Veröffentlicht am 04.07.2026
Ein normales SharePoint-Benutzerkonto genügt – mehr braucht ein Angreifer nicht, um Ihren SharePoint-Server vollständig zu übernehmen. Die US-Sicherheitsbehörde CISA hat am 1. Juli 2026 die Schwachstelle CVE-2026-45659 in Microsoft SharePoint Server in ihren Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Diese Aufnahme ist ein deutliches Warnsignal: Sie belegt, dass die Lücke bereits in echten Angriffen missbraucht wird. Für Unternehmen, die SharePoint auf eigenen Servern (On-Premises) betreiben, besteht damit akuter Handlungsbedarf.
Besonders brisant: Die Ransomware-Gruppe Storm-2603 (auch bekannt als Warlock-Gruppe) nutzt SharePoint-Schwachstellen seit 2025 systematisch aus, um Unternehmensdaten zu verschlüsseln und Lösegeld zu erpressen. Deutschland zählt dabei zu den am stärksten betroffenen Ländern weltweit.
Microsoft hat die Schwachstelle CVE-2026-45659 bereits am 12. Mai 2026 im Rahmen des monatlichen Sicherheitsupdates (Patchday) behoben. Durch ein redaktionelles Versehen tauchte die Lücke zunächst nicht in den offiziellen Patchnotes auf und wurde erst am 26. Mai 2026 nachträglich ergänzt. Zum Zeitpunkt der Veröffentlichung stufte Microsoft die Wahrscheinlichkeit einer Ausnutzung noch als „Exploitation Less Likely" ein – es gab keinen öffentlich bekannten Angriffscode.
Diese Einschätzung hat sich nun überholt. Mit der Aufnahme in den CISA-KEV-Katalog am 1. Juli 2026 steht fest: Die Lücke wird aktiv ausgenutzt. US-Bundesbehörden mussten den Patch bis zum 4. Juli 2026 einspielen. Auch wenn diese Frist formal nur für US-Behörden gilt, ist sie ein klarer Maßstab für die Dringlichkeit – auch für deutsche Unternehmen.
„Microsoft SharePoint Server contains a deserialization of untrusted data vulnerability which allows an authorized attacker to execute code over a network." – CISA
CVE-2026-45659 ist eine sogenannte Remote-Code-Execution-Schwachstelle (RCE) – das bedeutet, ein Angreifer kann aus der Ferne über das Netzwerk beliebigen Programmcode auf dem Server ausführen. Die Ursache liegt in einer unsicheren Deserialisierung (Fachbegriff CWE-502): Das ist der Vorgang, bei dem ein Programm gespeicherte oder übertragene Daten wieder in verwendbare Objekte zurückverwandelt.
SharePoint rekonstruiert diese Objekte, ohne streng zu prüfen, welche Art von Daten überhaupt zulässig ist. Ein Angreifer kann diese Schwäche ausnutzen, indem er eine präparierte Kette von Objekten (eine sogenannte „Gadget Chain") an den Server sendet. Während der Server diese Daten verarbeitet, führt er den eingeschleusten Code aus – und zwar mit den erhöhten Rechten des SharePoint-Dienstes. Damit erhält der Angreifer Zugriff auf sämtliche gespeicherten Dokumente, Workflows, Listen und angebundene Systeme.
Der CVSS-Score (ein standardisiertes Maß für die Schwere einer Schwachstelle von 0 bis 10) liegt bei 8.8 von 10 – „Hoch". Entscheidend sind dabei drei Faktoren:
Microsoft bestätigt in seinem eigenen Advisory die niedrige Einstiegshürde:
„Any authenticated attacker could trigger this vulnerability. It does not require admin or other elevated privileges. In a network-based attack, an authenticated attacker, who has a minimum of Site Member permissions, could execute code remotely on the SharePoint Server." – Microsoft Security Response Center (MSRC)
Warum ist das so gefährlich? Ein normales Benutzerkonto lässt sich vergleichsweise leicht beschaffen – etwa durch Phishing, durch das automatisierte Ausprobieren gestohlener Passwörter (Credential Stuffing) oder schlicht durch den Kauf gestohlener Zugangsdaten im Untergrund.
Betroffen sind ausschließlich On-Premises-Installationen von SharePoint Server, also Server, die Sie selbst in Ihrem Unternehmen oder Rechenzentrum betreiben. Konkret:
Wichtige Entwarnung: Wenn Sie ausschließlich SharePoint Online (Teil von Microsoft 365, also die Cloud-Variante) nutzen, sind Sie von dieser Schwachstelle nicht betroffen. Die Lücke betrifft nur selbst betriebene Server.
Die Zahlen zeigen, wie relevant das Thema ist: SharePoint wird weltweit von über 200.000 Unternehmen und 190 Millionen Menschen genutzt. Bei einer verwandten SharePoint-Schwachstelle waren im April 2026 laut ShadowServer rund 1.370 Server weltweit exponiert – die USA und Deutschland standen dabei an der Spitze der am stärksten betroffenen Länder.
Get-SPFarm | Select-Object BuildVersion aus. Vergleichen Sie die Ausgabe mit den Mindest-Builds: Subscription Edition ≥ 16.0.19725.20280, Server 2019 ≥ 16.0.10417.20128, Server 2016 ≥ 16.0.5552.1002.w3wp.exe verdächtige Kindprozesse wie cmd.exe oder powershell.exe startet. Untersuchen Sie die SharePoint-ULS-Logs auf Deserialisierungsfehler.Microsoft hat den Patch bereits im Mai 2026 bereitgestellt. Wenn Sie die Mai-2026-Updates vollständig installiert haben, sind Sie geschützt. Falls nicht, handeln Sie umgehend:
iisreset.exe auf allen SharePoint-Servern aus.web.config, LAYOUTS- oder _vti_bin-Verzeichnissen ein.Ein grundsätzlicher Hinweis kommt vom Bundesamt für Sicherheit in der Informationstechnik (BSI):
„Das BSI empfiehlt grundsätzlich, Sicherheitsupdates im Rahmen eines etablierten Patch-Management-Prozesses zeitnah einzuspielen." – BSI
Die Gefahr ist nicht theoretisch. Die Gruppe Storm-2603 nutzt SharePoint-Schwachstellen seit Mitte 2025 aktiv aus, um die Warlock-Ransomware zu verbreiten. Bei einer früheren Angriffswelle (der sogenannten ToolShell-Kampagne) kompromittierte die Gruppe bis Juli 2025 mindestens 400 Opfer weltweit; Check Point Research registrierte über 4.600 Angriffsversuche bei mehr als 300 Organisationen. Deutschland gehörte zu den prominentesten Zielländern.
Besonders alarmierend ist ein von Microsoft im Juni 2026 dokumentierter Fall, bei dem Storm-2603 gleichzeitig mit einer zweiten, unbekannten Angreifergruppe in derselben Unternehmensinfrastruktur operierte. Die Angreifer nutzten dabei legitime Werkzeuge wie das Forensik-Tool Velociraptor, Cloudflare-Tunnel und SSH-Verbindungen über Visual Studio Code, um unbemerkt persistenten Zugang zu behalten.
„What may appear to be a single ransomware incident can quickly expand into something more complex—spanning organizations, blending tactics, and even involving multiple threat actors operating in parallel." – Microsoft Incident Response (DART)
Warum SharePoint ein so attraktives Ziel ist, erklärt Nick Kirtley von Threat-Modeling.com:
„SharePoint is the backbone of enterprise document management, intranet portals, and collaboration platforms. A compromised SharePoint server gives an attacker access to all stored documents, workflows, lists, and integrated data sources — and often provides a pivot point into connected systems like SQL Server, Power Platform, and Teams." – Nick Kirtley, Threat-Modeling.com
Trotz Microsofts anfänglicher Einschätzung als „weniger wahrscheinlich" ausnutzbar mahnte Zeljka Zorz von Help Net Security bereits im Mai zur Eile:
„Organizations with on-prem SharePoint servers should still treat this as a material update, and implement it sooner rather than later." – Zeljka Zorz, Help Net Security
SharePoint-Server speichern typischerweise große Mengen personenbezogener Daten – Mitarbeiter- und Kundendaten, Vertragsunterlagen, E-Mails. Ein erfolgreicher Angriff, insbesondere in Verbindung mit Ransomware, stellt in der Regel eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO dar.
Daraus ergeben sich konkrete Pflichten:
Die finanziellen Risiken sind erheblich: Deutsche Datenschutzbehörden verhängten 2025 mindestens 249 Bußgelder mit einer Gesamtsumme von 46,9 Mio. EUR. Für Art.-32-Verstöße drohen Bußgelder bis zu 2 % des weltweiten Jahresumsatzes. Ein Beispiel aus Portugal zeigt die Dimension: 2022 wurde ein Krankenhaus wegen unzureichender technischer Schutzmaßnahmen nach einem Cyberangriff mit 4,3 Mio. EUR belegt.
CVE-2026-45659 ist eine gefährliche Kombination: leicht auszunutzen, mit hohem Schadenspotenzial und bereits aktiv im Einsatz durch Ransomware-Gruppen. Die gute Nachricht ist, dass der Patch seit Mai 2026 verfügbar ist – die Aufgabe ist also klar und lösbar.
Wenn Sie SharePoint Server On-Premises betreiben, prüfen Sie jetzt Ihre Build-Nummer und installieren Sie die Mai-2026-Updates umgehend – inklusive Ausführung des Configuration Wizard. Wer die Updates bereits eingespielt hat, sollte zusätzlich Netzwerkzugang, Berechtigungen und Monitoring absichern.
Ein Blick nach vorn: Microsoft beendet den Support für SharePoint Server 2016 und 2019 im Juli 2026 – danach wird es für diese Versionen keine Sicherheitsupdates mehr geben. Wer weiterhin On-Premises betreibt, sollte eine Migration zu SharePoint Online (Microsoft 365) prüfen, die diese Klasse von Schwachstellen dauerhaft eliminiert. Denn die nächste kritische SharePoint-Lücke ist nur eine Frage der Zeit.