Eine neu entdeckte Sicherheitslücke in Microsoft Outlook Web Access (OWA) sorgt derzeit weltweit für Besorgnis unter IT-Sicherheitsexperten. Nach Erkenntnissen des Sicherheitsunternehmens Proofpoint genügt unter bestimmten Umständen bereits das Öffnen einer präparierten E-Mail, damit Cyberkriminelle dauerhaft Zugriff auf ein Outlook-Postfach erhalten. Besonders brisant: Selbst ein späterer Passwortwechsel soll den Angriff nicht mehr stoppen können.
Den Angaben der Sicherheitsforscher zufolge wird die Schwachstelle derzeit von der mutmaßlich russlandnahen Hackergruppe TA488, auch unter den Bezeichnungen Void Blizzard oder Laundry Bear bekannt, ausgenutzt. Seit dem 22. Juli 2026 sollen gezielt Behörden in Europa und den USA sowie Unternehmen aus den Bereichen Telekommunikation, Finanzwesen, Luft- und Raumfahrt sowie Gastgewerbe angegriffen worden sein.
Angriff funktioniert bereits beim Anzeigen der E-Mail
Anders als bei klassischen Phishing-Angriffen müssen Betroffene weder einen Link anklicken noch einen Dateianhang öffnen. Nach Angaben der Forscher handelt es sich um einen sogenannten „Half-Click-Exploit“. Bereits das bloße Anzeigen einer manipulierten Nachricht im Outlook-Webclient kann ausreichen, um Schadcode auszuführen.
Die Angreifer nutzen dabei die Sicherheitslücke CVE-2026-42897, über die JavaScript-Code direkt in den Inhalt einer E-Mail eingeschleust werden kann. Besonders raffiniert: Der Schadcode versteckt sich nach Angaben von Proofpoint sogar hinter scheinbar harmlosen Elementen wie Social-Media-Symbolen innerhalb der Nachricht.
Neue Backdoor verschafft dauerhaften Zugriff
Nach erfolgreicher Ausnutzung der Schwachstelle installiert sich eine bislang unbekannte Schadsoftware mit der Bezeichnung „OWAReaper“. Diese fungiert als versteckte Hintertür und ermöglicht den Angreifern einen dauerhaften Zugriff auf das betroffene Outlook-Postfach.
Besonders problematisch ist, dass die Malware vollständig innerhalb von Outlook Web Access arbeitet und auf dem eigentlichen Computer kaum Spuren hinterlässt. Gleichzeitig entfernt sie nach der Infektion den ursprünglichen Schadcode aus der E-Mail, wodurch eine nachträgliche Analyse zusätzlich erschwert wird.
Passwortwechsel reicht nicht aus
Nach Einschätzung der Sicherheitsforscher gehört genau dieser Aspekt zu den gefährlichsten Eigenschaften des Angriffs. Selbst wenn Betroffene ihr Outlook-Passwort ändern oder den betroffenen Computer vollständig neu installieren, kann der Zugriff der Angreifer bestehen bleiben.
Grund dafür sind mehrere Mechanismen, mit denen sich die Schadsoftware dauerhaft innerhalb der Microsoft-Exchange-Umgebung verankert. Dazu gehören unter anderem gestohlene OAuth-Tokens – digitale Zugriffsschlüssel, mit denen Anwendungen im Namen eines Nutzers auf dessen Konto zugreifen können – sowie manipulierte Berechtigungen innerhalb des Postfachs. Dadurch sichern sich die Täter ihren Zugang auf Serverebene.
Unternehmen im Visier
Nach bisherigen Erkenntnissen richtet sich die aktuelle Angriffswelle vor allem gegen Behörden sowie Unternehmen aus kritischen Wirtschaftsbereichen. Die versendeten E-Mails wirken dabei unauffällig und enthalten häufig allgemeine Informationen zu Wirtschaft, Lieferketten oder Tourismus. Gerade diese Unauffälligkeit erhöht das Risiko, dass Empfänger die Nachrichten öffnen, ohne Verdacht zu schöpfen.
Die Sicherheitsforscher vermuten zudem, dass die Hacker die Schwachstelle möglicherweise bereits als sogenannte Zero-Day-Lücke ausgenutzt haben könnten – also noch bevor Microsoft ein Sicherheitsupdate bereitgestellt hatte.
Sicherheitsmaßnahmen dringend empfohlen
Unternehmen, die Outlook Web Access oder Microsoft Exchange einsetzen, sollten verfügbare Sicherheitsupdates unverzüglich installieren und ihre Systeme sorgfältig überprüfen. Experten empfehlen insbesondere, Exchange-Berechtigungen zu kontrollieren, kompromittierte OAuth-Tokens zu widerrufen und verdächtige Verbindungen zu bekannten Kommando- und Kontrollservern zu untersuchen.
Auch ungewöhnliche Aktivitäten innerhalb eines Outlook-Kontos sollten ernst genommen und zeitnah überprüft werden.
Angriff zeigt neue Dimension der Cyberkriminalität
Der aktuelle Vorfall verdeutlicht, wie sich Cyberangriffe zunehmend weiterentwickeln. Während Nutzer bislang vor allem davor gewarnt wurden, unbekannte Links oder Dateianhänge zu öffnen, reicht bei dieser Angriffsmethode unter Umständen bereits das bloße Anzeigen einer manipulierten E-Mail aus.
Auch wenn die aktuelle Kampagne nach bisherigen Erkenntnissen vor allem Behörden und Unternehmen betrifft, schließen Sicherheitsexperten nicht aus, dass ähnliche Angriffsmethoden künftig auch gegen Privatpersonen eingesetzt werden könnten. Umso wichtiger bleibt es, Sicherheitsupdates zeitnah einzuspielen und verdächtige E-Mails konsequent zu melden oder zu löschen.
