SharePoint Server absichern: Warum Patchen allein 2026 nicht reicht

Wer SharePoint im eigenen Haus betreibt, hatte ein unruhiges Jahr: Das BSI warnte im März und im Juli vor kritischen Lücken, seit September führt die US-Behörde CISA die nächste Schwachstelle als aktiv ausgenutzt. Zugleich endete am 14. Juli der reguläre Support für SharePoint Server 2016 und 2019. Viele Unternehmen haben die Updates eingespielt und das Thema abgehakt. Das greift zu kurz, denn bei solchen Angriffen werden auch kryptografische Schlüssel gestohlen, die ein Patch nicht ungültig macht.

Was 2026 bei SharePoint passiert ist

Betroffen sind selbst betriebene Server. SharePoint Online in Microsoft 365 ist von diesen Lücken nicht betroffen. Drei Ereignisse sollten Sie kennen:

März: CVE-2026-20963 war bereits am Patchday im Januar geschlossen worden, damals noch ohne Hinweise auf Angriffe. Am 18. März nahm die CISA die Lücke in ihren Katalog auf, am 25. März folgte die BSI-Warnung. Die Bewertung lag inzwischen bei CVSS 9,8, eine Ausnutzung ist laut BSI auch ohne Anmeldung möglich.

Juli: Am Patchday vom 14. Juli schloss Microsoft mehrere SharePoint-Lücken, darunter CVE-2026-50522 und CVE-2026-58644. Laut BSI wurde eine davon bereits ausgenutzt, bei drei weiteren hielt Microsoft eine Ausnutzung für „eher wahrscheinlich“. Sicherheitsforscher berichteten danach von Angriffen, die gezielt die Machine Keys der Server auslesen.

September: Das Update gegen CVE-2026-65660 erschien am 11. August. Die Lücke galt zunächst als Spoofing mit CVSS 6,5 und wurde später als Codeausführung mit CVSS 8,8 neu bewertet. Angreifer brauchen dafür ein einfaches Benutzerkonto. Das kanadische Cyber Centre warnt jedoch, dass in Kombination mit anderen Lücken auch ein Angriff ohne Anmeldung möglich ist, wenn der Server anonymen Zugriff erlaubt. Seit dem 25. September steht sie im Katalog der CISA.

Warum Machine Keys so gefährlich sind

Mit dem Machine Key signiert und verschlüsselt ein SharePoint-Server Daten, die zwischen Browser und Server hin- und hergehen. Wer diesen Schlüssel kennt, kann Anfragen bauen, die der Server als echt akzeptiert, und darüber Code ausführen. Für den Angreifer ist das ein Nachschlüssel: Er funktioniert auch nach dem Patch weiter, bis der Schlüssel getauscht ist.

Für Geschäftsführer ist die Konsequenz einfach: Die Frage „Haben wir gepatcht?“ reicht nicht. Sie muss lauten: „War der Server vor dem Patch erreichbar, und haben wir die Schlüssel danach gewechselt?“ Dasselbe Muster gilt für andere Systeme am Netzrand, wie unser Beitrag zu Firewalls und VPN-Gateways zeigt.

Der zweite Engpass: das Support-Ende

Microsoft führt SharePoint Server 2016 und 2019 mit Support-Ende am 14. Juli 2026. Für CVE-2026-65660 nennen Fachberichte trotzdem noch korrigierte Builds aus dem August für beide Versionen. Eine Zusage für weitere Updates oder ein ESU-Programm haben wir nicht gefunden. Planen Sie also nicht damit. Die Lage ähnelt der bei Exchange 2016 und 2019.

Die Mindest-Builds für CVE-2026-65660 stammen aus Fachberichten zum CVE-Eintrag. Maßgeblich ist der Microsoft Security Update Guide. Dort gilt laut Berichten auch: Alle für Ihr Produkt gelisteten Updates müssen installiert sein.

Was NIS2, ISO 27001 und DSGVO dazu verlangen

Für NIS2-pflichtige Unternehmen verlangt § 30 BSIG unter anderem die Behandlung von Schwachstellen und ein Risikomanagement, das die Geschäftsleitung billigen und überwachen muss. Ein Server ohne Herstellersupport ist dabei ein dokumentationspflichtiges Risiko. Wird ein Angriff zum erheblichen Sicherheitsvorfall, greifen die Meldepflichten an das BSI mit 24 Stunden, 72 Stunden und einem Monat.

In ISO 27001 sind vor allem A.8.8 (Management technischer Schwachstellen), A.8.9 (Konfigurationsmanagement) und A.8.15 (Protokollierung) einschlägig. Ein Auditor wird nachfragen, wie Sie Altsysteme behandeln und ob Sie nach einem Patch auch die Folgearbeiten nachweisen können.

Auf SharePoint liegen meist Verträge, Personalunterlagen und Kundendaten. Gibt es Hinweise auf unbefugten Zugriff, müssen Sie Ihren Datenschutzbeauftragten einbinden und prüfen, ob nach Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nötig ist.

Sechs Maßnahmen für KMU

1. Bestand und Patchstand klären

Welche SharePoint-Farmen gibt es, welche Version und welchen Build haben sie? Auch vergessene Test- und Altsysteme zählen. Ein interner Schwachstellenscan findet Server, die in keiner Liste stehen.

2. Erreichbarkeit aus dem Internet prüfen

SharePoint gehört nicht ungeschützt ins Internet. Sperren Sie die Zentraladministration nach außen, prüfen Sie anonymen Zugriff und stellen Sie, wenn nötig, einen Reverse Proxy oder ein VPN davor. Ihre Außensicht können Sie mit den kostenlosen TSMONDO Check-Tools prüfen.

3. Einbruchsspuren suchen, bevor Sie etwas ändern

Sichern Sie IIS- und SharePoint-Logs zuerst. Suchen Sie nach unbekannten .aspx-Dateien in den SharePoint-Verzeichnissen, nach geänderten web.config-Dateien und nach Meldungen Ihrer Endpoint-Lösung. Gibt es Treffer, trennen Sie den Server vom Netz und starten Sie Ihren Notfallplan.

4. Machine Keys tauschen

Microsoft beschreibt dafür die PowerShell-Befehle Set-SPMachineKey und Update-SPMachineKey je Webanwendung, danach folgt iisreset auf allen SharePoint-Servern. Lief der Server vor dem Patch erreichbar, sollten Sie außerdem die Passwörter der SharePoint-Dienstkonten wechseln.

5. AMSI-Integration kontrollieren

AMSI lässt Anfragen vor der Verarbeitung durch den Virenschutz prüfen. Seit September 2025 ist die Integration fest vorgesehen, sie braucht aber Microsoft Defender oder ein kompatibles Produkt. Die Prüfung von Request-Bodies gibt es nur für die Subscription Edition ab Version 25H1. Setzen Sie sie dort auf „Full Mode“, wenn die Leistung es zulässt.

6. Ausstieg aus 2016 und 2019 terminieren

Entscheiden Sie mit Datum, ob Sie zur Subscription Edition oder zu SharePoint Online wechseln. Eine Migration ist ein Projekt, keine Wochenendaufgabe: Berechtigungen, Workflows und Altdaten gehören vorher auf den Prüfstand. Bei einem Wechsel in die Cloud zählt die Härtung von Microsoft 365 gleich mit. Halten Sie Fristen und Zwischenlösungen in Ihrem Patch-Management fest.

Fazit

SharePoint zeigt, was bei Serverlücken 2026 oft der Fall ist: Das Update ist der einfachste Teil. Entscheidend ist, ob Sie wissen, was davor passiert ist, ob gestohlene Schlüssel noch gültig sein können und wie lange die Software noch Updates bekommt. Wer diese drei Fragen klärt und dokumentiert, zeigt, dass sein Schwachstellenmanagement über das Einspielen von Updates hinausgeht. Für KMU mit NIS2-Pflichten ist das der entscheidende Nachweis.

Quellen: BSI-Warnungen 2026-238220-1032 (25.03.2026) und 2026-271713-1032 (14.07.2026); Microsoft Lifecycle („Ending Support in 2026“); Microsoft Learn zu AMSI-Integration in SharePoint Server; MSRC-Leitfaden zu CVE-2025-53770 (Juli 2025); Security-Insider (02.10.2026) sowie WindowsForum und Safeguard zu CVE-2026-65660 unter Bezug auf CISA und das Canadian Centre for Cyber Security; Orange Cyberdefense (22.07.2026). Stand: 03.11.2026. Dieser Beitrag ersetzt keine Rechtsberatung.

Weiterlesen