Outlook-Zero-Day CVE-2026-124194: Warum KMU jetzt Office patchen und NTLM härten sollten

Am Patch Day vom 10. November 2026 hat Microsoft eine Outlook-Lücke geschlossen, die bereits angegriffen wird. CVE-2026-124194 ist offiziell nur als „mittel“ eingestuft. Der Schaden entsteht aber nicht in Outlook selbst, sondern danach: Angreifer erhalten Anmeldedaten im NTLM-Format, mit denen sie sich im Firmennetz weiterbewegen können. Für viele KMU ist das der Anlass, ein altes Problem endlich anzugehen.

Was über die Lücke bekannt ist

Microsoft führt CVE-2026-124194 als Spoofing-Schwachstelle in Outlook und hat laut Sicherheitsanalysen den Status „Ausnutzung festgestellt“ vergeben. Wer angreift und in welchem Umfang, nennt das Advisory nicht. Ein nicht angemeldeter Angreifer schickt eine präparierte Nachrichtendatei. Öffnet der Empfänger sie, baut Outlook ohne die übliche Warnung vor externen Inhalten eine Verbindung zu einem Server des Angreifers auf. Dabei sendet Windows automatisch die NTLM-Anmeldedaten des Benutzers mit.

Die Vorschau im Lesebereich ist nach bisherigen Angaben kein Angriffsweg. Der Nutzer muss die Datei öffnen. Das senkt das Risiko etwas, schützt aber nicht vor einer gut gemachten Phishing-Mail mit plausiblem Anhang.

Betroffen sind laut den Analysen Office LTSC 2021, Office LTSC 2024 und Microsoft 365 Apps for Enterprise. Wichtig für die Praxis: Die Korrektur kommt als Office-Update über Click-to-Run, nicht über Windows Update. Wer nur den Windows-Patchstand überwacht, sieht die Lücke nicht. Die US-Behörde CISA hat sie laut Berichten am 10. November in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen.

Was Angreifer mit NTLM-Hashes anfangen

NTLM ist ein altes Windows-Anmeldeverfahren, das in vielen Netzen parallel zu Kerberos weiterläuft. Ein abgefangener NTLM-Hash lässt sich auf zwei Arten missbrauchen:

Relay-Angriffe

Der Angreifer leitet die Anmeldung in Echtzeit an einen anderen Dienst im Netz weiter, etwa an einen Dateiserver, Exchange oder das Active Directory. Ohne SMB- oder LDAP-Signierung akzeptiert der Zielserver die Anmeldung, als käme sie vom echten Benutzer. Das Passwort braucht der Angreifer dafür nicht.

Offline-Knacken

Schwache Passwörter lassen sich aus dem abgefangenen Hash mit ausreichend Rechenleistung zurückrechnen. Trifft es ein Konto mit Admin-Rechten, steht dem Angreifer das gesamte Netz offen. Unser Beitrag zu Identitätsangriffen ohne Malware zeigt, warum solche Angriffe von klassischem Virenschutz kaum erkannt werden.

Warum das KMU besonders trifft

In vielen mittelständischen Netzen läuft das Active Directory seit Jahren mit Standardeinstellungen. NTLM ist erlaubt, SMB-Signierung wird nicht erzwungen, ausgehender SMB-Verkehr ins Internet ist nicht gesperrt. Dazu kommen Benutzer mit lokalen Admin-Rechten und Dienstkonten mit alten Passwörtern. Genau diese Kombination macht aus einer „mittleren“ Outlook-Lücke einen ernsten Vorfall.

Hinzu kommt der Patch-Prozess. Office-Updates hängen bei vielen Unternehmen am Update-Kanal und werden mit Verzögerung verteilt. Wer den Semi-Annual Enterprise Channel nutzt oder Updates manuell freigibt, sollte prüfen, wann der November-Fix tatsächlich auf den Rechnern ankommt.

Was NIS2 und ISO 27001 verlangen

Für NIS2-pflichtige Unternehmen gehört die Behandlung von Schwachstellen nach § 30 BSIG zu den Risikomanagement-Maßnahmen, die die Geschäftsleitung billigen und überwachen muss. Dazu zählen auch Zugriffskontrolle und sichere Authentifizierung. Eine aktiv ausgenutzte Lücke in einem Standardprogramm wie Outlook sollte im Patch-Management mit kurzer Frist behandelt werden.

In ISO 27001 sind vor allem A.8.8 (Umgang mit technischen Schwachstellen), A.8.5 (Sichere Authentisierung) und A.8.20 (Netzwerksicherheit) einschlägig. Wer ein ISMS betreibt, sollte die Bewertung der Lücke und die getroffenen Maßnahmen dokumentieren. Das ist später der Nachweis gegenüber Auditoren und Behörden.

Sechs Maßnahmen für Ihr Unternehmen

1. Office-Update verteilen und prüfen

Spielen Sie das November-Update für Microsoft 365 Apps und Office LTSC ein. Kontrollieren Sie den tatsächlichen Build-Stand auf den Clients, zum Beispiel über Intune, Ihr Software-Inventar oder unter Datei > Office-Konto. Vergessen Sie Terminalserver und Rechner im Homeoffice nicht.

2. Ausgehendes SMB sperren

Sperren Sie an der Firewall ausgehende Verbindungen auf TCP 445 und 139 sowie UDP 137 und 138 ins Internet. Kein Arbeitsplatz muss per SMB mit fremden Servern sprechen. Diese eine Regel entschärft eine ganze Klasse von NTLM-Angriffen. Prüfen Sie auch, ob WebDAV-Verbindungen nach außen nötig sind.

3. SMB- und LDAP-Signierung erzwingen

Signierung verhindert Relay-Angriffe. Erzwingen Sie SMB-Signierung auf Servern und Clients und LDAP-Signierung mit Channel Binding auf den Domänencontrollern. Für Exchange und IIS sollte Extended Protection for Authentication aktiv sein. Testen Sie vorher, ob ältere Drucker, Scanner oder NAS-Systeme damit umgehen können.

4. Privilegierte Konten schützen

Nehmen Sie Domänen-Admins und andere privilegierte Konten in die Gruppe „Protected Users“ auf. Für diese Konten ist NTLM dann nicht mehr verfügbar. Admins sollten ohnehin nicht mit ihrem privilegierten Konto Mails lesen. Wie Sie das sauber trennen, beschreibt unser Beitrag zu Privileged Access Management.

5. NTLM schrittweise zurückdrängen

Aktivieren Sie zunächst die NTLM-Überwachung per Gruppenrichtlinie und werten Sie aus, welche Systeme NTLM noch nutzen. Danach können Sie ausgehendes NTLM einschränken und am Ende verbieten. Das ist ein Projekt über Wochen, kein Klick. Microsoft hat angekündigt, NTLM langfristig abzuschaffen. Wer jetzt beginnt, ist vorbereitet.

6. Passwörter und Erkennung verbessern

Lange Passwörter machen Offline-Knacken unwirtschaftlich, MFA schützt Cloud-Zugänge zusätzlich. Ungewöhnliche NTLM-Anmeldungen und ausgehende SMB-Verbindungen sollten in Ihrer Protokollauswertung auffallen. Bei konkretem Verdacht greift Ihr Notfallplan.

Fazit

Das Office-Update gegen CVE-2026-124194 ist schnell eingespielt und sollte diese Woche erledigt sein. Die eigentliche Aufgabe liegt dahinter: Solange NTLM ungeschützt im Netz läuft und SMB ins Internet erlaubt ist, wird die nächste Outlook- oder Windows-Lücke wieder Anmeldedaten preisgeben. Wer ausgehendes SMB sperrt und Signierung erzwingt, schließt diese Tür für die meisten Varianten auf einmal.

Quellen: Cybersecurity News, „Microsoft November 2026 Patch Tuesday“ (10.11.2026); TechyGeeksHome, „November 2026 Patch Tuesday“; Decryption Digest, Analyse zu CVE-2026-124194 (Angaben zu KEV-Aufnahme und Gegenmaßnahmen). Die Gesamtzahl der geschlossenen Lücken weicht je nach Quelle ab (1.093 bis 1.235). Betroffene Produktversionen wurden nicht direkt gegen das MSRC-Advisory abgeglichen. Stand: 12.11.2026. Dieser Beitrag ersetzt keine Rechtsberatung.

Weiterlesen