BSI warnt: 81 Prozent aller deutschen Exchange-Server sind angreifbar
Das zum BSI gehörige Cert-Bund (Computer Emergency Response Team) hat eine neue Warnung vor ungeschützten Exchange-Servern in Deutschland herausgegeben. Laut Mastodon-Beitrag der Behörde(öffnet im neuen Fenster) läuft aktuell auf lediglich 19 Prozent der online erreichbaren Server mit OWA (Outlook Web Access) eine noch mit Sicherheitsupdates versorgte Exchange-Version. Die übrigen 81 Prozent bleiben angreifbar.
Im Oktober 2025 war die Anzahl der nicht mehr unterstützten Exchange-Server rapide angestiegen . Grund dafür ist, dass damals der Support für die nach wie vor weit verbreiteten Exchange-Versionen 2016 und 2019 eingestellt wurde. Nur Microsoft Exchange Server SE (Subscription Edition) bekommt seitdem noch Updates.
Zwei Wochen nach dem Supportende kamen Exchange 2016 und 2019 in Summe noch auf einen Marktanteil von mehr als 80 Prozent. Zusammen mit den noch älteren Versionen 2010 und 2013 wurden daraus sogar 92 Prozent. Nur acht Prozent aller in Deutschland betriebenen Exchange-Server basierten Ende Oktober 2025 auf dem noch unterstützten Exchange Server SE.
Migration geht schleppend voran
Inzwischen sehen die Zahlen etwas weniger bedenklich aus, wenn auch immer noch alles andere als gut. Laut der neuen Meldung des Cert-Bund läuft Exchange Server SE heute auf 19 Prozent aller deutschen Exchange-Server, die dadurch weiterhin mit Updates versorgt werden. Exchange 2019 kommt noch auf fast 40 Prozent, 2016 auf etwa 35 Prozent sowie 2013 und 2010 jeweils auf rund drei Prozent.
Administratoren, die noch eine veraltete Exchange-Version im Einsatz haben, sollten zügig auf eine weiterhin unterstützte Software migrieren(öffnet im neuen Fenster) . Da Exchange 2019 und ältere Versionen keine Updates mehr erhalten, bleiben bekannte Sicherheitslücken dort dauerhaft ungepatcht. Für Angreifer wird es damit im Laufe der Zeit immer leichter, diese Systeme zu infiltrieren.
Das BSI gibt regelmäßig Warnungen vor anfälligen Exchange-Servern in Deutschland heraus. Im Oktober 2025 gab die Behörde an, hierzulande rund 33.000 Exchange-Systeme unter Beobachtung zu haben. Vor wenigen Wochen warnte das Cert-Bund auch vor angreifbaren Servern, die mit veralteten Versionen der E-Mail- und Groupwarelösung Zimbra ausgestattet sind . Hier lag der Anteil der anfälligen Systeme zuletzt bei etwa 40 Prozent.