Eine gefährliche Schwachstelle in lokal betriebenen SharePoint-Systemen hat bereits vor dem offiziellen Sicherheitsupdate zu zahlreichen Angriffen geführt. Nach aktuellen Informationen wurden am vergangenen Wochenende mindestens 100 Organisationen Ziel solcher Attacken – betroffen sind unter anderem Einrichtungen in Deutschland und den USA. 

Die Lücke, bekannt unter dem Namen „ToolShell“, wurde von Expert:innen des Sicherheitsunternehmens Eye Security identifiziert. Noch bevor Microsoft ein Sicherheitsupdate bereitstellte, nutzten Angreifer die Schwachstelle aktiv aus. Laut Sicherheitsanalysen lassen sich erste Angreifergruppen bis nach China zurückverfolgen. 

Microsoft informierte zwar früh über die Schwachstelle, stellte jedoch zunächst lediglich den Microsoft Defender als temporären Schutz vor. Inzwischen wurden Updates für einige SharePoint-Versionen veröffentlicht. Wichtig: Das Einspielen der Updates allein genügt nicht – zusätzlich müssen die sogenannten ASP.Net „Machine Keys“ erneuert und der IIS-Dienst neu gestartet werden. 

IT-Sicherheitskreise gehen davon aus, dass weltweit rund 9.000 bis 10.000 SharePoint-Instanzen verwundbar gewesen sein könnten, bevor das Update erschien. Die ersten Zielobjekte der Angriffe sollen unter anderem ein großes europäisches Energieunternehmen sowie staatliche Einrichtungen gewesen sein. 

Betreiber:innen von SharePoint-Instanzen sollten umgehend prüfen, ob ihre Systeme betroffen sein könnten – und die empfohlenen Schutzmaßnahmen vollständig umsetzen. 

SiBa empiehlt: 

• Prüfen Sie umgehend, ob ihr System betroffen ist, und führen Sie die oben genannten Maßnahmen durch. 

• Informieren Sie sich in regemäßigen Abständen, auf offiziellen Webseiten, nach Updates oder anderen handlungskritischen Meldungen. 

• Wenn möglich, richten Sie automatische Updates ein. 

• Kompromittierte Systeme sollten am besten von Ihrer IT-Abteilung oder einem Fachmann geprüft und bereinigt werden. 

Quelle der Meldung: heise.de 

Wer kann mir helfen? 

Beschreibung des Sicherheitsupdates für SharePoint Enterprise Server 2016: 21. Juli 2025 (KB5002760) – Microsoft-Support
Updates • Digitalführerschein (DiFü)

Wie schütze ich mich? 

Cloud-Datensicherheitsmaßnahmen in SharePoint & OneDrive – SharePoint in Microsoft 365 | Microsoft Learn
SharePoint-Sicherheitslücke Toolshell: Exploits und Abwehr | Computer Weekly