Die Exchange-Hybrid-Sicherheitslücke (CVE-2025-53786) hat in den letzten Tagen viele Admins kalt erwischt, die ihre Hybrid-Umgebung bislang für einigermaßen sicher hielten. In meinen Projekten erlebe ich immer wieder dasselbe Bild: Nach der ersten Migration gilt die Hybrid-Verbindung als reine „Konnektivität“, und danach schaut kaum noch jemand hin. Die aktuelle Schwachstelle macht deutlich, dass man auch 2025 genau verstehen muss, wie die Brücke zwischen On-Prem und Exchange Online funktioniert. Wer Exchange Hybrid betreibt, sollte außerdem wissen, wie eng Microsoft 365 und das lokale Active Directory dabei miteinander verzahnt sind.

CVE-2025-53786 nutzt die geteilte Service-Principal-Identität aus

In klassischen Hybrid-Konfigurationen verwenden Exchange Server und Exchange Online denselben Service Principal in Entra ID. Das war lange Zeit Standard. Gefährlich wird es, wenn ein Angreifer über einen kompromittierten On-Prem-Exchange-Server mit Adminrechten diesem Service Principal bösartige Berechtigungen oder Zugang verschaffen kann. Dann steht ihm neben der lokalen Mailumgebung auch Exchange Online im Tenant offen. An dieser Stelle greift CVE-2025-53786. Microsoft hat die Lücke am 6. August öffentlich gemacht, und die US-Behörde CISA hat umgehend eine Emergency Directive herausgegeben – ein deutliches Zeichen dafür, wie ernst die Lage ist.

Praxistipp: Wer Exchange Hybrid einsetzt, sollte die Pflege der lokalen Exchange-Server auch ohne konkreten Vorfall als festen Bestandteil der Cloud-Sicherheit verstehen. Regelmäßige Updates und Health Checks gehören dazu, selbst wenn Exchange On-Prem angeblich nur noch für SMTP-Relay oder die Verwaltung läuft.

Microsoft trennt Exchange Online und On-Prem mit einer dedizierten Hybrid-App

Schon im April 2025 hatte Microsoft angekündigt, für On-Prem und Cloud künftig keinen gemeinsamen Service Principal mehr zu verwenden. Im neuen Modell der dedizierten Exchange-Hybrid-App bekommt die Hybrid-Verbindung einen eigenen, klar abgegrenzten Service Principal in Entra ID, der von Exchange Online selbst getrennt ist. An diesem Wechsel führt kein Weg vorbei. Nur so lässt sich verhindern, dass ein kompromittierter On-Prem-Server über die alte, geteilte Identität auf Cloud-Ressourcen zugreift.

Als Flussdiagramm sieht das Prinzip so aus:

flowchart TD
    UserLogin["Admin meldet sich am Exchange Server an"]
    OnPremExchange["Exchange On-Prem Server"]
    HybridApp["Dedizierte Hybrid-App (Service Principal)"]
    ExO["Exchange Online"]
    UserLogin --> OnPremExchange
    OnPremExchange --> HybridApp
    HybridApp --> ExO

Abbildung: Die dedizierte Hybrid-App vermittelt zwischen Exchange On-Prem und Exchange Online. Weil die Identitäten getrennt sind, ist keine Privilegieneskalation möglich.

Den genauen Ablauf beschreibt Microsoft ausführlich im Leitfaden zur Hybrid-Umstellung.

Nach dem Patch folgen die neue App und der Schlüssel-Reset

Wer derzeit Exchange Hybrid betreibt, sollte diese Schritte jetzt angehen:

  1. Installiert die aktuellen Exchange-Server-Updates (mindestens den Hotfix vom April 2025 oder neuer) auf allen hybriden On-Prem-Systemen. Ohne sie lässt sich das neue Modell nicht sicher umsetzen.
  2. Führt das Skript ConfigureExchangeHybridApplication.ps1 aus. Es legt die dedizierte Hybrid-App samt Service Principal in eurem Entra-ID-Tenant an. Skript und Anleitung stehen im Dokuartikel von Microsoft.
  3. Setzt die keyCredentials des alten, geteilten Service Principals zurück. Damit schließt ihr die alten Zugangswege, und kompromittierte Schlüssel werden wertlos.
  4. Kontrolliert mit dem Exchange Health Checker (PowerShell, zu finden im Exchange-Support-Repo), ob alle Hotfixes installiert sind und die Hybrid-App richtig eingerichtet ist.

Diese Fehler begegnen mir in Projekten immer wieder

Die häufigste Stolperfalle: Viele Admins verlassen sich auf einen „historisch gewachsenen“ Hybrid-Connect und überprüfen die Berechtigungen und Service Principals in Entra ID nicht regelmäßig. Alte Service Principals weiterlaufen zu lassen, bloß weil „es ja funktioniert“, ist riskant. Die dedizierte App ist keine Option, die man sich offenhalten kann, sondern Pflicht – erst recht nach den deutlichen Warnungen von CISA und Microsoft.

Auch den Reset der keyCredentials vergessen viele. Ungepatchte Exchange-Server oder fehlende Rechte für das Skript sorgen schnell für Fehlermeldungen. Bringt euren Exchange deshalb vorher auf den aktuellen Stand und vergewissert euch, dass ihr Global-Admin-Rechte im Tenant habt. Wer Microsoft Entra Connect einsetzt, findet in meinem Beitrag zur Tier-0-Härtung von Entra Connect passende Ergänzungen.

Exchange Hybrid bleibt ein Risiko und macht „Cloud Only“ immer attraktiver

Die Exchange-Hybrid-Sicherheitslücke zeigt wieder, wie trügerisch der Satz „Ja, wir sind doch längst in der Cloud“ ist, solange noch lokale Komponenten angebunden sind. Viele Organisationen haben sich im Hybrid-Betrieb über die Jahre gemütlich eingerichtet. Jetzt ist der Zeitpunkt, kritisch zu prüfen, ob es On-Prem Exchange überhaupt noch braucht. Wer auf Hybrid nicht verzichten kann, muss seine Service Principals konsequent überwachen, regelmäßig Health Checks fahren und Updates zeitnah einspielen. Die neue Architektur hilft dabei, die Verantwortung bleibt aber bei euch.

Ich bin ehrlich gespannt, wie viele Unternehmen diese Umstellung wirklich sauber durchziehen. Die Schwachstelle ist jedenfalls ein guter Grund, Exchange Hybrid nicht länger als erledigt abzuhaken. Es ist ein kritisches Sicherheitsthema, das bis in die Cloud hineinreicht.