Kritische Schwachstellen in Microsoft Office: Was IT-Verantwortliche jetzt sofort tun müssen

Veröffentlicht: 09. September 2026 | Quelle: BSI Warn- und Informationsdienst (WID) | Risikoeinstufung: HOCH

Einleitung: Warum diese Sicherheitslücken deutsche Unternehmen direkt betreffen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 9. September 2026 eine Sicherheitswarnung mit der Einstufung „hoch" veröffentlicht. Betroffen sind Microsoft Office-Produkte, die in nahezu jedem deutschen Unternehmen im täglichen Einsatz sind: Microsoft Office in verschiedenen Versionen, Microsoft 365 Apps, SharePoint, Teams, Skype sowie Microsoft Office Online Server.

Das Bedrohungsszenario ist ernst: Angreifer können mehrere Schwachstellen kombiniert ausnutzen, um Schadcode auszuführen, Berechtigungen zu eskalieren, sensible Informationen abzugreifen und Nutzer gezielt zu täuschen. Wer glaubt, als mittelständisches Unternehmen nicht im Fokus von Cyberkriminellen zu stehen, unterschätzt die aktuelle Bedrohungslage fundamental. Automatisierte Angriffswerkzeuge machen keinen Unterschied zwischen DAX-Konzern und Handwerksbetrieb.

Für IT-Verantwortliche und Geschäftsführer gilt: Handlungsbedarf besteht jetzt – nicht nach dem nächsten Jour fixe.

Technischer Hintergrund: Was steckt hinter diesen Schwachstellen?

Die vom BSI gemeldeten Schwachstellen betreffen eine breite Produktpalette und umfassen mehrere Angriffsvektoren. Vereinfacht erklärt, lassen sich die Hauptbedrohungstypen wie folgt beschreiben:

1. Privilegien-Eskalation (Privilege Escalation)

Ein Angreifer, der bereits begrenzten Zugriff auf ein System hat – etwa über ein kompromittiertes Nutzerkonto –, kann diese Schwachstellen nutzen, um sich Administratorrechte zu verschaffen. Damit erhält er nahezu uneingeschränkten Zugriff auf betroffene Systeme und Netzwerke.

2. Remote Code Execution (RCE)

Die gefährlichste Klasse von Schwachstellen: Angreifer können beliebigen Schadcode aus der Ferne ausführen, ohne physischen Zugang zum System zu benötigen. Ein präpariertes Office-Dokument, das per E-Mail versendet wird, kann bei einem einzigen unbedachten Klick genügen, um eine vollständige Kompromittierung einzuleiten.

3. Informationsoffenlegung (Information Disclosure)

Schwachstellen in dieser Kategorie ermöglichen den unautorisierten Zugriff auf vertrauliche Daten: Geschäftsgeheimnisse, personenbezogene Daten, interne Kommunikation oder Zugangsdaten.

4. Spoofing / Nutzer täuschen

Angreifer können die Benutzeroberfläche oder Absenderinformationen so manipulieren, dass Nutzer legitime Inhalte sehen, obwohl sie mit bösartigen Inhalten interagieren. Besonders in Teams oder Skype-Umgebungen kann dies für gezielte Phishing-Angriffe missbraucht werden.

Wichtig: Die gleichzeitige Existenz dieser Schwachstellentypen ermöglicht sogenannte Angriffsketten – Cyberkriminelle kombinieren mehrere Lücken, um aus einem initialen, niederschwelligen Angriff eine vollständige Systemübernahme zu entwickeln.

NIS2-Relevanz: Welche Pflichten gelten für deutsche Unternehmen?

Seit der Umsetzung der NIS2-Richtlinie in deutsches Recht – verankert im aktualisierten BSI-Gesetz (BSIG) – gelten für eine erheblich erweiterte Gruppe von Unternehmen verbindliche Cybersicherheitspflichten. Betroffen sind Unternehmen in kritischen und wichtigen Sektoren, darunter Energie, Gesundheit, Verkehr, Finanzen, digitale Infrastruktur, verarbeitendes Gewerbe und viele weitere.

Was bedeutet dieser Vorfall konkret unter NIS2?

Achtung Geschäftsführer: Unter NIS2 liegt die persönliche Haftung für Cybersicherheitsversäumnisse bei der Unternehmensleitung. Die Nichtumsetzung von Sicherheitsmaßnahmen bei bekannten, hochgefährlichen Schwachstellen kann als grob fahrlässig eingestuft werden.

5 konkrete Schutzmaßnahmen, die Sie jetzt umsetzen müssen

✅ Maßnahme 1: Sofortige Inventarisierung und Patch-Einspielung

Prüfen Sie umgehend, welche Versionen von Microsoft Office, Microsoft 365 Apps, SharePoint, Teams und Skype in Ihrer Umgebung aktiv sind. Stellen Sie sicher, dass alle verfügbaren Sicherheitsupdates von Microsoft eingespielt werden. Aktivieren Sie automatische Updates für kritische Sicherheitspatches, wo betrieblich möglich. Nutzen Sie das Microsoft Security Response Center (MSRC) für die aktuellen Patch-Informationen.

Priorität: Kritisch — innerhalb von 24–48 Stunden umsetzen.

✅ Maßnahme 2: Makros und aktive Inhalte konsequent einschränken

Remote-Code-Execution-Angriffe nutzen häufig Office-Makros oder eingebettete aktive Inhalte als Einfallstor. Konfigurieren Sie über Microsoft Group Policy (GPO) oder Microsoft Intune, dass Makros aus dem Internet standardmäßig blockiert werden. Das BSI empfiehlt generell, Makros auf das absolut notwendige Minimum zu beschränken und digitale Signaturen für vertrauenswürdige Makros zu nutzen.

✅ Maßnahme 3: Nutzerrechte nach dem Prinzip der minimalen Berechtigungen vergeben

Privilegien-Eskalations-Angriffe sind erheblich wirkungsloser, wenn Nutzerkonten nur über die tatsächlich benötigten Rechte verfügen. Überprüfen Sie Ihre Active-Directory- und Entra-ID-Konfiguration:

• Keine Standard-Nutzerkonten mit lokalen Administratorrechten
• Separate Admin-Konten für Verwaltungsaufgaben
• Regelmäßige Überprüfung von Gruppenberechtigungen (Access Reviews)

✅ Maßnahme 4: Mehrstufige Authentifizierung (MFA) flächendeckend aktivieren

Insbesondere für Microsoft 365, SharePoint Online und Teams ist Multi-Faktor-Authentifizierung eine der wirkungsvollsten Schutzmaßnahmen. Selbst wenn Zugangsdaten durch eine Schwachstelle oder Phishing kompromittiert werden, verhindert MFA in den meisten Fällen den erfolgreichen Zugriff. Konfigurieren Sie Conditional Access Policies in Microsoft Entra ID, um risikobasierte Authentifizierung zu erzwingen.

✅ Maßnahme 5: Sicherheitsbewusstsein der Mitarbeiter aktiv schärfen

Spoofing- und Täuschungsangriffe zielen auf den Menschen als schwächstes Glied in der Sicherheitskette. Sensibilisieren Sie Ihre Belegschaft aktiv und zeitnah:

• Informieren Sie alle Mitarbeiter per interner Meldung über die aktuelle Bedrohungslage
• Weisen Sie auf die konkreten Risiken bei Office-Dokumenten aus unbekannten Quellen hin
• Erinnern Sie an die korrekte Vorgehensweise beim Verdacht auf Phishing (Meldung an IT, keine Links klicken)
• Erwägen Sie gezielte Phishing-Simulationen, um den Sensibilisierungsgrad zu messen

Bonus-Maßnahme: Aktivieren Sie Microsoft Defender for Office 365 (falls lizenziert) und überprüfen Sie die Safe Attachments- und Safe Links-Konfiguration. Diese Funktionen bieten zusätzlichen Schutz vor schadhaften Anhängen und URLs, die über Office-Produkte übermittelt werden.

Fazit: Angriffsfläche Microsoft Office – unterschätztes Risiko mit Konsequenzen

Microsoft-Office-Produkte sind das Rückgrat der digitalen Kommunikation und Zusammenarbeit in deutschen Unternehmen. Genau deshalb sind sie ein bevorzugtes Ziel für Cyberkriminelle und staatlich geförderte Angreifer. Die aktuelle BSI-Warnung mit der Einstufung „hoch" ist kein theoretisches Szenario – sie beschreibt reale, ausnutzbare Schwachstellen in Software, die heute auf den Rechnern Ihrer Mitarbeiter läuft.

Unter den Anforderungen der NIS2-Richtlinie ist die schnelle und dokumentierte Reaktion auf solche Warnungen keine Kür, sondern Pflicht. Unternehmen, die keine systematischen Prozesse für Vulnerability-Management und Patch-Deployment etabliert haben, riskieren nicht nur Sicherheitsvorfälle – sie riskieren empfindliche Bußgelder und persönliche Haftung der Geschäftsleitung.

💡 Praxistipp: NIS2-Compliance strukturiert managen

Die manuelle Verfolgung von BSI-Warnungen, die Dokumentation von Patch-Aktivitäten und die Nachverfolgung von Meldepflichten ist bei manuellen Prozessen fehleranfällig und ressourcenintensiv. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Sicherheitswarnungen automatisiert zu erfassen, Risikobewertungen zu strukturieren, Maßnahmen nachzuverfolgen und Meldepflichten fristgerecht zu erfüllen. Für IT-Verantwortliche, die NIS2-Pflichten professionell und revisionssicher umsetzen möchten, ist der Einsatz solcher Werkzeuge eine lohnenswerte Investition in Sicherheit und Rechtssicherheit.

Quellen: BSI Warn- und Informationsdienst (WID), BSI-Grundschutz, Microsoft Security Response Center (MSRC), ENISA Threat Landscape 2025, NIS2-Richtlinie (EU) 2022/2555, BSIG (aktuelle Fassung)