Veröffentlicht am 04.09.2026
Ein einziger präparierter Verbindungsversuch auf Ihren Mailserver – und ein nicht angemeldeter Angreifer führt Betriebssystembefehle aus, als säße er direkt an der Konsole. Genau das ermöglicht eine derzeit aktiv ausgenutzte Sicherheitslücke in Zimbra Collaboration, einer weit verbreiteten Server-Software für E-Mail, Kalender und Webmail. Die Schwachstelle trägt die Kennung CVE-2026-73570, wird bereits im großen Stil angegriffen und wurde am 21. August 2026 von der US-Behörde CISA in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Wenn Sie einen eigenen Zimbra-Mailserver betreiben, sollten Sie jetzt handeln.
Für Zimbra Collaboration vor Version 10.1.20 wird eine sogenannte OS-Command-Injection gemeldet – eine Schwachstelle, bei der ein Angreifer über manipulierte Eingaben eigene Betriebssystembefehle in ein Programm einschleusen kann. Im Fall von CVE-2026-73570 passiert das über die Verarbeitung von SNMP-Benachrichtigungen. SNMP (Simple Network Management Protocol) ist ein Standard zur technischen Überwachung von Servern.
Das Tückische: Der Angriff funktioniert ohne Anmeldung. Ein Angreifer sendet lediglich speziell präparierte SMTP-Anfragen – also Anfragen über das Protokoll, mit dem E-Mails zwischen Servern ausgetauscht werden. Werden diese Eingaben in der SNMP-Benachrichtigungsverarbeitung nicht ausreichend bereinigt, gelangen sie in Betriebssystembefehle, die dann mit den Rechten des Benutzers zimbra ausgeführt werden. Die MITRE Corporation beschreibt den Ablauf im offiziellen CVE-Eintrag so:
„Due to improper sanitization of untrusted input during SNMP notification processing, an unauthenticated attacker can send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.“ (MITRE Corporation, CVE-Programm)
Die Lücke ist als CWE-78 (OS Command Injection) klassifiziert und mit einem CVSS-v3.1-Wert von 8,9 (High) bewertet – auf einer Skala bis 10 also im oberen Bereich.
Wichtig zum Verständnis der Betroffenheit: Die Schwachstelle greift nur unter einer bestimmten Konfiguration. Das optionale Paket zimbra-snmp muss installiert und die SNMP-Benachrichtigungen (SNMP-Traps) müssen aktiviert sein. CERT Polska präzisiert die im Feld beobachtete Konfiguration als aktivierte SNMP-Traps über snmp_notify bei aktivem swatchdog (einem Überwachungsdienst). Nicht jede internetexponierte Zimbra-Instanz ist also automatisch verwundbar – aber jede, die diese Voraussetzungen erfüllt und nicht gepatcht ist.
Die Chronologie zeigt, wie rasch aus einem Patch ein akuter Notfall wurde:
Das CCB formuliert unmissverständlich:
„Security researchers have identified an ongoing campaign that is actively exploiting this vulnerability.“ (Centre for Cybersecurity Belgium)
Betroffen sind Organisationen, die einen eigenen Zimbra-Mailserver in einer Version vor 10.1.20 betreiben – und zwar dann, wenn das Paket zimbra-snmp installiert und SNMP-Benachrichtigungen aktiviert sind. Das betrifft klassischerweise KMU, Behörden, Vereine und Bildungseinrichtungen, die ihre E-Mail-Infrastruktur selbst hosten oder durch einen IT-Dienstleister betreiben lassen.
Nicht unmittelbar betroffen von dieser konkreten Server-Schwachstelle ist, wer lediglich Website-Hosting nutzt, ohne einen eigenen Zimbra-Mailserver zu betreiben. Wenn Sie unsicher sind, ob in Ihrer Infrastruktur Zimbra läuft, fragen Sie Ihren IT-Dienstleister gezielt danach.
Zur Reichweite gibt es keine belastbare Zahl bestätigter verwundbarer oder kompromittierter Organisationen. Der Sicherheitsdienst Shadowserver verfolgte laut einem Bericht vom 20. August 2026 mehr als 12.100 internetexponierte Zimbra-Server, davon 4.382 in Europa und 4.492 in Asien. Diese Zahl darf aber ausdrücklich nicht als Opfer- oder Verwundbarkeitszahl verstanden werden: Unbekannt ist, wie viele davon Honeypots (absichtlich als Köder aufgestellte Systeme) sind oder bereits gepatcht wurden. Ein veröffentlichter Proof-of-Concept oder detaillierter Exploit-Code wurde in den ausgewerteten Quellen nicht genannt – die aktive Ausnutzung ist dennoch durch CERT Polska, CCB und CISA belegt.
Gehen Sie die folgenden Schritte systematisch durch – idealerweise gemeinsam mit Ihrem IT-Dienstleister:
Ein unauffälliger Check ersetzt keine tiefergehende forensische Bewertung – aber er gibt Ihnen eine erste, wichtige Orientierung.
Ein Mailserver ist kein beliebiges IT-System – er verarbeitet fortlaufend E-Mails, Anhänge, Adressbuchdaten und häufig auch Zugangsdaten. Wird er übernommen, hat ein Angreifer Zugriff auf einen zentralen Nervenknoten der Unternehmenskommunikation.
Wie attraktiv Zimbra-Server als Ziel sind, zeigt ein Vergleich: Eine gemeinsame CISA-Behördenwarnung vom 23. Juli 2026 dokumentierte für eine andere Zimbra-Schwachstelle (CVE-2025-66376) eine seit mindestens Juli 2025 laufende Kampagne gegen westliche Regierungs- und kommerzielle Organisationen. Nach erfolgreicher Ausnutzung versuchten die Angreifer unter anderem, die E-Mails der letzten 90 Tage, Passwörter, globale Adresslisten, 2FA-Token und App-Passcodes abzugreifen. Das ist kein Nachweis für einen Datenabfluss durch CVE-2026-73570 – verdeutlicht aber, welcher Schaden bei einem kompromittierten Mailserver droht.
Das bloße Vorliegen der Schwachstelle ist noch keine Datenschutzverletzung. Wird Ihr Mailserver jedoch erfolgreich kompromittiert und sind personenbezogene Daten betroffen, liegt regelmäßig eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO nahe. Dann müssen Sie als Verantwortlicher unverzüglich eine dokumentierte Risikobewertung vornehmen.
Konkret bedeutet das:
Hinzu kommt: Art. 82 DSGVO regelt Schadensersatzansprüche betroffener Personen. Für Verstöße gegen Pflichten nach Art. 25 bis 39 – und damit auch gegen Art. 32 – erlaubt Art. 83 Abs. 4 DSGVO Geldbußen bis 10 Mio. EUR oder bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Eine feste Standardbuße gibt es nicht: Art, Schwere und Dauer des Verstoßes, betroffene Daten, ergriffene Maßnahmen, Kooperation und Meldung werden im Einzelfall gewürdigt.
Hoch und zeitkritisch. Die Lücke erlaubt unter den beschriebenen Konfigurationsvoraussetzungen unauthentisierte Befehlsausführung über SMTP und wird nach CERT Polska, CCB und CISA bereits aktiv ausgenutzt. Betroffen ist nicht nur die Webmail-Oberfläche, sondern der Mailserver als System – und damit potenziell die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer gesamten geschäftlichen Kommunikation. Die CVSS-Bewertung von 8,9 und die KEV-Aufnahme unterstreichen die operative Dringlichkeit.
Die gute Nachricht: Nicht jede Zimbra-Instanz ist zwingend verwundbar, weil zimbra-snmp und aktivierte SNMP-Benachrichtigungen Voraussetzung sind. Die klare Konsequenz aber lautet: Jede nicht auf 10.1.20 aktualisierte ZCS-Umgebung sollte sofort geprüft werden.
CVE-2026-73570 ist ein Lehrstück dafür, wie schnell aus einem verfügbaren Patch ein aktiver Notfall wird. Zimbra stellte den Fix bereits am 20. Juli 2026 bereit – nur wenige Wochen später laufen weltweit Angriffe. Wer jetzt zügig handelt, ist auf der sicheren Seite; wer wartet, riskiert eine Kompromittierung, die nachträglich durch Patchen nicht mehr rückgängig gemacht werden kann.
Prüfen Sie noch heute, ob Sie einen Zimbra-Server betreiben, in welcher Version er läuft und ob SNMP aktiviert ist. Erstellen Sie ein Backup, spielen Sie das Update auf 10.1.20 ein und kontrollieren Sie parallel die von CERT Polska genannten Indikatoren. Sollten Sie Verdachtszeichen finden, aktivieren Sie umgehend Ihren Incident-Response-Prozess und prüfen Sie Ihre datenschutzrechtlichen Meldepflichten. Wenn Sie Ihre Mailinfrastruktur durch einen Dienstleister betreiben lassen, fordern Sie eine schriftliche Bestätigung des Patch-Stands an – konkret und mit Datum.