Bewährte Verfahren für die SharePoint-Sicherheit – Schützen Sie Ihre lokalen Server vor Ransomware

Ein kürzlich erfolgter Zero-Day-Angriff durch mit dem chinesischen Staat verbundene Gruppen unterstreicht die Notwendigkeit, Ihre lokalen Microsoft SharePoint-Umgebungen besser zu schützen. Im Gegensatz zur cloudbasierten Softwareplattform SharePoint Online, bei der Microsoft kontinuierlich Cybersicherheitsmaßnahmen auf Unternehmensniveau anwendet, sind lokale SharePoint-Server darauf angewiesen, dass IT-Verantwortliche selbst für Patches, Überwachung, Wartung, Upgrades und Fehlerbehebung sorgen. Betrachten wir den „Typhoon“-Angriff anhand des zeitlichen Ablaufs, der Reaktion von Microsoft und der Maßnahmen, die Unternehmen ergreifen sollten, um ihre lokale SharePoint-Server vor solchen Bedrohungen zu schützen.

Zero-Day-Angriff

Im Juli 2025 kam es zu einem groß angelegten Cyberangriff auf lokal installierte Microsoft SharePoint-Systeme, bei dem zwei Zero-Day-Schwachstellen ausgenutzt wurden. Die Täter – staatlich unterstützte Gruppen aus China – nutzten die Schwachstellen, um in Hunderte von Organisationen weltweit einzudringen. Einmal im System, übernahmen sie die Kontrolle über die SharePoint-Server, installierten Web-Shells und stahlen kryptografische Schlüssel, um sich den Zugriff zu sichern. In mindestens einem Fall eskalierte die Situation zu einem Ransomware-Angriff. Microsoft reagierte mit Notfall-Patches und gab gemeinsam mit der CISA dringende Warnungen heraus, dass alle nicht gepatchten Systeme weiterhin einem ernsthaften Risiko ausgesetzt seien.

Chronologie des Angriffs

• Anfang Juli 2025: Aufklärung und erste Angriffe. Mit dem chinesischen Staat verbundene Gruppen begannen, nach Schwachstellen in SharePoint zu suchen, und versuchten sogar, bereits bekannte Sicherheitslücken auszunutzen.
• 18.–19. Juli 2025: Neue Zero-Day-Angriffe. Bei einer Welle von Angriffen wurden zwei neue Zero-Day-Schwachstellen in SharePoint entdeckt. Nicht authentifizierte Angreifer nutzten diese aus, um die Kontrolle über lokale SharePoint-Server zu erlangen, Web-Shells zu platzieren und Daten (einschließlich SharePoint-Maschinenschlüsseln) aus zahlreichen Organisationen zu stehlen.
• 20. Juli 2025: Notfallwarnungen herausgegeben. Angesichts der Schwere der Bedrohung gab die CISA (die US-Behörde für Cybersicherheit und Infrastruktursicherheit) eine seltene Wochenendwarnung heraus. Sie wies in ihrem Katalog „Known Exploited Vulnerabilities“ auf die SharePoint-Sicherheitslücken hin und forderte Systembetreiber dringend auf, schnell zu handeln, bevor sich die Lage weiter verschlimmert.
• 21. Juli 2025: Microsoft veröffentlicht Patches. Die Entwickler von Microsoft haben schnell reagiert, um die neuen SharePoint-Sicherheitslücken zu beheben. Bis Montag, dem 21. Juli, standen Notfall-Patches für alle unterstützten Versionen bereit: 2016, 2019 und die Subscription Edition. Unternehmen wurden nachdrücklich aufgefordert, die Updates umgehend zu installieren, um nicht ins Kreuzfeuer zu geraten.
• 22. Juli 2025: Update zur Bedrohungslage Microsoft Threat Intelligence veröffentlichte einen ausführlichen Blogbeitrag zu den aktuellen Exploits. Darin wurde bestätigt, dass mehrere mit China in Verbindung stehende Akteure (Linen Typhoon, Violet Typhoon) sowie weitere Akteure aktiv ungepatchte Server angriffen. Eine Gruppe (Storm-2603) nutzte die Exploits sogar, um die Ransomware „Warlock“ in den Umgebungen der Opfer zu installieren. Microsoft warnte, dass „Angreifer [diese Exploits] weiterhin in ihre Angriffe auf ungepatchte lokale SharePoint-Systeme integrieren werden.“

Gewonnene Erkenntnisse

Die obige Kurzübersicht zeigt, wie schnell sich die Situation entwickelte – und wie entscheidend eine umgehende Reaktion war. Diese SharePoint-Sicherheitslücken führten innerhalb weniger Tage zu Angriffen auf Dutzende von Organisationen. Die Tatsache, dass staatlich gestützte Akteure und Cyberkriminelle diese Schwachstelle sofort ausnutzten, unterstreicht die weitreichende, opportunistische Bedrohung. Organisationen, die am 21. Juli sofort Patches installierten, schalteten den Angriffsvektor effektiv aus, während diejenigen, die damit zögerten, weiterhin gefährdet blieben. Im Gegensatz zu Microsofts cloudbasiertem SharePoint Online sind lokale SharePoint-Server auf Administratoren angewiesen, die für ihre Sicherheit und Aktualisierung sorgen. Die Angriffswelle im Juli 2025 macht deutlich, dass bewährte Verfahren zur Abwehr unerlässlich sind, um lokale SharePoint-Umgebungen zu schützen. Im Folgenden skizzieren wir praktische Schritte, die IT-Administratoren ergreifen sollten; diese basieren auf den Empfehlungen von Microsoft während des Vorfalls, um SharePoint-Umgebungen gegen solche Exploits abzusichern.

Bewährte Verfahren zur Absicherung von SharePoint vor Ort

Um SharePoint vor Ort zu schützen, sollten Administratoren einen vielschichtigen Ansatz verfolgen, der Software-Sicherheitslücken, die Absicherung der Konfiguration und eine aktive Überwachung umfasst. Im Folgenden finden Sie die wichtigsten Schritte und bewährten Verfahren zum Schutz Ihrer SharePoint-Umgebung:

Halten Sie SharePoint auf dem neuesten Stand (verwenden Sie unterstützte Versionen und installieren Sie Patches umgehend)

Um die Sicherheit von lokal betriebenen SharePoint-Umgebungen zu gewährleisten, ist es entscheidend, die neuesten unterstützten Versionen wie 2016, 2019 oder die Subscription Edition zu verwenden und Sicherheitspatches sofort nach ihrer Veröffentlichung zu installieren. Microsoft hat bestätigt, dass die Updates vom Juli 2025 die jüngsten Zero-Day-Schwachstellen beheben, doch viele Systeme waren dennoch betroffen, da die Patches nicht schnell genug installiert wurden. Ältere Versionen wie SharePoint 2010 und 2013 haben ihr Support-Ende längst überschritten, erhielten keine Updates mehr und sind nach wie vor anfällig für Angriffe. Da Hacker in der Regel schnell auf ungepatchte Server abzielen, ist es Ihre beste Verteidigung, stets auf dem neuesten Stand zu bleiben. Falls eine sofortige Installation der Patches aufgrund interner Prozesse nicht möglich ist, kann eine vorübergehende Trennung des Servers vom Internet dazu beitragen, das Risiko zu verringern. SharePoint Online war nicht betroffen, da Microsoft Updates in der Cloud automatisch durchführt.

Offizielle Seite für SharePoint-Updates https://learn.microsoft.com/en-us/officeupdates/sharepoint-updates

AMSI und Antivirus auf SharePoint-Servern aktivieren

Eine der einfachsten Möglichkeiten, die Sicherheit Ihres SharePoint-Servers zu erhöhen, besteht darin, AMSI (Antimalware Scan Interface) zu aktivieren und sicherzustellen, dass der Virenschutz aktiv ist. AMSI erkennt schädliche Skripte, bevor sie Schaden anrichten können, während Antivirensoftware durch das Scannen nach bekannten Bedrohungen eine zusätzliche Sicherheitsebene bietet. Dies ist eine einfache Maßnahme, die erhebliche Auswirkungen haben kann, zumal Angreifer ständig nach Schwachstellen in nicht gepatchten oder schlecht geschützten Systemen suchen. Wenn Sie SharePoint lokal betreiben, sollte dies Teil Ihrer grundlegenden Sicherheitscheckliste sein.

Mehr dazu auf AMSI https://www.microsoft.com/en-us/security/blog/2025/04/09/stopping-attacks-against-on-premises-exchange-server-and-sharepoint-server-with-amsi/

EDR-Lösungen einsetzen und auf Eindringlinge überwachen

Selbst bei vorhandener Antivirensoftware ist die Überwachung von SharePoint-Servern auf Kompromittierungen unerlässlich. Microsoft empfiehlt den Einsatz von EDR-Tools (Endpoint Detection and Response) wie „Defender for Endpoint“, um Aktivitäten nach einer Kompromittierung zu erkennen, die von Antivirensoftware möglicherweise übersehen werden, wie beispielsweise die Ausweitung von Berechtigungen, Persistenzmechanismen oder das Hochladen von Web-Shells wie „spinstall0.aspx“. Administratoren sollten Protokolle und Dateisysteme regelmäßig auf Anomalien überprüfen, darunter unerwartete Dateien oder ungewöhnliches Kontoverhalten. Eine effektive Überwachung ermöglicht eine frühzeitige Erkennung und Eindämmung und verhindert so, dass Angreifer zu Datendiebstahl oder Ransomware übergehen.

Mehr zum Thema EDR https://www.microsoft.com/en-us/security/business/security-101/what-is-edr-endpoint-detection-response

Maschinenschlüssel drehen

Nach dem Patchen der Systeme und dem Entfernen von Malware müssen Unternehmen alle gestohlenen Anmeldedaten ungültig machen, insbesondere die ASP.NET-MachineKeys, die von SharePoint zur Authentifizierung und Verschlüsselung verwendet werden. Selbst nachdem die Sicherheitslücken geschlossen wurden, können Angreifer, die in den Besitz von MachineKeys gelangt sind, sich durch das Fälschen von Tokens immer noch heimlich wieder Zugang verschaffen. Aus diesem Grund hat Microsoft darauf gedrängt, dass alle diese Schlüssel entweder über PowerShell oder die zentrale Verwaltung rotieren lassen und anschließend auf allen Servern einen IIS-Reset durchführen. Das mag mühsam klingen, ist jedoch ein entscheidender Schritt, um noch vorhandene Hintertüren zu schließen und sicherzustellen, dass gestohlene Schlüssel nicht erneut verwendet werden können.

Überprüfen Sie im Zusammenhang mit den Schlüsseln auch die Administratorkonten und Anmeldedaten:

• Sollten während des Vorfalls SharePoint-Administratorpasswörter oder Anmeldedaten für Dienstkonten kompromittiert worden sein, ändern Sie diese bitte.
• Stellen Sie sicher, dass Dienstkonten dem Prinzip der geringsten Berechtigungen entsprechen.
• Erwägen Sie, sofern möglich, die Zwei-Faktor-Authentifizierung für den Remote-Administratorzugriff zu aktivieren.

Sicherheit nach dem Patch verbessern

Nutzen Sie schließlich diese Gelegenheit, um weitere Maßnahmen zur Verbesserung der Sicherheit in Ihrer SharePoint-Umgebung umzusetzen. Stellen Sie beispielsweise sicher, dass regelmäßige Backups der SharePoint-Inhalte und -Konfigurationen erstellt (und offline gespeichert) werden, damit Sie im Falle von zerstörerischen Angriffen wie Ransomware eine Wiederherstellung vornehmen können. Prüfen Sie außerdem die Netzwerksegmentierung (kann Ihr SharePoint-Server ungehindert mit Domänencontrollern oder dem Internet kommunizieren, oder ist dies eingeschränkt?), da die Begrenzung eines Sicherheitsvorfalls auf einen Server netzwerkweite Auswirkungen verhindern kann.

Fazit

Der Betrieb von SharePoint vor Ort bietet zwar Kontrolle, überträgt jedoch die volle Verantwortung für die Sicherheit auf das Unternehmen. Die Zero-Day-Schwachstellen vom Juli 2025 haben gezeigt, wie schnell Angreifer ungepatchte Systeme ausnutzen können, was schwerwiegende Folgen wie Datendiebstahl und Ransomware nach sich zieht. Um sich gegen solche Bedrohungen zu schützen, müssen IT-Teams bewährte Verfahren befolgen: Sie müssen die Systeme auf dem neuesten Stand halten, AMSI- und Antivirenschutzmaßnahmen aktivieren, Aktivitäten genau überwachen sowie Schlüssel und Anmeldedaten sichern. Diese von den Sicherheitsteams von Microsoft empfohlenen Maßnahmen haben die jüngsten Angriffe wirksam abgewehrt.

Letztendlich ist eine proaktive und wachsame Sicherheitsstrategie unerlässlich. Angreifer suchen SharePoint-Umgebungen nach Schwachstellen ab, und es werden noch weitere folgen. Zwar lässt sich SharePoint vor Ort absichern, doch erfordert dies zeitnahes Handeln und mehrschichtige Abwehrmaßnahmen. Investitionen in diese Maßnahmen sind entscheidend für den Schutz von Kollaborationsplattformen und sensiblen Daten, denn wie dieser Vorfall gezeigt hat, können die Kosten von Nachlässigkeit weitaus höher sein.

Zusammenfassend lässt sich sagen, dass die Absicherung von SharePoint ein fortlaufender Prozess ist:

• Sorgen Sie dafür, dass die Plattform auf dem neuesten Stand bleibt und unterstützt wird.
• Konfigurieren Sie die integrierten Sicherheitsfunktionen (wie AMSI und Zugriffskontrollen) so umfassend wie möglich.
• Fügen Sie weitere Schutzebenen hinzu, wie z. B. Endgeräteschutz, Netzwerksegmentierung und strenge Überwachung.
• Seien Sie darauf vorbereitet, sofort auf Bedrohungen zu reagieren.

Wenn Sie sich an diese bewährten Vorgehensweisen halten, sorgen Sie dafür, dass Ihre SharePoint-Websites deutlich besser geschützt sind und ohne Ausfälle online bleiben. Das jüngste Zero-Day-Chaos hat gezeigt, wie kostspielig es sein kann, wenn man die Dinge auf sich zukommen lässt. Eine solide, proaktive Abwehr ist wirklich Ihre beste Wahl. Bleiben Sie also wachsam, halten Sie Ihre Systeme auf dem neuesten Stand und bieten Sie Angreifern keinen einfachen Zugang.

Literaturverzeichnis