Outlook-Lücke: Schon das Öffnen einer E-Mail kann das Postfach gefährden

Viele Menschen achten inzwischen darauf, keine verdächtigen Anhänge zu öffnen und nicht auf unbekannte Links zu klicken. Doch genau diese Vorsicht hilft bei einer neuen Angriffsmethode nur begrenzt weiter. Nach Angaben der Sicherheitsfirma "Proofpoint" nutzen Cyberkriminelle eine Schwachstelle in Microsoft Outlook Web Access (OWA) aus, also in der Browser-Version von Outlook.

Laut "Proofpoint" steckt hinter den Angriffen die mutmaßlich Russland-nahe Hackergruppe "TA488". Das Besondere und zugleich Gefährliche daran: Für eine Infektion reiche bereits das Öffnen einer präparierten E-Mail im Webclient. Für eine Infektion brauche es "keinen Klick, keine Warnung", heißt es. Die Nachrichten wirkten dabei oft harmlos und kämen als scheinbar normale Informationsmails zu Themen wie Wirtschaft, Energie oder Tourismus daher.

Unsichtbare Schadsoftware im Postfach

Wird die E-Mail in Outlook Web Access geöffnet, kann laut "Proofpoint" versteckter Schadcode direkt in der Mail-Oberfläche ausgeführt werden. Danach installiert sich eine bislang unbekannte Schadsoftware mit dem Namen "OWAReaper". Anders als klassische Malware läuft sie nicht auf dem Computer der betroffenen Person, sondern direkt innerhalb der Outlook-Weboberfläche.

Das macht die Angriffe besonders schwer zu entdecken. Laut  Sicherheitsexpert:innen hinterlässt "OWAReaper" "kaum Spuren auf dem Gerät". Zusätzlich lösche die Schadsoftware ihren eigenen Code aus der ursprünglichen E-Mail und verwische so gezielt Spuren. Für IT-Teams kann das die Suche nach dem Einfallstor deutlich erschweren.

Auch in den News:

• FIFA-Boss Gianni Infantino verteidigt umstrittenen Investoren-Plan

• Das "Wunder von Bern" machte Deutschland zum Weltmeister – und Adidas zur Weltmarke

• Auch BMW rutscht ab: Gewinn bricht um mehr als ein Drittel ein

Passwortwechsel hilft nicht immer

Besonders alarmierend ist laut "Proofpoint" auch die Hartnäckigkeit des Angriffs. Die Schadsoftware sichere sich den Zugriff "auf mehreren Wegen gleichzeitig". Das bedeutet: Selbst wenn Betroffene ihr Passwort ändern oder den betroffenen Rechner komplett neu aufsetzen, könnten Angreifer:innen weiterhin Zugriff auf das Postfach behalten.

"OWAReaper" soll zudem Berechtigungen stehlen und sich sogar auf dem Mailserver festsetzen können. Damit betrifft der Angriff nicht nur einzelne Endgeräte, sondern möglicherweise die Infrastruktur eines ganzen Unternehmens oder einer Behörde. Ein neues Passwort allein könne deshalb "teilweise nicht ausreichen", um Hacker:innen wieder auszusperren.

Diese Branchen stehen im Fokus

Nach Angaben von "Proofpoint" richtet sich die aktuelle Angriffswelle vor allem gegen Behörden in Europa und den USA, Telekommunikationsunternehmen, Banken und Finanzdienstleister, Luft- und Raumfahrtfirmen sowie Hotels und Tourismusunternehmen. Die Expert:innen schließen aber nicht aus, dass ähnliche Methoden künftig auch gegen Privatnutzer:innen eingesetzt werden könnten.

Wer Outlook Web Access nutzt, sollte deshalb schnell handeln. Wichtig ist vor allem, alle verfügbaren Sicherheitsupdates zu installieren. Außerdem sollten ungewöhnliche Anmeldeversuche, neue Postfachregeln oder andere verdächtige Aktivitäten sofort an die IT-Abteilung oder den Anbieter gemeldet werden. Ein aktuelles Antivirenprogramm kann zusätzlichen Schutz bieten, auch wenn es nicht jede servernahe Attacke vollständig verhindert.