Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Seit dem 22. Juli 2026 werden lokale Exchange-Server über Outlook Web Access angegriffen und dort das Schadprogramm OWAReaper installiert. Ausgenutzt wird CVE-2026-42897, eine Cross-Site-Scripting-Schwachstelle mit einem CVSS-Wert von 8,1, die Microsoft am 14. Mai 2026 als aktiv angegriffen gemeldet und erst am 9. Juni 2026 mit einem Update geschlossen hat.
Das Öffnen der Mail im Lesebereich genügt – ein Klick auf Link oder Anhang ist nicht nötig. Betroffen sind ausschließlich Exchange-Server im eigenen Rechenzentrum, Exchange Online nicht.
Das Wichtigste in Kürze
- OWAReaper ist ein JavaScript-Implantat, das vollständig im Browser innerhalb der OWA-Sitzung läuft - laut Proofpoint das bislang ausgereifteste Half-Click-Implantat, das das Unternehmen beobachtet hat.
- Ausgenutzt wird CVE-2026-42897 (CVSS 8,1 nach Microsoft-Bewertung), eine XSS-Lücke in Outlook Web Access von Exchange Server Subscription Edition, 2016 und 2019 - Exchange Online ist nicht betroffen.
- Das Öffnen der präparierten Mail im Lesebereich reicht zur Infektion; anschließend entfernt der Schadcode seine eigenen Spuren aus der Nachricht auf dem Server.
- OWAReaper übersteht Passwortwechsel und selbst die Neuinstallation des Endgeräts, weil der Zugang im Postfach und in Exchange-Ordnerrechten verankert wird.
- Sofort prüfen: Juni-Sicherheitsupdates einspielen (Exchange SE: KB5094139), Ordnerrechte für den Benutzer „Default“ kontrollieren, EWS-Token der Outlook-Add-ins widerrufen.
So läuft der OWAReaper-Angriff ab
Am 22. Juli 2026 begann eine breite Angriffswelle, die das Sicherheitsunternehmen Proofpoint am 29. Juli 2026 öffentlich beschrieben hat. Die Mails kommen aus zuvor gehackten Konten und tragen unauffällige Köder – Analysen zu Halbleiter-Lieferketten oder Kennzahlenberichte zur Tourismusbranche. Die Streuung ist bewusst breit gehalten, damit die Kampagne im normalen Massenmail-Rauschen untergeht.
Im Fokus stehen Regierungsstellen in den USA und Europa sowie Unternehmen aus Telekommunikation, Finanzwesen, Hotellerie und Luft- und Raumfahrt.
Die Angriffsinfrastruktur wurde laut Proofpoint bereits im März 2026 aufgebaut, zwei Monate vor der Microsoft-Meldung. Die Lücke wurde also vermutlich schon vorher in kleinerem Umfang als Zero-Day genutzt.
Zahlen, Daten, Fakten
Die wichtigsten Kennzahlen zur Schwachstelle und zur laufenden Kampagne im Überblick:
- 8,1 CVSS-Wert nach Microsoft-Bewertung - das NVD führt die Lücke mit 6,1
- 14.05.2026 Microsoft-Advisory mit bestätigter Ausnutzung, das Update kam erst am 09.06.2026
- 3 voneinander unabhängige Persistenzwege in einem einzigen Implantat
- 2 Command-and-Control-Kanäle und zwei getrennte Exfiltrationsverfahren
Warum der Half-Click-Exploit funktioniert
Die Ursache liegt im Server: Exchange bereinigt das HTML im Nachrichtenkörper nicht ausreichend. In der präparierten Mail steckt ein onload-Ereignishandler, der beim Aufbau der Nachricht im Lesebereich automatisch ausgelöst wird. Er setzt den eigentlichen Schadcode aus Base64-Fragmenten zusammen, die in den Social-Media-Symbolen der Nachricht versteckt sind. Weitere Daten liegen hinter einem Raute-Zeichen, damit der Browser sie beim Seitenaufruf nicht mitüberträgt.
Half-Click erklärt
Beim klassischen Phishing braucht es einen vollen Klick – auf einen Link oder einen Anhang. Beim Half-Click-Exploit genügt die halbe Handlung: das Öffnen beziehungsweise die Vorschau der Nachricht. Awareness-Schulungen greifen hier nicht mehr, weil es keine erkennbare Entscheidung des Nutzers gibt.
Der Code läuft im Browser-Kontext der angemeldeten OWA-Sitzung, also mit allen Rechten des Postfachbesitzers. Als erste Aktion schreibt OWAReaper die auslösende Nachricht auf dem Server um und entfernt den Exploit-Code daraus – bei einer späteren Prüfung sieht die Mail harmlos aus.
Wie OWAReaper im Postfach bleibt
Das Implantat sammelt gespeicherte OWA-Zugangsdaten über unsichtbare Eingabefelder, die das Ausfüllen durch den Browser auslösen. Zusätzlich sucht es Outlook-Add-ins mit der Berechtigung ReadWriteMailbox und stiehlt deren OAuth-Token für die Exchange Web Services. Über einen regulären Ordner-Befehl vergibt es dem Standardbenutzer „Default“ Besitzerrechte auf alle Mailordner – ein Zugang, der von außen wie eine normale Berechtigung aussieht.
1
Verschlüsselt im Browser-Speicher
Im localStorage-Schlüssel PageDataPayload.OwaUserDefaultSettings, der bei jeder OWA-Synchronisierung wieder ausgeführt wird.
2
In den Server-Ordnerrechten
Der Zugriff über gestohlene EWS-Token und die vergebenen Besitzerrechte übersteht Passwortwechsel und Geräte-Neuinstallation.
3
Im Offline-Cache
Versteckte iframes in zwischengespeicherten Nachrichten der IndexedDB-Datenbank owa_offline_db starten den Code erneut, sobald die Mail wieder geöffnet wird.
Befehle holt sich das Implantat über zwei Kanäle: alle 24 Stunden über die Commit-Suche der GitHub-API und zusätzlich aus eingehenden Mails der Betreiber, deren Offline-Cache alle fünf Minuten geprüft wird. Gestohlene Daten fließen per HTTPS mit verschlüsselten URI-Pfaden über legitime CDN-Dienste ab; scheitert das, weicht OWAReaper auf getunnelte DNS-Anfragen aus. Beides fällt in normalen Netzwerkprotokollen kaum auf.
Patchstand gegen CVE-2026-42897 prüfen
Microsoft veröffentlichte das Advisory am 14. Mai 2026 zunächst ohne Update und mit einer Übergangsmaßnahme: Wer den Exchange Emergency Mitigation Service aktiv hat – Standard in aktuellen Installationen -, erhielt die Gegenmaßnahme automatisch; alternativ ließ sie sich per Exchange On-premises Mitigation Tool nachziehen.
| Produkt | Stand zu CVE-2026-42897 | Was zu tun ist |
|---|---|---|
| Exchange Server Subscription Edition | Update verfügbar: SU7 (KB5094139) vom 09.06.2026 | Update einspielen und Build gegenprüfen |
| Exchange Server 2019 | Update nur über ESU – Support endete am 14.10.2025 | ESU-Berechtigung klären, Update einspielen, Migration terminieren |
| Exchange Server 2016 | Update nur über ESU – Support endete am 14.10.2025 | ESU-Berechtigung klären, Update einspielen, Migration terminieren |
| Exchange Online / Microsoft 365 | Nicht betroffen | In Hybrid-Umgebungen die lokalen Server prüfen |
Das eigentliche Update kam mit den Juni-Sicherheitsupdates am 9. Juni 2026. Exchange Server 2016 und 2019 sind seit dem 14. Oktober 2025 außerhalb des Supports – Updates gibt es dort nur noch über das kostenpflichtige ESU-Programm, dessen zweite Periode bis Ende Oktober 2026 läuft und einen Enterprise Agreement voraussetzt. Wer diese Versionen ohne ESU betreibt, hat für CVE-2026-42897 keinen Patch und ist allein auf die Mitigation angewiesen. Die Hintergründe zur Lücke selbst haben wir im Beitrag zum Exchange-Zero-Day CVE-2026-42897 beschrieben.
Hinweise zum Vorgehen für IT-Admins
Die automatische Mitigation ersetzt das Update nicht.
Sie greift nur, solange der Emergency Mitigation Service aktiv ist und der Server die Microsoft-Dienste erreichen kann.
1
Patchstand feststellen
Alle lokalen Exchange-Server inventarisieren und prüfen, ob die Juni-Sicherheitsupdates installiert sind. Für Exchange 2016 und 2019 klären, ob eine ESU-Berechtigung besteht.
2
Mitigation kontrollieren
Emergency Mitigation Service aktiv, Mitigation angewendet, ausgehende Verbindung zu den Microsoft-Diensten möglich.
3
Ordnerrechte prüfen
Postfächer auf Besitzerrechte für den Benutzer „Default“ durchsuchen. Das ist der auffälligste und am einfachsten prüfbare Hinweis auf eine Kompromittierung.
4
Add-ins und Token auditieren
Outlook-Add-ins mit der Berechtigung ReadWriteMailbox erfassen, nicht benötigte entfernen, EWS-Token widerrufen.
5
Netzwerkseitig blockieren
Ausgehende Verbindungen zu den von Proofpoint veröffentlichten Command-and-Control-Domains sperren und auf auffällige DNS-Anfragen achten.
6
Erkennung nachziehen
Proofpoint hat fünf Signaturen für Exploit, Beacon und Exfiltration veröffentlicht – diese im IDS/IPS beziehungsweise beim Sicherheitsdienstleister aktivieren lassen.
7
Migration bewerten
Für Exchange 2016 und 2019 den Wechsel auf die Subscription Edition oder nach Exchange Online einplanen, statt ESU-Perioden zu verlängern.
So bereinigen Sie betroffene Postfächer
- Vergebene Ordnerberechtigungen für „Default“ entfernen und dokumentieren.
- OAuth-Token der betroffenen Add-ins widerrufen, danach neu ausrollen.
- Im Browser des Nutzers die IndexedDB-Datenbank owa_offline_db und den localStorage-Schlüssel PageDataPayload.OwaUserDefaultSettings löschen.
- Erst danach Kennwörter zurücksetzen und Sitzungen widerrufen - vorher bringt der Wechsel nichts, weil die Persistenz nicht am Kennwort hängt.
- Postfachinhalte und Weiterleitungsregeln auf Abfluss prüfen und den Vorfall dokumentieren.
OWAReaper - wichtig zu wissen für Unternehmen
Der wirtschaftlich relevante Punkt an diesem Fall ist die Reihenfolge der üblichen Reflexe. Wird ein Konto kompromittiert, folgen normalerweise Kennwortwechsel und Rechnerneuinstallation. Beides läuft hier ins Leere – der Zugang steckt im Postfach und in den Rechten auf dem Server. Ein Vorfall gilt also erst als bereinigt, wenn Berechtigungen und Token nachweislich zurückgesetzt sind, anders als bei reinen Anmeldedaten-Angriffen wie dem Password Spraying gegen Microsoft 365.
Das Risiko ist konkret: Wer Besitzerrechte auf alle Mailordner hat, liest Vertragsentwürfe, Personalunterlagen und Zahlungsverkehr mit – dauerhaft und unauffällig. Sobald personenbezogene Daten betroffen sind, greift die Meldepflicht nach DSGVO innerhalb von 72 Stunden.
Der Aufwand für die Absicherung ist überschaubar: Updates einspielen und Berechtigungen prüfen sind Arbeiten von Stunden. Teurer wird die Frage nach dem Betriebsmodell, denn Exchange 2016 und 2019 erhalten Sicherheitsupdates nur noch über ein kostenpflichtiges Programm mit Enddatum. Wer dort produktiv arbeitet, sollte die Migration jetzt terminieren, statt bei der nächsten Lücke erneut auf eine Übergangsmaßnahme zu hoffen.
FAQ zu OWAReaper
Nein. CVE-2026-42897 betrifft nach Angaben von Microsoft ausschließlich lokale Exchange-Server mit Outlook Web Access, konkret die Subscription Edition sowie Exchange 2016 und 2019. Hybrid-Umgebungen sind über ihre lokalen Server dennoch im Risiko.
Allein nicht. Die Persistenz beruht auf gestohlenen OAuth-Token und auf Ordnerberechtigungen im Postfach, die einen Kennwortwechsel überdauern. Erst wenn Token widerrufen und Berechtigungen zurückgesetzt sind, wirkt der Wechsel.
Der deutlichste Hinweis sind Besitzerrechte für den Benutzer „Default“ auf Mailordnern. Hinzu kommen unerwartete Outlook-Add-ins mit weitreichenden Postfachrechten sowie ausgehende Verbindungen zu den von Proofpoint veröffentlichten Command-and-Control-Domains.
Nein. Der Schadcode läuft in einer bereits angemeldeten OWA-Sitzung des Nutzers. MFA bleibt trotzdem sinnvoll, verhindert aber weder den Exploit noch die anschließende Übernahme des Postfachs.
Sie ist eine Übergangslösung, kein Ersatz für das Update vom 9. Juni 2026. Bei Exchange 2016 und 2019 ohne ESU-Berechtigung bleibt sie derzeit die einzige Schutzmaßnahme - ein Zustand, der nicht dauerhaft tragfähig ist.
Fazit
OWAReaper zeigt, wie sich Angriffe auf Mailserver verschoben haben: Nicht der Rechner ist das Ziel, sondern das Postfach. Ein Implantat, das im Browser lebt, sich selbst aus der Auslöser-Mail entfernt und über Server-Berechtigungen zurückkehrt, macht die gewohnten Aufräumschritte wirkungslos.
Wer lokale Exchange-Server betreibt, sollte deshalb zwei Dinge parallel erledigen: die Juni-Updates verifizieren und die Ordnerberechtigungen aller Postfächer auf den Benutzer „Default“ prüfen. Und wer Exchange 2016 oder 2019 noch im Betrieb hat, entscheidet mit dem Migrationstermin darüber, wie die nächste Lücke dieser Art ausgeht.