2026 · Lesezeit: ca. 7 Minuten

Mittwochnachmittag, kurz vor dem letzten Meeting: Ihre Kollegin aus der Buchhaltung fragt, ob sie eine Office-Datei aus einer Lieferanten-Mail öffnen soll – der Absender wirkt bekannt, der Dateiname klingt plausibel. Normale Situation, hundertfach täglich in jedem Betrieb. Was viele nicht wissen: Genau dieser Moment – das Öffnen einer präparierten Office-Datei – ist der Angriffsvektor, den CVE-2024-21413 ausnutzt. Outlook übermittelt dabei im Hintergrund den NTLMv2-Hash des angemeldeten Benutzers an einen vom Angreifer kontrollierten Server. Kein Makro, keine Warnung, kein Klick auf einen verdächtigen Link. Der Schaden entsteht still, bevor das Meeting überhaupt beginnt.

Der Microsoft Patchday Outlook Angriff vom Februar 2024 markiert einen Einschnitt: Mit CVE-2024-21410 (Exchange Server, CVSS 9,8) und CVE-2024-21413 (Outlook) wurden erstmals zwei zusammenwirkende, aktiv ausgenutzte Schwachstellen im selben Monat geschlossen – und das Muster wiederholt sich. Kürzlich berichtete heise Security über aktive Attacken auf Outlook im Rahmen eines weiteren Microsoft-Patchdays, bei dem erneut sofortiges Handeln geboten war. Das zeigt: Outlook-Schwachstellen sind kein Randphänomen.

Für Administratoren und IT-Verantwortliche in Unternehmen stellt sich die entscheidende Frage nicht, ob gepatcht werden muss – das ist unstrittig. Die Frage ist, in welcher Reihenfolge und mit welchem Priorisierungsrahmen. Ein CVSS-Score von 9,8 klingt eindeutig, aber der wirklich gefährliche Angriff dieses Zyklus lief über eine Lücke mit mittlerem Score – weil sie aktiv ausgenutzt wurde, während die hochbewertete noch keinen bekannten Exploit hatte.

Dieser Beitrag legt den technischen Sachverhalt nüchtern dar, gibt konkrete Prüfschritte für Ihre Umgebung, beschreibt die Sofortmaßnahmen in Reihenfolge und ordnet ein, was dieser Patchday strukturell über den Zustand vieler Exchange-Umgebungen aussagt.

Was konkret passiert ist: Zwei Lücken, ein Angriffsmuster

Der Microsoft Patchday Outlook Angriff vom 14. Februar 2024 umfasste zwei Schwachstellen, die kombiniert einen vollständigen NTLMv2-Relay-Angriff ermöglichen:

CVE-2024-21413 (Outlook): Ein Angreifer schickt eine E-Mail mit einem präparierten Hyperlink oder einer Office-Datei. Öffnet der Empfänger die Nachricht, verbindet sich Outlook automatisch mit einem externen UNC-Pfad (\\Angreifer-IP\Share) und übermittelt dabei den NTLMv2-Hash des angemeldeten Windows-Benutzers – ohne weitere Interaktion, ohne Makro-Warnung.
CVE-2024-21410 (Exchange Server, CVSS 9,8): Exchange akzeptiert NTLM-Relay-Angriffe, wenn NTLM-Authentifizierung ohne Extended Protection for Authentication (EPA) konfiguriert ist. Der erbeutete Hash aus der Outlook-Lücke kann direkt gegen Exchange weitergeleitet werden – ohne dass der Hash geknackt werden muss.

Das Ergebnis: Ein Angreifer, der beide Lücken kombiniert, kann sich mit den Rechten eines beliebigen Exchange-Nutzers authentifizieren. Das ist kein theoretisches Szenario – beide Schwachstellen wurden zum Patchday-Zeitpunkt aktiv ausgenutzt.

Betroffen sind Exchange Server 2016, 2019 sowie alle Outlook-Versionen unter Microsoft 365 Apps for Enterprise und Office 2021/2019/2016. Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH sehen wir in der Praxis, dass gerade die Kombination aus gepatchtem Outlook und ungepatchtem Exchange (oder umgekehrt) die typische Risikolage bei mittelständischen Betrieben ist – auch in der Region Eschwege und Umgebung.

Sind Sie betroffen? Prüfschritte ohne Umwege

Der Microsoft Patchday Outlook Angriff trifft Umgebungen, in denen mindestens eine der folgenden Bedingungen zutrifft. Prüfen Sie Ihre Systeme systematisch anhand dieser Punkte:

Exchange Server: Patchstand prüfen. Öffnen Sie die Exchange Admin Center-Konsole oder führen Sie Get-ExchangeDiagnosticInfo aus. Zielstand für Exchange 2019: Cumulative Update 14 + Security Update Februar 2024 (Build 15.2.1544.11); für Exchange 2016: CU23 + entsprechendes SU. Liegt Ihr Build darunter, sind Sie exponiert.
EPA-Status prüfen. CVE-2024-21410 wird durch Aktivierung von Extended Protection for Authentication (EPA) auf dem Exchange-Server mitigiert. Prüfen Sie: Get-AuthConfig und die IIS-Einstellungen auf allen virtuellen Verzeichnissen (Get-WebConfigurationProperty auf ExtendedProtection). Microsoft hat das Skript ExchangeExtendedProtectionManagement.ps1 veröffentlicht, das diese Prüfung automatisiert.
Outlook-Build verifizieren. Outlook-Patches werden über das Office-Update ausgeliefert, nicht über Windows Update. Prüfen Sie: Datei → Office-Konto → Updateoptionen → Jetzt aktualisieren. Der Patch für CVE-2024-21413 erfordert Build 16.0.17328.20142 (Microsoft 365, Kanal „Aktuell“) oder höher.
Ausgehender SMB-Traffic: TCP 445 prüfen. Lässt Ihre Perimeter-Firewall ausgehenden Traffic auf TCP 445 zu? Damit kann ein geleakter NTLMv2-Hash den Angreifer-Server überhaupt erreichen. Prüfen Sie die Outbound-Regeln in Ihrer Firewall-Konsole.

Das BSI stellte im März 2024 fest, dass von rund 45.000 öffentlich erreichbaren Exchange-Servern in Deutschland mindestens 37 % verwundbar waren (Quelle: BSI-Pressemitteilung, März 2024). Die Wahrscheinlichkeit, dass Ihre Umgebung betroffen ist, ist also real. Nutzen Sie die IT-Sicherheitslösungen der TTG GmbH für eine strukturierte Schwachstellenanalyse, wenn die interne Prüfung Lücken aufdeckt.

Was jetzt zu tun ist: Sofortmaßnahmen in klarer Reihenfolge

Beim Microsoft Patchday Outlook Angriff gilt für die Priorisierung: Exploitationsstatus vor CVSS-Score. CVE-2024-21413 hatte zum Zeitpunkt des Patches einen moderaten Score – war aber aktiv in Angriffen beobachtet. Handeln Sie in dieser Reihenfolge:

Sofort (Tag 1): Exchange EPA aktivieren. Führen Sie .\ExchangeExtendedProtectionManagement.ps1 -ExchangeServers <Server> -EnableExtendedProtection aus. Das Skript ist über das Microsoft CSS-Exchange-Repository auf GitHub verfügbar. Vorab Kompatibilitätsprüfung mit dem Parameter -ShowExtendedProtectionState – einige Drittanbieter-Clients vertragen EPA nicht ohne Anpassung.
Sofort (Tag 1): TCP 445 ausgehend sperren. Blockieren Sie auf der Perimeter-Firewall und auf Host-Firewalls (Windows Defender Firewall → Ausgehende Regeln) ausgehenden Traffic auf TCP 445, UDP 137–139 ins Internet. Das verhindert, dass erbeutete NTLMv2-Hashes abfließen.
Innerhalb 48 Stunden: Exchange patchen. Spielen Sie das Sicherheitsupdate vom Februar-Patchday auf alle Exchange-Instanzen ein. Stellen Sie sicher, dass vorher das korrekte CU-Level vorliegt – SUs sind nicht CU-übergreifend installierbar.
Innerhalb 48 Stunden: Outlook-Update ausrollen. Triggern Sie das Office-Update zentral über WSUS, Microsoft Endpoint Configuration Manager oder Intune. Verifizieren Sie den Build anschließend auf repräsentativen Clients.
Mittelfristig: NTLM-Nutzung reduzieren. Wo Kerberos möglich ist, deaktivieren Sie NTLM. Microsoft treibt die NTLM-Abkündigung aktiv voran – wer früh umstellt, schließt die gesamte Hash-Relay-Angriffsfläche strukturell.

Nutzen Sie für die Infrastruktur-Härtung die Ressourcen der Sicheren IT-Infrastruktur für KMU – TTG GmbH – gerade wenn mehrere Exchange-Instanzen oder gemischte On-Premises/Cloud-Umgebungen betroffen sind.

Einordnung: Was dieser Microsoft Patchday Outlook Angriff strukturell über Ihre Exchange-Umgebung aussagt

Der Microsoft Patchday Outlook Angriff ist kein Einzelfall – er ist ein Symptom. Der BSI-Befund (12 % aller öffentlich erreichbaren Exchange-Server in Deutschland so veraltet, dass kein Patch mehr verfügbar ist; 25 % mit veralteten Patches) zeigt: Das Problem ist strukturell, nicht akzidentell. Wer Exchange immer noch reaktiv betreibt – patchen wenn etwas brennt – hat ein Betriebsproblem, kein Patchproblem.

Zwei Erkenntnisse sollten aus diesem Vorfall dauerhaft in Ihren Patch-Prozess einfließen:

CVSS-Score ist kein Priorisierungsmaßstab. Eine aktiv ausgenutzte Lücke mit Score 6,5 ist gefährlicher als eine unausgenutzte mit Score 9,8. Führen Sie in Ihren Patchday-Workflow eine Exploitationsspalte ein – Quelle: CISA KEV (Known Exploited Vulnerabilities Catalog) und das Microsoft Security Response Center, das den Exploitationsstatus direkt im Security Update Guide dokumentiert.
Exchange ohne Patch-Support ist ein Migrationsthema, kein Patch-Thema. Für Systeme auf Exchange 2013 oder älter gibt es keine Patches mehr. Planen Sie die Migration auf Exchange Online oder Exchange Server 2019/2016 mit klarem Zeitplan – nicht als Projekt irgendwann, sondern als kalendarisch fixierten Meilenstein.

Für Entscheider: Der Betrieb eines ungepatchten Exchange-Servers, der öffentlich erreichbar ist, ist unter DSGVO Art. 32 (technisch-organisatorische Maßnahmen) schwer zu rechtfertigen. Der Schaden im Ernstfall übersteigt jeden Patchaufwand – das ist der BSI Lagebericht Cybersicherheit konsistent in seinen Lageberichten. Die TTG GmbH begleitet Unternehmen mit über 25 Jahren Erfahrung bei der strukturellen Absicherung solcher Umgebungen – von der Schwachstellenanalyse bis zur Migration. Informieren Sie sich über unsere IT-Dienstleistungen der TTG GmbH.

Ihre Checkliste: So starten Sie jetzt

Prüfen Sie den Exchange-Build-Stand in der Admin-Konsole und vergleichen Sie ihn mit dem aktuellen CU + SU-Stand für Ihre Exchange-Version.
Führen Sie ExchangeExtendedProtectionManagement.ps1 -ShowExtendedProtectionState aus und aktivieren Sie EPA auf allen betroffenen virtuellen Verzeichnissen.
Sperren Sie ausgehenden Traffic auf TCP 445 und UDP 137–139 an Ihrer Perimeter-Firewall und verifizieren Sie die Regel auf Host-Firewalls repräsentativer Clients.
Stellen Sie sicher, dass Office/Outlook auf allen Endgeräten auf dem aktuellen Update-Stand ist – kontrollieren Sie den Build unter Datei → Office-Konto, nicht nur Windows Update.
Dokumentieren Sie Exchange-Server mit veralteten Versionen ohne Patch-Support und legen Sie einen verbindlichen Migrationsplan mit Zieldatum fest.

Häufig gestellte Fragen

Wir nutzen Microsoft 365 – sind wir von CVE-2024-21410 trotzdem betroffen?

Wenn Sie ausschließlich Exchange Online ohne eigene On-Premises-Exchange-Instanz betreiben, ist CVE-2024-21410 für Sie nicht direkt relevant – Microsoft patcht die Cloud-Infrastruktur selbst. CVE-2024-21413 (Outlook-Client) betrifft Sie jedoch weiterhin: Der Angriff läuft über den installierten Outlook-Client, nicht über den Mailserver. Prüfen Sie also in jedem Fall den Office-Build auf Ihren Endgeräten und halten Sie Microsoft 365 Apps aktuell, unabhängig vom genutzten Mail-Backend.

Reicht es, nur den Exchange-Server zu patchen – oder muss ich auch alle Outlook-Clients aktualisieren?

Beide Patches sind notwendig, schließen aber unterschiedliche Angriffsvektoren. Der Exchange-Patch (EPA-Aktivierung) verhindert, dass ein weitergeleiteter NTLM-Hash für eine Authentifizierung gegen Exchange missbraucht werden kann. Der Outlook-Patch verhindert, dass der Hash überhaupt erbeutet wird. Wer nur Exchange patcht, aber Outlook offen lässt, schützt sich vor dem Relay – nicht vor dem initialen Hash-Diebstahl, der auch gegen andere Systeme ausgenutzt werden kann.

Wie viel Aufwand bedeutet die EPA-Aktivierung für unsere Exchange-Umgebung?

Das Microsoft-Skript ExchangeExtendedProtectionManagement.ps1 automatisiert Prüfung und Aktivierung weitgehend. In einer homogenen Exchange-2019-Umgebung mit wenigen Servern ist das ein Aufwand von ein bis zwei Stunden inklusive Test. Komplexer wird es, wenn ältere Exchange-Versionen, Drittanbieter-Mail-Clients oder hybride Konfigurationen im Spiel sind – dort sollte ein Kompatibilitätscheck vorausgehen. Die TTG GmbH übernimmt diese Prüfung und Umsetzung auf Wunsch auch kurzfristig.

Lesetipps – weitere Ratgeber der TTG GmbH

Über den Autor
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.

Kontakt aufnehmen · Über TTG GmbH

Wissen Sie gerade mit Sicherheit, ob Ihr Exchange-Server EPA-aktiviert und auf dem aktuellen Patchstand ist – oder müssten Sie das erst prüfen?

Ihre IT-Sicherheit jetzt stärken

Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.