Russische Hacker missbrauchen Microsoft OWA-Schwachstelle: Dauerhafter Postfach-Zugriff trotz Passwort-Reset

Aktueller Cyberangriff bedroht Behörden und Unternehmen in Europa – auch deutsche Organisationen müssen jetzt handeln

Einleitung: Was ist passiert – und warum sollten deutsche IT-Verantwortliche aufhorchen?

Eine neue Angriffswelle russischer Bedrohungsakteure versetzt Sicherheitsteams weltweit in Alarmbereitschaft: Dieselben Hacker, die zuletzt eine inzwischen gepatchte Schwachstelle in der E-Mail-Software Zimbra ausgenutzt hatten, sind nun mit einer weiteren kritischen Lücke aktiv – diesmal in Microsoft Outlook Web Access (OWA). Die Angriffe, die laut The Hacker News am 22. Juli 2026 begannen, richten sich gezielt gegen US-amerikanische und europäische Regierungsstellen sowie Unternehmen aus den Bereichen Telekommunikation, Finanzdienstleistungen, Gastgewerbe und Luft- und Raumfahrt.

Das besonders Heimtückische an dieser Kampagne: Die Angreifer behalten ihren Zugriff auf Postfächer auch dann aufrecht, wenn betroffene Organisationen die Passwörter ihrer Nutzer zurücksetzen – eine Maßnahme, die in der IT-Security als Standard-Reaktion bei Sicherheitsvorfällen gilt. Diese Persistenz-Technik macht den Angriff besonders gefährlich und unterstreicht, warum veraltete Incident-Response-Prozesse heute nicht mehr ausreichen.

Für deutsche Unternehmen und Behörden ist die Lage eindeutig: Wer Microsoft OWA einsetzt und in einer der genannten Branchen tätig ist, sollte sofort handeln – und das nicht nur aus eigenem Interesse, sondern auch aufgrund konkreter gesetzlicher Verpflichtungen durch die NIS2-Richtlinie.

Technischer Hintergrund: Wie funktioniert der Angriff?

Die Schwachstelle in Microsoft OWA

Microsoft Outlook Web Access ist die browserbasierte Variante des klassischen Outlook-Clients und in vielen Organisationen das zentrale Werkzeug für den E-Mail-Zugriff – gerade im Homeoffice und für mobile Mitarbeiter. Die ausgenutzte Schwachstelle erlaubt es den Angreifern, sich dauerhaft in einem Postfach festzusetzen, selbst wenn das Zugangskennwort geändert wird.

Technisch gesprochen setzen die Hacker auf sogenannte Session-Persistenz-Mechanismen oder manipulierte OAuth-Token bzw. Applikationsberechtigungen: Einmal in das System eingedrungen, hinterlegen sie eine Art "Hintertür", die unabhängig vom Passwort weiterhin gültig bleibt. Das bedeutet:

• Ein Passwort-Reset allein schließt die Lücke nicht
• Berechtigungen auf Applikationsebene (etwa delegierte Zugriffsrechte oder Mail-Weiterleitungsregeln) bleiben aktiv
• Angreifer können über Wochen oder Monate unbemerkt Mails lesen, Daten exfiltrieren oder weitere Angriffe vorbereiten

Verbindung zur Zimbra-Kampagne

Die Zuordnung dieser Aktivitäten zu russischen Bedrohungsakteuren – vermutlich APT-Gruppen aus dem Umfeld des russischen Auslandsgeheimdienstes SVR oder der GRU – basiert auf Übereinstimmungen in Infrastruktur, Taktiken und Angriffszielen. Diese Gruppen sind bekannt für geduldige, langfristige Spionagekampagnen (sogenannte Advanced Persistent Threats, APTs), bei denen nicht kurzfristiger Schaden, sondern das stille Ausleiten sensibler Informationen im Vordergrund steht.

Auswirkungen auf Deutschland und NIS2-Relevanz

Welche deutschen Unternehmen sind betroffen?

Die genannten Zielbranchen – Telekommunikation, Finanzen, Luft- und Raumfahrt sowie öffentliche Verwaltung – decken sich exakt mit den kritischen Infrastrukturen (KRITIS) und wichtigen Einrichtungen, die in Deutschland unter die verschärften Anforderungen der NIS2-Richtlinie fallen. Diese wurde durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in deutsches Recht überführt und erweitert den Kreis der betroffenen Unternehmen erheblich.

Konkret betroffen sind unter anderem:

NIS2-Pflichten im Kontext dieses Angriffs

Die NIS2-Richtlinie (umgesetzt in §§ 30–38 BSIG n.F.) verpflichtet betroffene Einrichtungen zu konkreten Maßnahmen, die bei diesem Angriffstyp direkt greifen:

1. Meldepflicht: Erhebliche Sicherheitsvorfälle müssen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (ausführliche Meldung) gemeldet werden. Ein dauerhafter, unbemerkter Postfachzugriff durch Dritte erfüllt diese Schwelle zweifellos.

2. Technische Schutzmaßnahmen: Artikel 21 der NIS2-Richtlinie schreibt explizit Maßnahmen zur Zugriffskontrolle, Authentifizierung und Incident Response vor – alles Bereiche, in denen dieser Angriff Schwächen ausnutzt.

3. Lieferkettenrisiken: Nutzen Ihre Dienstleister oder Managed-Service-Provider OWA, können auch Sie indirekt kompromittiert werden. NIS2 verlangt explizit das Management von Risiken in der Lieferkette.

4. Haftung der Geschäftsleitung: NIS2 macht Geschäftsführer und Vorstände persönlich verantwortlich für die Umsetzung der Cybersicherheitsmaßnahmen. Unwissenheit schützt vor Haftung nicht.

Praktische Schutzmaßnahmen: Was jetzt zu tun ist

1. Sofortiger Audit aller OWA- und Exchange-Berechtigungen

Überprüfen Sie alle aktiven Sessions, OAuth-Tokens, delegierten Postfachberechtigungen und Mail-Weiterleitungsregeln in Ihrer Exchange- bzw. Microsoft-365-Umgebung. Suchen Sie explizit nach:
- Unbekannten Weiterleitungsregeln (Posteingang → externe Adresse)
- Nicht autorisierten Drittanwendungen mit Mailbox-Zugriff
- Aktiven Sessions aus unbekannten IP-Adressen oder Ländern

Microsoft bietet hierfür das Microsoft Purview Compliance Portal sowie die Exchange Admin Center-Tools an.

2. Multi-Faktor-Authentifizierung (MFA) für alle OWA-Zugänge erzwingen

Ein Passwort allein reicht nicht mehr. Aktivieren Sie phishing-resistente MFA-Methoden (FIDO2-Sicherheitsschlüssel, Microsoft Authenticator) für sämtliche Zugriffe auf OWA und Microsoft 365. Legacy-Authentifizierungsprotokolle (Basic Auth) sollten vollständig deaktiviert werden.

3. Einspielen aller verfügbaren Sicherheits-Patches

Stellen Sie sicher, dass Ihre Exchange- und Microsoft-365-Umgebung vollständig auf dem aktuellen Patch-Stand ist. Aktivieren Sie automatische Sicherheitsupdates oder etablieren Sie einen verbindlichen Patch-Rhythmus. Das BSI veröffentlicht im BSI-Warnmeldedienst aktuelle Advisories – abonnieren Sie diesen, falls noch nicht geschehen.

4. Erweiterte Protokollierung und SIEM-Integration aktivieren

Die Persistenz-Techniken dieser Angreifer sind darauf ausgelegt, klassische Sicherheitswarnungen zu umgehen. Aktivieren Sie erweiterte Audit-Logs in Microsoft 365 (Unified Audit Log) und integrieren Sie diese in ein Security Information and Event Management (SIEM)-System. Anomalien wie ungewöhnliche Anmeldezeiten, unbekannte Geräte oder auffällige Datenmengen beim Mailzugriff müssen automatisch erkannt werden.

5. Incident-Response-Plan aktualisieren: Passwort-Reset allein reicht nicht

Überarbeiten Sie Ihren Notfallplan (Incident Response Plan) mit Blick auf diese neue Angriffstechnik. Etablieren Sie bei verdächtigen Vorfällen einen erweiterten "Full Revocation"-Prozess:
- Widerruf aller aktiven OAuth-Token
- Entziehung aller Drittanbieter-App-Berechtigungen
- Zwangsabmeldung aller aktiven Sessions
- Prüfung und Bereinigung von Postfachregeln und -berechtigungen

6. Segmentierung und Zero-Trust-Prinzipien umsetzen

Beschränken Sie den OWA-Zugriff auf bekannte, verwaltete Geräte (Conditional Access Policies in Azure AD/Entra ID). Implementieren Sie Zero-Trust-Netzwerkarchitekturen, die jeden Zugriff – unabhängig vom Standort – als potenziell kompromittiert behandeln.

Fazit: Persistenz-Angriffe erfordern persistente Sicherheit

Der aktuelle Angriff russischer APT-Akteure auf Microsoft OWA zeigt eindrücklich, dass klassische Reaktionsmaßnahmen wie Passwort-Resets in modernen Bedrohungsszenarien nicht mehr ausreichen. Die Kombination aus ausgefeilten Persistenzmechanismen, gezielter Branchenauswahl und staatlichem Hintergrund macht diese Kampagne zu einer ernsten Bedrohung für deutsche Unternehmen und Behörden.

Die gute Nachricht: Mit den richtigen Maßnahmen – vollständige Berechtigungsaudits, phishing-resistente MFA, umfassende Protokollierung und ein aktualisierter Incident-Response-Plan – lässt sich das Risiko erheblich reduzieren. Die NIS2-Richtlinie gibt dabei nicht nur Pflichten vor, sondern auch einen klaren Handlungsrahmen, der genau die richtigen Antworten auf solche Angriffe liefert.

Call-to-Action: NIS2-Compliance strukturiert umsetzen

Die beschriebenen Schutzmaßnahmen lassen sich deutlich effizienter umsetzen, wenn Ihre Organisation auf eine strukturierte NIS2-Compliance-Plattform zurückgreifen kann. Spezialisierte Tools helfen dabei, Sicherheitsrichtlinien zu dokumentieren, Schwachstellen systematisch zu verfolgen, Meldeprozesse zum BSI zu automatisieren und den Nachweis der Compliance-Umsetzung gegenüber Aufsichtsbehörden zu erbringen. Wer noch kein dediziertes NIS2-Management-Tool einsetzt, sollte die aktuelle Bedrohungslage zum Anlass nehmen, entsprechende Lösungen zu evaluieren – bevor der nächste Vorfall zum Handlungszwang wird.

Quellen: The Hacker News (30.07.2026), BSI-Grundschutz, NIS2-Richtlinie (EU) 2022/2555, BSIG n.F., ENISA Threat Landscape 2025