Exchange-Server ist eine wahre Leidensgeschichte

Aber macht Microsoft darauf aufmerksam, dass das LAPS-Tool noch nicht installiert ist? Nein, Microsoft macht darauf aufmerksam, dass man das Back-up zu Onedrive einrichten sollte – ohne, dass man es ausschalten kann, und sogar dann, wenn man Onedrive gar nicht eingerichtet hat.

Noch ein Beispiel des Sicherheitsversagens von Microsoft? Wie wäre es dann mit der Update-Strategie? Ich meine dabei noch nicht einmal Windows, weil das zumindest leidlich gut klappt.

Aber wie wäre es zum Beispiel mit Server-Produkten wie dem Exchange- oder SQL-Server? Speziell der Exchange ist eine wahre Leidensgeschichte. So viele Remote-Code-Execution-Lücken, wie der Exchange in den letzten zwei Jahren hatte, sind an sich schon ein Armutszeugnis – speziell für ein System, das standardmäßig mit dem Internet verbunden ist.

Aber anstatt einzugestehen, dass man hier wohl einen Fehler gemacht hat, zeigt Microsoft mit dem Finger auf den Kunden und verweist darauf, dass man nicht schnell genug gepatcht habe. Aber was heißt das beim Exchange genau? Für diejenigen, die die leidvolle Erfahrung noch nicht machen mussten: Im Gegensatz zu Windows gibt es für Exchange keinen automatischen Update-Prozess.

Nicht nur das, es gibt auch keine einzelnen Updates. Der Exchange wird normalerweise über sogenannte kumulative Updates gepatcht, die beim Exchange aber gar keine kumulativen Updates sind, sondern eine komplette Server-Neuinstallation. Ja, korrekt, ein CU beinhaltet immer das komplette Software-Paket. Da wird gar nichts kumuliert, da wird neu installiert.

Und weil das auch mal schieflaufen kann und ein paar Stunden dauert, trauen sich viele Unternehmen nicht, das Update selbst einzuspielen, sondern lassen sich dafür lieber einen externen Dienstleiter kommen, der im Zweifel dann die Schuld trägt – ich meine natürlich, die Fachkompetenz hat, den Server wieder zum Laufen zu bekommen.

Unsecure by default

Für Microsoft ist das ein Weg, den Kunden nicht nur die Schuld zu geben, sondern ihnen gleich noch ihre Cashcow Office 365 anzudrehen – Microsofts Server sind ja immer zeitnah gepatcht.

Ich hätte noch viel mehr Beispiele, beschränke mich aber auf ein letztes: Windows Netzwerke sind unsecure by default. Das liegt daran, dass selbst eine heute frisch installierte Active Directory Domäne unter Windows Server 2022 immer noch die Kompatibilität zu Windows NT 4 wahrt.