Zero-Day-Attacke auf Microsoft SharePoint – über 400 Organisationen betroffen!

Eine neue massive Angriffswelle erschüttert aktuell die IT‑Sicherheitswelt: Mehr als 400 Unternehmen und Organisationen weltweit wurden durch eine kritische Zero-Day-Lücke in Microsoft SharePoint kompromittiert – darunter auch Regierungsbehörden wie die US-amerikanische National Nuclear Security Administration (NNSA).

Der Exploit betrifft die CVE-2025-53770, eine Schwachstelle in selbstgehosteten SharePoint‑Systemen, über die Angreifer aus der Ferne beliebigen Code ausführen können – mit potenziell ungehindertem Zugriff auf interne Daten und Netzwerke.

Was ist passiert?

Die niederländische Sicherheitsfirma Eye Security hatte die Schwachstelle entdeckt und Hunderte betroffene Systeme per Internet-Scan identifiziert. Seitdem ist die Zahl der kompromittierten Server stark gestiegen.

Laut Google und Microsoft stecken mehrere chinesisch-staatlich unterstützte Hackergruppen hinter den Angriffen. Die Angriffe reichen von Cyberspionage bis hin zu Ransomware-Einsätzen durch Gruppen wie Lockbit und Warlock – ein klarer Hinweis auf die steigende Professionalisierung und Diversifizierung solcher Kampagnen.

Der Patch kam – zu spät und unvollständig

Microsoft veröffentlichte am 8. Juli ein Update – allerdings stellte sich bald heraus, dass der Patch unvollständig war. Dadurch blieben Tausende Systeme weiterhin verwundbar. Sicherheitsforscher sprechen derzeit von bis zu 9.000 exponierten Systemen.

Besonders kritisch: Die Angriffe begannen offenbar bereits am 7. Juli, also vor Bekanntwerden der Schwachstelle – ein klassisches Zero-Day-Szenario.

Wer ist betroffen?

Neben US‑Behörden wurden auch mehrere europäische Unternehmen, Behörden und kritische Infrastrukturen kompromittiert. Zwar spricht das US-Energieministerium von einer „minimalen Auswirkung“, doch das Schadpotenzial ist enorm – besonders wenn Angreifer seit Wochen Zugriff auf Netzwerke haben.

Was Unternehmen jetzt tun sollten

1. Sofort prüfen, ob eigene SharePoint-Systeme betroffen sind.
2. Microsofts aktuellste Patches einspielen – und den Patchstand verifizieren.
3. Externe Penetrationstests und Schwachstellen-Scans durchführen.
4. Darkwebmonitoring aktivieren – sind Ihre Daten bereits im Umlauf?
5. Incident-Response-Pläne aktivieren – inkl. forensischer Analyse.

Unser Fazit

Dieser Fall zeigt erneut, wie gefährlich On‑Premise‑Systeme ohne aktives Schwachstellenmanagement sein können. Es reicht nicht, nur zu patchen – Awareness, Monitoring und technische Detektion müssen auf allen Ebenen mitgedacht werden. Wer hier zögert, riskiert nicht nur einen Datenabfluss, sondern im schlimmsten Fall Ransomware-Angriffe mit Betriebsstillstand. Sie möchten wissen, wie Sie ihr Unternehmen gegen solche Bedrohungen resilient aufstellen? Wir begleiten Sie mit einem ganzheitlichen Security-Konzept – organisatorisch, technisch und menschlich. Nehmen Sie hier Kontakt auf.