IIS ohne Support: Hunderttausende angreifbare Microsoft-Server im Netz
Die Administratoren zahlreicher Microsoft IIS-Webserver (Internet Information Services) scheinen kein Problem damit zu haben, dass ihre Systeme anfällig für bekannte Sicherheitslücken sind. Wie neue Scans der Shadowserver Foundation(öffnet im neuen Fenster) zeigen, haben mehr als 500.000 über das Internet erreichbare IIS-Instanzen bereits den EOL-Status (End of Life) erreicht.
Der letzte Scan vom 23. März 2026(öffnet im neuen Fenster) zählt weltweit 514.780 betroffene Instanzen, davon 100.310 in Europa und 14.570 allein in Deutschland. Das reicht im weltweiten Ländervergleich(öffnet im neuen Fenster) immerhin für Platz 5. Nur in China (140.439), den USA (119.131), Hongkong (23.696) und Frankreich (15.122) gibt es noch mehr IIS-Systeme mit EOL-Status.
Oft auch kein ESU mehr verfügbar
Fast die Hälfte aller betroffenen IIS-Instanzen ist den Angaben zufolge sogar schon so alt, dass Microsoft dafür nicht einmal mehr erweiterte Sicherheitsupdates (ESU) anbietet. Diese Systeme erhalten also keinerlei Patches mehr, so dass bekannte Sicherheitslücken dauerhaft ausnutzbar bleiben. Weltweit(öffnet im neuen Fenster) betrifft das 229.253 IIS-Systeme, in Europa sind es 39.204.
In diesem Fall schneidet Deutschland im Ländervergleich(öffnet im neuen Fenster) mit 4.818 Instanzen etwas besser ab und landet lediglich auf Platz 8. Angeführt wird das Feld abermals von China (74.960), gefolgt von den USA (52.527), Hongkong (13.123), Südkorea (7.575), Frankreich (6.692), Taiwan (5.848) und Italien (5.015).
Admins sollten handeln
Die Shadowserver Foundation verweist hinsichtlich dieser Zahlen auf eine Warnmeldung(öffnet im neuen Fenster) , die die US-Cybersicherheitsbehörde Cisa Anfang Februar herausgegeben hatte . Darin warnt die Behörde davor, dass staatlich unterstützte Hacker zunehmend aus dem Support gefallene Edge-Devices von Organisationen attackieren, darunter Firewalls, Router und VPN-Gateways.
Auch IIS-Instanzen bieten erhebliches Risikopotenzial, da sie häufig über das Internet erreichbar sind und Angreifern im Falle einer Kompromittierung Zugang zur internen IT-Umgebung verschaffen können. Administratoren sollten daher zumindest dafür sorgen, dass nicht mehr mit Updates versorgte Instanzen nicht länger ungeschützt am Internet hängen. Eine Übersicht über alle gängigen IIS-Versionen und deren Support-Status ist auf Microsofts Webseite zu finden(öffnet im neuen Fenster) . Zumindest bei Systemen, die älter sind als Windows 10 oder Server 2016 (mit IIS-Versionen kleiner als 10) besteht demnach Handlungsbedarf.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.