Eine Schwachstelle in Microsoft Outlook ermöglicht es Hackern, dass Malware allein durch das Öffnen oder Anzeigen einer E-Mail aktiviert wird. Das BSI stuft die Bedrohung als kritisch ein.
Wir erklären, welche Gefahr von der Outlook-Sicherheitslücke ausgeht und wie Unternehmen sich jetzt schützen können.
Sicherheitslücken gefährden Unternehmen
Software-Sicherheitslücken gehören zu den größten Risiken für die Cybersicherheit von Unternehmen. Denn: Sie ermöglichen es Cyberkriminellen nicht nur, Schadsoftware einzuschleusen, sondern im Anschluss daran auch ganze Netzwerke zu kompromittieren und dabei sensible Daten abzugreifen. Besonders gefährlich wird es dann, wenn derartige Angriffe auf Schwachstellen erfolgreich sind, ohne dass dafür eine aktive Nutzerinteraktion notwendig ist.
Microsoft Outlook, eines der am weitesten verbreiteten E-Mail-Programme, ist aktuell von genau einer solchen Schwachstelle betroffen. Das Problem: Bereits das bloße Anzeigen einer entsprechend manipulierten E-Mail kann dazu ausreichen, dass auf dem attackierten Gerät Malware ausgeführt wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine dringende Warnung herausgegeben und stuft die Bedrohung als äußerst kritisch ein. Unternehmen sollten schnell handeln, um ihre IT-Infrastruktur abzusichern.
Outlook wird in vielen Unternehmen zur E-Mail-Kommunikation genutzt. Jetzt ist eine Schwachstelle entdeckt worden. Bild: Unsplash/Ed Hardie
Was ist die Outlook-Schwachstelle CVE-2025-21298?
Am 14. Januar 2025 hat Microsoft im Rahmen des monatlichen Patchdays Details zur Schwachstelle CVE-2025-21298 veröffentlicht. Diese betrifft das sogenannte „Object Linking and Embedding“-Modul (OLE), das in vielen Microsoft-Produkten, darunter auch Outlook, zum Einsatz kommt. OLE ermöglicht das Verlinken und Einbetten von Objekten wie Dokumenten, Tabellen oder Grafiken in E-Mails und andere Anwendungen.
Die Schwachstelle erlaubt es Angreifern, speziell manipulierte E-Mails zu versenden, die bereits beim Anzeigen in der Vorschau Schadcode ausführen können. Das bedeutet konkret: Es ist keine aktive Handlung des E-Mail-Empfängers notwendig – allein das Anzeigen der E-Mail reicht theoretisch aus, damit Malware das System kompromittieren kann.
BSI warnt: Schwachstelle ist äußerst kritisch
Das BSI stuft die Schwachstelle CVE-2025-21298 mit einem CVSS-Score von 9.8 als äußerst kritisch ein – einer der höchsten Werte, die eine Sicherheitslücke erreichen kann. Grund dafür sind die einfache Angriffsmethode, die keinerlei aktive Nutzerinteraktion erfordert, sowie die potenziell gravierenden Auswirkungen auf betroffene Systeme. Oder anders ausgedrückt: Die Kombination aus Einfachheit und Effektivität macht die Schwachstelle so gefährlich.
Bisher wurden zwar noch keine Angriffe gemeldet, nach Einschätzung von Experten könnten sich Angriffe auf die Schwachstelle aber schon sehr bald verzeichnen lassen – immerhin ist die Sicherheitslücke nun öffentlich bekannt, sodass Cyberkriminelle sie gezielt angreifen und ausnutzen können.
Das BSI ruft Unternehmen daher ausdrücklich dazu auf, unverzüglich aktiv zu werden und entsprechende Sicherheitsmaßnahmen durchzuführen. Besonders Unternehmen, die Microsoft Outlook in großem Umfang nutzen, sollten schnell handeln, um ihre IT-Systeme zu schützen.
Unternehmen sollten umgehend aktiv werden, um sich vor Angriffen auf die Outlook-Schwachstelle zu schützen. Bild: Unsplash/Surface
Outlook-Schwachstelle: So schützen Sie sich
Angesichts der kritischen Sicherheitslücke CVE-2025-21298 rät das Bundesamt für Sicherheit in der Informationstechnik (BSI) dringend, die folgenden Schritte sofort umzusetzen, um die Risiken zu minimieren:
- Schritt 1 – Patches einspielen:
Microsoft hat bereits ein Sicherheitsupdate veröffentlicht, das die Schwachstelle schließt. Unternehmen sollten diesen Patch umgehend auf allen betroffenen Systemen einspielen, um Angriffe zu verhindern. - Schritt 2 – Nur-Text-Ansicht aktivieren:
Solange das Update nicht vollständig ausgerollt ist, kann die Aktivierung der „Nur-Text-Ansicht“ in Outlook eine vorübergehende Schutzmaßnahme sein. Diese Einstellung sorgt dafür, dass manipulierte Inhalte nicht automatisch ausgeführt werden. - Schritt 3 – Sicherheitslogs überprüfen:
IT-Administratoren sollten System- und Sicherheitslogs regelmäßig auf verdächtige Aktivitäten überprüfen, um potenzielle Kompromittierungen frühzeitig zu erkennen.
Darüber hinaus empfiehlt das BSI, Mitarbeiter für den sicheren Umgang mit E-Mails zu sensibilisieren – auch dann, wenn in diesem Fall von potenziellen Malware-Angriffen kein menschlicher Fehler notwendig ist. Nichtsdestotrotz ist und bleibt es wichtig, dass die Risiken gefährlicher Dateianhänge oder Links in E-Mails in den Köpfen präsent bleiben.
Experten sichern IT-Infrastrukturen ab
Fakt ist: Cyberangriffe auf Unternehmen können zu jeder Zeit erfolgen – und gerade Schwachstellen, die keine Nutzerinteraktion erfordern, stellen eine erhebliche Gefahr dar. Umso entscheidender ist es, Sicherheitsupdates zeitnah einzuspielen, IT-Infrastrukturen regelmäßig zu überprüfen und Mitarbeiter für Cyberrisiken zu sensibilisieren.
Die Experten aus dem IT-SERVICE.NETWORK unterstützen Unternehmen dabei, ihre IT-Sicherheitsmaßnahmen zu optimieren. Die IT-Dienstleister aus unserem Netzwerk helfen im Zuge eines effizienten Patch-Managements nicht nur bei der Installation von Sicherheitsupdates, sondern erarbeiten und implementieren auch langfristige Schutzstrategien, wie die Einführung von Multi-Faktor-Authentifizierung oder der Konfiguration sicherer E-Mail-Systeme.
Wenn Sie Ihre IT-Systeme vor Sicherheitslücken schützen oder Ihre Sicherheitsstandards verbessern möchten, finden Sie bei unseren IT-Dienstleistern kompetente Unterstützung. Kontaktieren Sie uns noch heute und profitieren Sie von unserem Know-how. Gemeinsam sorgen wir dafür, dass Ihre IT-Infrastruktur optimal geschützt ist!
Weiterführende Informationen:
BSI
Zur besseren Lesbarkeit verwenden wir im Text die männliche Form. Gemeint sind jedoch immer alle Geschlechter und Geschlechtsidentitäten.
Geschrieben von
Seit Anfang 2019 ist Janina Kröger für den Blog des IT-SERVICE.NETWORK verantwortlich – anfangs in der Position der Online-Redakteurin und inzwischen als Content Marketing Managerin. Die studierte Germanistin/Anglistin und ausgebildete Redakteurin behält das Geschehen auf dem IT-Markt im Blick, verfolgt gespannt neue Trends und Technologien und beobachtet aktuelle Bedrohungen im Bereich des Cybercrime. Die relevantesten… Weiterlesen
Schreiben Sie einen Kommentar
* = Pflichtfelder
Bitte beachten Sie unsere Datenschutzerklärung