SharePoint Server absichern: Was die neuen Angriffe für KMU bedeuten

Ende September 2026 hat die US-Cybersicherheitsbehörde CISA eine SharePoint-Schwachstelle in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Das Brisante daran: Microsoft hatte den Patch bereits am August-Patchday veröffentlicht und die Ausnutzung zunächst als unwahrscheinlich eingestuft. Für KMU, die SharePoint Server noch im eigenen Haus betreiben, heißt das: Wer das August-Update nicht eingespielt hat, betreibt jetzt ein System mit bekannter, angegriffener Lücke – und zwar genau dort, wo meist die sensibelsten Firmendokumente liegen.

Was genau ist passiert?

Die Lücke CVE-2026-65660

Laut Bericht von heise online betrifft die Schwachstelle CVE-2026-65660 folgende Versionen:

• SharePoint Enterprise Server 2016
• SharePoint Server 2019
• SharePoint Server Subscription Edition (SE)

Die Lücke ist mit einem CVSS-Wert von 8.8 als hohes Risiko eingestuft. Angreifer, die bereits angemeldet sind, können mit präparierten Anfragen Schadcode auf dem Server ausführen, weil dieser Eingaben unzureichend prüft. „Angemeldet” klingt zunächst beruhigend – ist es aber nicht. Gestohlene Zugangsdaten sind durch Phishing und Infostealer massenhaft im Umlauf, und in vielen SharePoint-Umgebungen reicht ein beliebiges Mitarbeiterkonto.

Microsoft-365-Kunden mit SharePoint Online sind nicht betroffen – dort patcht Microsoft selbst. Das Problem betrifft ausschließlich selbst betriebene SharePoint-Server.

Nicht der erste Vorfall

Bereits im Juli 2025 wurde unter dem Namen „ToolShell” eine Lückenkette in SharePoint Server (u. a. CVE-2025-53770) weltweit massenhaft ausgenutzt – damals sogar ohne Anmeldung. Angreifer stahlen dabei die kryptografischen Maschinenschlüssel der Server. Wer nur patchte, ohne die Schlüssel zu erneuern, blieb weiterhin angreifbar. Die Lehre daraus gilt auch heute: Ein Patch schließt die Tür, entfernt aber keinen Eindringling, der schon drin ist.

Warum SharePoint Server für KMU ein besonderes Risiko ist

In vielen mittelständischen Unternehmen – auch in Dresden und Sachsen – wurde SharePoint vor Jahren als Intranet oder Dokumentenablage eingeführt und läuft seitdem „einfach mit”. Typische Probleme, die wir in der Praxis sehen:

• Veraltete Versionen: Microsoft hatte das Supportende für SharePoint Server 2016 und 2019 für Juli 2026 angekündigt. Ohne Updates bleibt jede neue Lücke dauerhaft offen.
• Direkt aus dem Internet erreichbar: Für Außendienst und Homeoffice wurde SharePoint oft per Portfreigabe veröffentlicht – ohne VPN oder vorgeschaltete Absicherung.
• Zu weit gefasste Berechtigungen: „Jeder” oder „Alle authentifizierten Benutzer” haben Zugriff auf große Teile der Seitensammlungen.
• Enge Verzahnung mit Active Directory: Ein kompromittierter SharePoint-Server mit Dienstkonten, die zu viele Rechte haben, ist ein Sprungbrett ins gesamte Netzwerk.
• Keine Überwachung: Niemand schaut in IIS- oder ULS-Logs, bis etwas schiefgeht.

Gerade ostdeutsche KMU mit kleiner IT-Abteilung haben selten Kapazität, jeden Patchday für jede Serverrolle zeitnah umzusetzen. SharePoint fällt dabei häufig durch das Raster, weil Updates dort aufwendiger sind als bei einem normalen Windows-Server.

Praxis: So sichern Sie Ihren SharePoint Server ab

Schritt 1: Version und Patchstand prüfen

Ermitteln Sie in der Zentraladministration unter „Upgrade und Migration” → „Produkt- und Patchinstallationsstatus überprüfen” die installierte Build-Nummer. Gleichen Sie diese mit den aktuellen Updates von Microsoft ab. Wichtig: Nach der Installation der Updates muss der SharePoint-Produktkonfigurations-Assistent (oder PSConfig) auf jedem Server der Farm laufen – sonst ist das Update nur halb aktiv.

Schritt 2: Erreichbarkeit aus dem Internet einschränken

Prüfen Sie von außen, ob Ihr SharePoint öffentlich erreichbar ist. Wenn ja, stellen Sie den Zugriff möglichst auf VPN um – etwa per WireGuard hinter einer OPNsense-Firewall. Ist eine Veröffentlichung zwingend nötig, gehört mindestens ein Reverse Proxy mit Vorauthentifizierung davor. Wie Sie exponierte Dienste systematisch finden, beschreiben wir in unserem Artikel zum Attack Surface Management.

Schritt 3: Anmeldungen härten

Da die aktuelle Lücke eine Anmeldung voraussetzt, ist der Schutz der Konten entscheidend. Setzen Sie Multi-Faktor-Authentifizierung für alle externen Zugriffe durch, entfernen Sie verwaiste Konten und reduzieren Sie Berechtigungen auf das, was Abteilungen wirklich brauchen.

Schritt 4: Dienstkonten und Maschinenschlüssel prüfen

Die SharePoint-Dienstkonten sollten keine Domänen-Admin-Rechte besitzen. Nach einem Verdacht auf Kompromittierung sollten Sie – wie bei ToolShell von Microsoft empfohlen – die ASP.NET-Maschinenschlüssel rotieren (Update-SPMachineKey und anschließender IIS-Neustart). Mehr zur Härtung des Verzeichnisdienstes finden Sie in unserem Beitrag Active Directory absichern.

Schritt 5: Auf Spuren eines Angriffs prüfen

Wenn Ihr Server längere Zeit ungepatcht und erreichbar war, gehen Sie von einer möglichen Kompromittierung aus. Prüfen Sie:

• unbekannte .aspx-Dateien im Verzeichnis LAYOUTS bzw. den Webanwendungsordnern
• auffällige POST-Anfragen und ungewöhnliche Prozesse unter w3wp.exe (etwa gestartete PowerShell- oder cmd-Prozesse)
• neu angelegte Konten oder Berechtigungsänderungen

Ein SIEM wie Wazuh hilft, solche Auffälligkeiten künftig automatisch zu melden.

Schritt 6: Patchprozess dauerhaft etablieren

Legen Sie fest, wer SharePoint-Updates wann einspielt, und planen Sie ein festes Wartungsfenster nach jedem Patchday. Wie das strukturiert funktioniert, zeigt unser Artikel zum Patch-Management für KMU. Sichern Sie zusätzlich die SharePoint-Inhaltsdatenbanken regelmäßig – idealerweise als unveränderliche Backups.

Langfristig: Braucht Ihr Unternehmen noch SharePoint Server?

Jeder selbst betriebene SharePoint Server bedeutet Aufwand: Farm-Updates, SQL-Server-Pflege, Lizenzen und Überwachung. Für viele KMU lohnt sich deshalb die Frage, ob die Anforderungen nicht einfacher abgedeckt werden können – durch SharePoint Online in Microsoft 365 oder durch eine selbst gehostete Alternative wie Nextcloud mit Datenhaltung in Deutschland. Einen Vergleich beider Ansätze finden Sie unter Microsoft 365 vs. Nextcloud. Entscheidend ist nicht die Plattform, sondern dass jemand verlässlich für ihre Sicherheit zuständig ist.

Sie suchen Unterstützung in Dresden?

Rexoma IT hilft KMU in Dresden und ganz Sachsen dabei, SharePoint-Server abzusichern: Wir prüfen Patchstand und Erreichbarkeit, härten Berechtigungen und Dienstkonten, suchen nach Spuren früherer Angriffe und begleiten auf Wunsch die Migration zu Microsoft 365 oder Nextcloud. Sprechen Sie uns an – wir melden uns zeitnah mit einer ersten Einschätzung.

FAQ

Ist SharePoint Online in Microsoft 365 von der Lücke betroffen?

Nein. Die Schwachstelle CVE-2026-65660 betrifft nur selbst betriebene SharePoint-Server (2016, 2019 und Subscription Edition). SharePoint Online wird von Microsoft selbst aktualisiert.

Reicht es, das Sicherheitsupdate zu installieren?

Das Update schließt die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware. War der Server ungepatcht aus dem Internet erreichbar, sollten Sie zusätzlich nach Angriffsspuren suchen und gegebenenfalls Maschinenschlüssel und Kennwörter erneuern.

Muss ein SharePoint Server aus dem Internet erreichbar sein?

In den meisten KMU nicht. Ein VPN-Zugang für Mitarbeitende im Homeoffice oder Außendienst ist deutlich sicherer als eine direkte Portfreigabe und senkt das Risiko durch künftige Lücken erheblich.

Wie erkenne ich, welche SharePoint-Version wir einsetzen?

In der SharePoint-Zentraladministration unter „Upgrade und Migration” wird die installierte Build-Nummer angezeigt. Anhand dieser Nummer lässt sich die Version und der Patchstand eindeutig bestimmen.

Was tun, wenn unsere SharePoint-Version keine Updates mehr erhält?

Dann sollte zeitnah ein Upgrade auf die Subscription Edition oder eine Migration zu SharePoint Online bzw. Nextcloud geplant werden. Bis dahin sollte der Server strikt vom Internet abgeschottet und eng überwacht werden.