Seit Anfang Juni 2026 werden Windows-Domänencontroller in Unternehmen weltweit aktiv angegriffen. Der Grund: eine kritische Sicherheitslücke im Netlogon-Protokoll (CVE-2026-41089), die mit einem CVSS-Score von 9,8 die höchste Gefahrenstufe erreicht. Microsoft veröffentlichte den Patch bereits am 12. Mai 2026 im Rahmen des Patch Tuesday – doch zahlreiche Systeme sind nach wie vor ungeschützt. Das belgische Cybersicherheitszentrum (CCB) und die US-Behörde CISA bestätigen: Die Lücke wird aktiv für Angriffe auf Unternehmensinfrastrukturen genutzt.
Was steckt hinter CVE-2026-41089?
CVE-2026-41089 ist ein Stack-based Buffer Overflow im Windows Netlogon Remote Protocol. Netlogon ist ein fundamentaler Bestandteil jeder Active-Directory-Umgebung – es regelt die Authentifizierung von Computern und Benutzern im Domain-Verbund. Ein Angreifer kann ohne jegliche Zugangsdaten einen präparierten Netzwerk-Request an einen Domänencontroller senden und damit beliebigen Code mit SYSTEM-Rechten ausführen. Kein Login, kein Phishing, kein Social Engineering notwendig – nur Netzwerkzugang zum Domänencontroller genügt.
Betroffen sind alle unterstützten Windows-Server-Versionen. Es gibt keine alternativen Schutzmaßnahmen oder Workarounds. Sicherheitsexperten sind eindeutig: Nur das Einspielen des Mai-2026-Patches schützt die betroffenen Systeme.
Warum KMU besonders im Visier sind
In kleinen und mittleren Unternehmen ist Active Directory oft auf einem einzigen Server konzentriert, der gleichzeitig als Dateiserver, DNS und manchmal sogar als E-Mail-Server fungiert. Wird der Domänencontroller kompromittiert, ist das gesamte Netzwerk gefallen: alle Passwörter, alle Berechtigungen, alle freigegebenen Ressourcen auf einen Schlag.
Viele KMU haben außerdem keine strukturierten Patch-Zyklen. Updates werden eingespielt, wenn gerade Zeit ist – oder gar nicht. Ransomware-Gruppen nutzen Lücken wie CVE-2026-41089 gezielt aus, um sich innerhalb von Minuten Domain-Admin-Rechte zu verschaffen, bevor eine Kompromittierung im Unternehmen überhaupt bemerkt wird. Das Resultat: vollständige Verschlüsselung aller Daten, Betriebsausfall und immense Kosten.
Was jetzt sofort zu tun ist
Die Maßnahme ist klar: Der Microsoft Security Update vom 12. Mai 2026 muss auf alle Windows-Server eingespielt werden – mit höchster Priorität auf Domänencontrollern.
- Patch installieren: Mai-2026-Update (Patch Tuesday) sofort via Windows Update oder WSUS ausrollen – auf alle Windows-Server-Versionen.
- Patchstatus prüfen: Laufen alle Windows Server wirklich auf aktuellem Stand? Inventory-Tool nutzen oder manuell verifizieren.
- Netzwerksegmentierung kontrollieren: Domänencontroller dürfen niemals direkt aus dem Internet erreichbar sein. Firewall-Regeln und VPN-Konfigurationen sofort prüfen.
- Logging aktivieren: Netlogon-Events im Windows Event Log auf auffällige Authentifizierungsversuche überwachen (Event IDs 5805 und 5723).
- Kompromittierung ausschließen: Wer den Patch noch nicht eingespielt hat und dessen Domänencontroller exponiert war, sollte das System als potenziell kompromittiert behandeln und eine forensische Analyse einleiten.
Fazit: Kein theoretisches Risiko mehr
CVE-2026-41089 ist längst kein potenzielles Angriffsszenario mehr – die Angriffe laufen bereits seit Wochen. Für Unternehmen ohne strukturiertes Patch-Management ist das eine ernste Warnung: Wer jetzt nicht handelt, riskiert den vollständigen Kontrollverlust über seine gesamte IT-Infrastruktur.
Sie wissen nicht, ob Ihre Systeme auf dem aktuellen Patchstand sind – oder ob Zugangsdaten Ihres Unternehmens bereits in einem Datenleck aufgetaucht sind? AntiLeaks.de bietet professionelle Sicherheitsanalysen und Credential-Leak-Checks für KMU im DACH-Raum – schnell, diskret und praxisnah. Jetzt kostenlos anfragen.