{"id":215229,"date":"2026-07-19T20:38:13","date_gmt":"2026-07-19T20:38:13","guid":{"rendered":"https:\/\/www.europesays.com\/ch-de\/215229\/"},"modified":"2026-07-19T20:38:13","modified_gmt":"2026-07-19T20:38:13","slug":"cisa-warnt-vor-sharepoint-luecken-cvss-98-godaddy-aws-passen-m365-passwortwege-an","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/ch-de\/215229\/","title":{"rendered":"CISA warnt vor SharePoint-L\u00fccken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an"},"content":{"rendered":"

WASHINGTON \/ LONDON (IT BOLTWISE) \u2013 Die US-Beh\u00f6rde CISA hebt kritische SharePoint-Schwachstellen mit CVSS 9,8 hervor, die bereits aktiv ausgenutzt werden. W\u00e4hrend Bundesbeh\u00f6rden bis zum 19. Juli patchen mussten, r\u00fcsten GoDaddy und AWS ihre Anleitungen zur Microsoft<\/a>-365-Identit\u00e4ts- und Passwortverwaltung nach. F\u00fcr Unternehmen bedeutet das: weniger Spielraum bei der User-Verwaltung, mehr Fokus auf zentrale Identit\u00e4ten, sichere Authentifizierungsfl\u00fcsse und saubere Migrationspfade in Richtung passwortloser Methoden. Zus\u00e4tzlich versch\u00e4rfen das Patch-Tempo von Microsoft<\/a> und das Ende mehrerer Legacy-Supportzyklen den Handlungsdruck in der Praxis.<\/p>\n

\"CISA<\/a>CISA warnt vor SharePoint-L\u00fccken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an (Foto: IT BOLTWISE)<\/p>\n

<\/p>\n

\ud83e\udde0 KI & Robotik auf Google News abonnieren<\/p>\n

<\/a><\/p>\n

Die Meldung trifft IT-Teams an einem empfindlichen Punkt: W\u00e4hrend die Abh\u00e4ngigkeit von Microsoft<\/a>-\u00d6kosystemen weiter steigt, w\u00e4chst auch die Angriffsfl\u00e4che rund um Authentifizierung und Berechtigungsfl\u00fcsse. CISA hat im Juli vier kritische Sicherheitsl\u00fccke<\/a>n in Microsoft<\/a> SharePoint identifiziert, darunter CVE-2026-58644 mit einem CVSS-Schweregrad von 9,8, die von Bundesbeh\u00f6rden bis zum 19. Juli gepatcht werden mussten. Besonders brisant ist, dass Sicherheitsforscher Kombinationen aus Authentifizierungsumgehung und Codeausf\u00fchrung beobachten, mit dem Ziel Webshells auf betroffenen Systemen zu installieren. Das verschiebt die Priorit\u00e4ten weg von reinen Passwort-Richtlinien hin zu Identity-Sicherheit und Patch-Disziplin.<\/p>\n

GoDaddy adressiert diese Verschiebung in erster Linie \u00fcber die konkrete Praxis der Passwortverwaltung f\u00fcr Microsoft<\/a> 365: Am 19. Juli ver\u00f6ffentlichte der Anbieter eine \u00fcberarbeitete Anleitung f\u00fcr Kunden, die Microsoft<\/a>-365-Identit\u00e4ten \u00fcber das firmeneigene E-Mail- und Office-Dashboard steuern. Der neue Workflow erlaubt es Nutzern, Passw\u00f6rter direkt im zentralen Dashboard zur\u00fcckzusetzen: Nach der Anmeldung, Auswahl einer Wiederherstellungs-E-Mail und Best\u00e4tigung werden die neuen Zugangsdaten gesetz<\/a>t. Laut Anleitung kann die Synchronisation der \u00c4nderungen bis zu 30 Minuten dauern. Solche Verz\u00f6gerungen sind nicht nur operativ relevant, sondern auch sicherheitstechnisch, weil sie kurzfristig Inkonsistenzen zwischen Systemen erzeugen k\u00f6nnen.<\/p>\n

Unter der Oberfl\u00e4che steckt zudem ein zweites Thema, das in vielen Unternehmen untersch\u00e4tzt wird: Benutzerlizenzierung und Mandantenlogik. GoDaddy stellt klar, dass f\u00fcr von GoDaddy verwaltete Mandanten in der Regel jeder Nutzer eine eigene Lizenz ben\u00f6tigt. Wer Nutzer ohne Lizenzen erg\u00e4nzen will, muss den Mandanten zun\u00e4chst von GoDaddy entflechten; daf\u00fcr ist der direkte Wechsel ins Microsoft<\/a>-365-Admin-Center erforderlich. Gleichzeitig warnt der Anbieter vor m\u00f6glichen vor\u00fcbergehenden Unterbrechungen des E-Mail-Dienstes w\u00e4hrend dieses \u00dcbergangs. Genau hier werden Security und Betriebsstabilit\u00e4t eng verkoppelt: Ein verschobener oder abgebrochener Admin-Workflow kann dazu f\u00fchren, dass Berechtigungen nicht rechtzeitig greifen und Accounts l\u00e4nger im unsicheren Zustand verharren.<\/p>\n

Technisch betrachtet geht es bei den CISA-Hinweisen nicht nur um \u201eklassische\u201c Schwachstellen, sondern um ein Angriffsmodell, das sich mit kompromittierten Sessions, fehlerhaften Authentifizierungswegen und anschlie\u00dfender Codeausf\u00fchrung verbindet. Die betroffenen Umgebungen umfassen die SharePoint Subscription Edition sowie die Versionen 2016 und 2019. Diese zeitliche H\u00e4ufung f\u00e4llt nach einem Patch Day am 14. Juli, bei dem Microsoft<\/a> insgesamt 722 Schwachstellen geschlossen hat \u2013 darunter zwei Zero-Days, die aktiv ausgenutzt wurden. F\u00fcr die IT bedeutet das: Wenn Patches und Identit\u00e4ts\u00e4nderungen nicht synchron laufen, entsteht ein Zeitfenster, in dem Angreifer Eskalationen fahren k\u00f6nnen, w\u00e4hrend Admins gerade an Workflows oder Umstellungen arbeiten.<\/p>\n

Der Wettbewerbs- und Markt-Kontext macht deutlich, warum Identit\u00e4tsmanagement jetzt auch bei Service-Providern st\u00e4rker in den Vordergrund r\u00fcckt. AWS liefert ebenfalls aktualisierte Verfahren zum Zur\u00fccksetzen von Benutzerpassw\u00f6rtern f\u00fcr \u201eAWS Managed Microsoft<\/a> AD\u201c \u2013 per AWS Management Console, Kommandozeile oder PowerShell. Allerdings nennt AWS Einschr\u00e4nkungen: Passw\u00f6rter f\u00fcr Nutzer au\u00dferhalb bestimmter Organisationseinheiten, etwa der AWS Reserved OU, k\u00f6nnen nicht zur\u00fcckgesetzt werden. Gleichzeitig empfiehlt die Sicherheitslandschaft den Wechsel weg von rein passwortbasierten Flows. In der Quelle wird Multi-Faktor-Authentifizierung als wirksam beschrieben; aus Branchenanalysen ergibt sich zudem, dass passwortlose Mechanismen wie Passkeys das Risiko verringern, wenn Phishing- oder Credential-Diebstahl-Ketten ansetzen. Entscheidend wird hier, wie sauber Self-Service und Recovery-Mechanismen in Entra ID und nachgelagerte Systeme eingebunden sind.<\/p>\n

Ein wichtiger technischer Hintergrundpunkt ist die Einbettung in zentrale Identit\u00e4ten: Microsoft<\/a> Entra ID, das Mitte 2023 aus Azure AD hervorging, bietet zentrale Steuerung und Self-Service-Passwortzur\u00fccksetzung f\u00fcr kleine und mittlere Unternehmen. Parallel dazu ver\u00f6ffentlichen Anbieter konkrete Integrationsleitf\u00e4den, weil Identity-Sicherheit nicht bei der UI endet. So erschienen am 18. Juli technische Anleitungen zur Integration von Entra ID mit SQL*Plus, die TLS-Verbindungen und spezifische Token<\/a>-Authentifizierungsparameter erfordern. Das ist mehr als Dokumentation: Solche Parameter entscheiden \u00fcber die Sicherheit der Transportkette und dar\u00fcber, ob Token<\/a> korrekt angewendet und validiert werden. Im Enterprise-Alltag hei\u00dft das: Neben SharePoint-Patches m\u00fcssen auch Datenbank- und App-Integrationen gepr\u00fcft werden, weil sie h\u00e4ufig die zweite Angriffsfl\u00e4che darstellen.<\/p>\n

Regulatorisch und datenschutz<\/a>seitig ist der Kern klar: Wer Identit\u00e4ts- und Berechtigungsmechanismen verwaltet, muss jederzeit nachvollziehen k\u00f6nnen, welche Accounts, Wiederherstellungswege und Admin-Aktionen zu einem Zeitpunkt aktiv waren. CISA nennt dabei konkrete Fristen f\u00fcr Bundesbeh\u00f6rden, die eine schnelle Schwachstellenbehebung erzwingen. F\u00fcr Unternehmen au\u00dferhalb der US-Beh\u00f6rdenpflicht bedeutet das nicht automatisch denselben Kalender, aber die gleiche Logik: Je l\u00e4nger Recovery-Prozesse ohne starke Absicherung laufen, desto wahrscheinlicher wird, dass Angreifer den Weg \u00fcber kompromittierte Identit\u00e4ten finden. Wenn au\u00dferdem Legacy-Komponenten aus dem Support fallen, steigen die Risiken f\u00fcr unzureichend gepatchte Abh\u00e4ngigkeiten. Genau diese Gemengelage erh\u00f6ht den Druck f\u00fcr Auditierbarkeit, Least-Privilege und sichere Authentifizierung.<\/p>\n

Der Ausblick wird zus\u00e4tzlich durch das Ende mehrerer Supportzyklen versch\u00e4rft. Der Support f\u00fcr SharePoint Server 2016, SharePoint Server 2019 und SQL Server 2016 endete offiziell am 14. Juli. Parallel best\u00e4tigt Microsoft<\/a> die Einstellung bestimmter Legacy-Integrationen: Die OneDrive-Synchronisation f\u00fcr \u00e4ltere Windows-10-Versionen l\u00e4uft Mitte August aus, und Outlook Meeting Insights soll Anfang September eingestellt werden. Diese Zeitpunkte wirken wie \u201eNebenfristen\u201c, die Identit\u00e4tsprozesse indirekt treffen, weil Migrationen, Testing-Phasen und Anpassungen an Admin-Schnittstellen parallel laufen. F\u00fcr die n\u00e4chste Stufe empfiehlt sich daher ein konkreter Plan: Patching zuerst, dann Identity-Recovery-Workflows harmonisieren, danach passwortlose Optionen piloten und Integrationspfade wie SQL- oder App-Authentifizierung systematisch validieren.<\/p>\n

\t<\/a><\/p>\n

\t\t<\/a><\/p>\n

\ud83d\udcb3 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!<\/a>
\ud83d\udd25 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!<\/a>
\ud83c\udf89 Amazon Haul-Store f\u00fcr absolute Schn\u00e4ppchenj\u00e4ger!<\/a><\/p>\n

<\/p>\n

<\/a><\/p>\n

Bestseller Nr. 1 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 2 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 3 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 4 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 5 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 6 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

\n\"Hat<\/a><\/p>\n

<\/p>\n

<\/p>\n

Erg\u00e4nzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschlie\u00dfen k\u00f6nnen, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: «CISA warnt vor SharePoint-L\u00fccken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an».<\/p>\n","protected":false},"excerpt":{"rendered":"WASHINGTON \/ LONDON (IT BOLTWISE) \u2013 Die US-Beh\u00f6rde CISA hebt kritische SharePoint-Schwachstellen mit CVSS 9,8 hervor, die bereits…\n","protected":false},"author":2,"featured_media":215230,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[15],"tags":[35002,46,15402,32005,32138,5343,32164,47007,32140,560,21910,21911,13307,45,60,59,15404,2800,44,64,61,23086,46836,63,62],"class_list":["post-215229","post","type-post","status-publish","format-standard","has-post-thumbnail","category-wissenschaft-technik","tag-aws","tag-ch","tag-cisa","tag-cve","tag-entra","tag-identitaet","tag-identity","tag-m365","tag-mfa","tag-microsoft","tag-passkeys","tag-passwort","tag-patch","tag-schweiz","tag-science","tag-science-technology","tag-sharepoint","tag-sicherheit","tag-switzerland","tag-technik","tag-technology","tag-tls","tag-webshell","tag-wissenschaft","tag-wissenschaft-technik"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@ch_de\/116948565618189462","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/215229","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/comments?post=215229"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/215229\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media\/215230"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media?parent=215229"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/categories?post=215229"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/tags?post=215229"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}