Wurmfähige Lücke im Windows-DNS: Warum dieser Patchday keinen Aufschub duldet

Was macht diesen Patchday besonders?

Microsoft hat im August 421 Sicherheitslücken geschlossen, 62 davon kritisch. Die reine Zahl liegt unter dem Juli-Rekord von 622 — gefährlicher ist dieser Patchday trotzdem, und zwar wegen zwei einzelner Einträge.

Der erste ist eine wurmfähige Schwachstelle im Windows-DNS-Server mit einem CVSS-Wert von 9,8 von 10. „Wurmfähig“ heißt: Ein erfolgreicher Angriff kann sich selbstständig von Server zu Server weiterverbreiten — ohne dass jemand auf etwas klickt, eine Datei öffnet oder überhaupt etwas bemerkt.

Der zweite ist ein Zero-Day im WinSock-Treiber, also in der Windows-Komponente für Netzwerkverbindungen. Er wird bereits aktiv ausgenutzt — die Lücke war Angreifern also bekannt, bevor es einen Patch gab.

Warum ist ausgerechnet die DNS-Lücke so brisant?

Weil DNS die Adressauskunft Ihres Netzwerks ist: Jeder Rechner fragt dort nach, wie er Server, Drucker und Internetadressen erreicht. In fast jedem Firmennetz läuft dieser Dienst auf den Domänencontrollern — also genau auf den Servern, die zugleich Anmeldungen und Berechtigungen verwalten.

Eine wurmfähige Lücke an dieser Stelle ist die ungünstigste Kombination, die es gibt. Sie trifft ein System, das jeder erreichen muss, sie braucht keine Mithilfe eines Nutzers, und sie sitzt dort, wo die Schlüssel zum gesamten Netz liegen. Wer einen Domänencontroller übernimmt, hat nicht einen Server — er hat das Firmennetz.

Wurmfähige Lücken haben zudem eine unangenehme Geschichte: Sie sind die Klasse, aus der große, sich selbst ausbreitende Angriffswellen entstehen. Genau deshalb rechtfertigt dieser eine Eintrag ein außerplanmäßiges Wartungsfenster.

Was bedeutet die CISA-Frist bis zum 25. August für Sie?

Zur Einordnung, damit hier keine falsche Erwartung entsteht: Die CISA ist die US-amerikanische Cybersicherheitsbehörde, und ihre Fristen sind für US-Bundesbehörden verbindlich — nicht für deutsche Unternehmen. Sie müssen also rechtlich nichts bis zum 25. August tun.

Trotzdem ist die Frist nützlich. Die CISA nimmt eine Lücke erst dann in ihren Katalog auf, wenn sie nachweislich aktiv ausgenutzt wird. Eine Frist von rund zwei Wochen ist damit die Einschätzung einer Fachbehörde dazu, wie schnell es ernst wird — und ein brauchbarer Maßstab für die eigene Priorisierung.

Praktisch heißt das: Wer die betroffenen Systeme bis Ende August nicht aktualisiert hat, liegt hinter dem, was Fachleute für vertretbar halten. Und im Schadensfall ist genau das die Frage, die Versicherer und Aufsicht stellen (siehe Cyberversicherung 2026).

Welche Systeme müssen zuerst dran?

Nicht alles gleichzeitig — sondern in dieser Reihenfolge:

• Windows-Server mit DNS-Rolle, vor allem Domänencontroller. Das ist der Punkt, an dem die wurmfähige Lücke greift. Zuerst, ohne Diskussion.
• Systeme mit dem aktiv ausgenutzten WinSock-Zero-Day — hier läuft die Uhr bereits.
• Aus dem Internet erreichbare Server, danach der interne Rest.
• Arbeitsplätze im regulären Rhythmus.

Wer bereits einen eigenen SharePoint-Server betreibt, hat aus demselben Patchday noch eine zweite Baustelle — dazu SharePoint-Server im eigenen Haus.

Was, wenn Sie nicht sofort patchen können?

Dann zählt Schadensbegrenzung, aber ohne sich etwas vorzumachen: Bei einer wurmfähigen DNS-Lücke sind die Ausweichmaßnahmen deutlich schwächer als der Patch. Sinnvoll sind trotzdem: den DNS-Dienst nicht aus dem Internet erreichbar machen, Netzbereiche über Segmentierung trennen, damit sich etwas nicht ungehindert ausbreitet, und über EDR sowie Monitoring sicherstellen, dass ungewöhnlicher Server-zu-Server-Verkehr auffällt.

Diese Maßnahmen kaufen Ihnen Tage, keine Wochen. Ein Wartungsfenster in der laufenden Woche ist die deutlich billigere Variante.

Was sollten Sie jetzt tun?

Drei Fragen klären den Handlungsbedarf in wenigen Minuten: Auf welchen unserer Server läuft die DNS-Rolle? Ist der August-Patch dort eingespielt — mit Datum? Und wer entscheidet über ein außerplanmäßiges Wartungsfenster?

Dass solche Termine zunehmend zur Regel statt zur Ausnahme werden, zeigt der Blick auf die letzten Wochen — vom Juli-Patchday bis heute. Wer das jedes Mal neu improvisiert, verliert das Rennen; wie ein belastbarer Prozess aussieht, steht in Warum ist Patch-Management so wichtig?.

Genau das nehmen wir Ihnen ab: Wir überwachen die Update-Lage, priorisieren nach tatsächlichem Risiko und spielen kritische Patches zeitnah und getestet ein — damit Sie von einem Patchday wie diesem gar nichts mitbekommen.