Inhalt in Kürze
- Rekord-Patchday am 14. Juli: Microsoft schloss 622 Schwachstellen an einem Tag, rund 60 davon kritisch — zwei wurden schon vor dem Patch angegriffen.
- SharePoint-Server on-premises: Der Zero-Day CVE-2026-58644 (CVSS 9,8) erlaubt Fernzugriff. Wer nur patcht, bleibt angreifbar — die gestohlenen Server-Schlüssel wirken weiter.
- WordPress-Alarm: Das BSI setzt die Lückenkette wp2shell auf Risikostufe Orange. Nicht sofort aktualisierte Websites gelten als kompromittiert.
- BKA-Erfolg: Die Phishing-Plattform Kratos ist abgeschaltet — sie lieferte 1.800 Kriminellen monatlich rund 15.000 Kampagnen mit gefälschten Microsoft-Logins.
Der Juli 2026 war der Monat, in dem Patch-Management vom Hygienethema zur Chefsache wurde. Ein Rekord-Patchday, eine aktiv angegriffene Website-Lücke und ein Blick hinter die Kulissen der Phishing-Industrie — dazu läuft am 31. Juli die letzte NIS-2-Frist ab. Was davon Ihren Betrieb betrifft, steht hier.
Rekord-Patchday im Juli 2026: 622 Lücken an einem Tag
Am 14. Juli hat Microsoft 622 Sicherheitslücken geschlossen — so viele wie nie zuvor an einem einzigen Patchday. Allein 416 entfallen auf Windows, 82 auf Office, 46 auf Edge, 17 auf SharePoint Server. Rund 60 Lücken stuft Microsoft als kritisch ein.
Zwei Schwachstellen wurden angegriffen, bevor es einen Patch gab: CVE-2026-56155 in den Active Directory Federation Services (CVSS 7,8) und CVE-2026-56164 in SharePoint (CVSS 5,3). Besonders die AD-FS-Lücke verdient Aufmerksamkeit, denn sie sitzt an der Stelle, an der Ihr lokales Active Directory und Microsoft 365 zusammenlaufen. Wer dort Fuß fasst, hat Zugang zu Identitäten — und Identitäten sind heute der kürzeste Weg zu Ransomware.
Für Firmen mit Außendienst kommt CVE-2026-50661 hinzu: ein öffentlich bekannter Weg, die BitLocker-Verschlüsselung zu umgehen. Der Laptop, der im ICE liegen bleibt, ist damit wieder ein echtes Risiko.
Die ehrliche Frage bei 622 Lücken lautet nicht „alles patchen?”, sondern „was zuerst?”. Unsere Antwort aus dem Tagesgeschäft: nach nachgewiesener Ausnutzung priorisieren, nicht nach Schweregrad allein. Was im Katalog der US-Behörde CISA als aktiv ausgenutzt geführt wird, gehört binnen 48 Stunden geschlossen. Eine 9,8er-Lücke auf einem rein internen System ist weniger dringend als eine 7er-Lücke auf dem Server, der aus dem Internet erreichbar ist.
SharePoint-Server: Wer nur patcht, ist noch nicht sicher
Zwei Tage nach dem Patchday stufte die CISA eine weitere SharePoint-Schwachstelle als aktiv ausgenutzt ein: CVE-2026-58644, CVSS 9,8. Über eine unsichere Deserialisierung führen Angreifer aus der Ferne eigenen Code aus. Betroffen sind ausschließlich lokal betriebene Server — SharePoint Server Subscription Edition, 2019 und Enterprise 2016. Wer SharePoint Online in Microsoft 365 nutzt, ist außen vor.
Das Gefährliche ist der zweite Schritt: Angreifer stehlen die Maschinenschlüssel des Webservers. Mit diesen Schlüsseln lassen sich manipulierte Daten so signieren, dass der Server sie für echt hält. Der Zugang bleibt also bestehen — auch nach dem Update. Genau deshalb reicht „Patch eingespielt, Haken dran” hier nicht.
Erst patchen, dann auf Einbruchsspuren prüfen, dann die Maschinenschlüssel austauschen. Wer die Schlüssel vor dem Patch tauscht, sperrt die Angreifer nicht aus — sie holen sich einfach die neuen.
- Patch einspielen: Die Updates vom 14. Juli auf allen SharePoint-Servern, danach Neustart und Versionsstand kontrollieren.
- Kompromittierung prüfen: Server-Logs auf ungewöhnliche Anfragen und neu angelegte Dateien im Webverzeichnis durchsehen.
- Schlüssel rotieren: Die IIS-Maschinenschlüssel neu erzeugen und die betroffenen Dienste durchstarten.
US-Bundesbehörden mussten diese Updates bis zum 19. Juli installiert haben. Diese Frist ist ein brauchbarer Maßstab dafür, wie ernst die Lage eingeschätzt wird. Wie Sie Berechtigungen und Daten in SharePoint grundsätzlich sauber aufstellen, haben wir in unserem Leitfaden zur SharePoint-Sicherheit für IT-Verantwortliche beschrieben.
wp2shell: Ihre Firmen-Website ist ein Angriffsziel
Am 21. Juli meldete heise, dass die WordPress-Lückenkette wp2shell aktiv angegriffen wird. Zwei Schwachstellen — CVE-2026-60137 (CVSS 9,1) und CVE-2026-63030 (CVSS 7,5) — ergeben zusammen einen Wert von 9,8. Ausnutzbar ohne Login, also von jedem beliebigen Besucher Ihrer Website aus.
Das BSI hat die Lücke auf Risikostufe 3 (Orange) von maximal 4 gesetzt. Betroffen sind alle Installationen vor WordPress 7.1 Beta 2, 7.0.2, 6.9.5 und 6.8.6. Der unbequemste Satz der Behörde: Systeme, die nicht sofort aktualisiert wurden, sollten als kompromittiert betrachtet werden. Übersetzt heißt das: Update allein genügt nicht, es braucht eine Prüfung der Website auf hinterlassene Hintertüren.
Aus unserer Erfahrung ist das für viele Mittelständler ein blinder Fleck. Die Firmen-Website wurde vor Jahren von einer Agentur gebaut, läuft seitdem irgendwo und taucht in keiner Wartungsliste auf. Sie steht nicht im Patch-Management, weil sie „ja nur die Website” ist. Aber sie hängt am selben Namen wie Ihre E-Mails — und eine gekaperte Unternehmensseite, die Besucher mit Schadcode versorgt, ist ein Reputationsschaden, den kein Backup zurückholt.
Kratos: Das BKA schaltet eine Phishing-Fabrik ab
Am 20. Juli meldete das Bundeskriminalamt gemeinsam mit dem FBI einen Schlag gegen den Phishing-Dienst Kratos. Über 200 Server wurden abgeschaltet, der Entwickler in Indonesien festgenommen.
Interessant ist das Geschäftsmodell dahinter. Kratos war keine Bande, sondern ein Baukasten zur Miete: rund 1.800 kriminelle Kunden, etwa 15.000 Phishing-Kampagnen pro Monat, seit Ende 2024 mehrere Hunderttausend Opfer in über 30 Ländern. Verkauft wurde ein täuschend echter Nachbau der Microsoft-Anmeldeseite. Der Umsatz der Betreiber: über 300.000 Euro.
Der entscheidende Punkt für Ihre Sicherheitsplanung: Kratos griff nicht nur Passwörter ab, sondern auch die Sitzungs-Cookies. Damit ließ sich die Zwei-Faktor-Abfrage aushebeln — der Angreifer war bereits angemeldet, ohne je einen Code eingeben zu müssen.
Zwei-Faktor-Authentifizierung ist der Schutz Nummer eins vor Ransomware. Kostet nichts, dauert 5 Minuten pro Mitarbeiter — und macht 99 % der Angriffe wirkungslos.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Das gilt weiterhin — Kratos ändert daran nichts, sondern präzisiert es. Wer noch SMS-Codes nutzt, sollte umstellen: auf App-Bestätigung, Passkeys oder Hardware-Token. Warum SMS 2026 keine gute Wahl mehr ist, steht in unserem Beitrag zum MFA-Level-Up. Dazu gehören kurze Sitzungsdauern und Regeln, die Anmeldungen aus untypischen Ländern blockieren. Wie professionell die Köder inzwischen aussehen, zeigt unsere Übersicht der aktuellen Phishing-Trends.
Aus der Praxis: Drei Systeme, die niemand auf dem Schirm hat
Wenn wir bei Hamburger Mittelständlern eine Bestandsaufnahme machen, fehlen fast immer dieselben drei Dinge im Patch-Plan: die Firmen-Website, die Sicherheitssoftware selbst und alles, was ein Dienstleister „mitbetreut”. Für Server und Arbeitsplätze gibt es meist einen Prozess. Für die WordPress-Installation der Agentur gibt es niemanden — bis das BSI Alarmstufe Orange ausruft.
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
- Juli-Patchday abschließen. Sind die Updates vom 14. Juli überall durch — inklusive AD FS und BitLocker-Fix?
- SharePoint on-premises prüfen. Patch, Kompromittierungs-Check, Schlüsseltausch — in dieser Reihenfolge.
- Website aktualisieren. WordPress auf 7.0.2, 6.9.5 oder 6.8.6 heben und auf hinterlassene Dateien prüfen lassen.
- Anmeldeverfahren härten. SMS-Codes ablösen, Sitzungsdauern verkürzen, Zugriff aus dem Ausland einschränken.
- NIS-2-Registrierung erledigen. Bis zum 31. Juli im BSI-Portal — sie dauert vorbereitet unter einer Stunde.
Wenn dieser Rhythmus personell nicht zu halten ist, ist genau das der Fall für Managed IT Services: Patch-Management, Monitoring und Prüfung laufen dann als Prozess, nicht als Erinnerung im Kalender eines Geschäftsführers.
NIS-2: Sechs Tage bis zum Fristende
Die Nachfrist des BSI läuft am 31. Juli 2026 ab. Bis Ende Mai hatten sich erst rund 18.500 Organisationen registriert — deutlich weniger als erwartet, weshalb das BSI überhaupt nachfasste. Danach drohen Bußgelder bis 500.000 Euro allein für die versäumte Registrierung.
Falls Sie betroffen sind: Der Fahrplan zur NIS-2-Beratung in Hamburg führt durch Registrierung und Pflichten. Die inhaltlichen Anforderungen lassen sich nicht in einer Stunde nachholen — die Registrierung schon.
Wer das nicht nebenbei stemmen kann, gibt es ab: Als Partner für Cybersecurity in Hamburg und NIS-2-Compliance übernehmen wir das für Mittelständler in Norddeutschland zum Festpreis. Den Vormonat können Sie hier nachlesen: Cybersicherheit im Juni 2026.
Patch-Rückstand, offene Website, NIS-2-Frist — wo stehen Sie?
15 Minuten Erstgespräch. Kostenlos. Ohne Vertriebsdruck.
Termin buchen →
