Outlook-Lücke CVE-2026-124194: So patchen (Nov. 2026)

Was ist die Outlook-Zero-Day-Lücke CVE-2026-124194?

CVE-2026-124194 ist eine Spoofing-Sicherheitslücke in Microsoft Outlook, die Angreifer ausnutzten, bevor es eine Korrektur gab; Microsoft hat sie am 10. November 2026 gepatcht ^[1][2].

Der Security Update Guide von Microsoft führt die Lücke als „Exploitation Detected“ und erklärt, sie sei vor dem Patch nicht öffentlich bekannt gewesen ^[1]. Ihr Schwachstellentyp ist CWE-356, das heißt, das Produkt warnt den Nutzer nicht vor einer unsicheren Aktion ^[1][6].

Einfach gesagt: Outlook sollte eine Warnung anzeigen, bevor es Inhalte von einem Speicherort in einem fremden Netzwerk abruft. Mit diesem Fehler konnte eine speziell präparierte Nachrichtendatei Outlook dazu bringen, sich ohne diese Warnung mit einem vom Angreifer kontrollierten Server zu verbinden ^[1][2].

Laut BleepingComputer und SecurityWeek war sie die einzige aktiv ausgenutzte Zero-Day-Lücke im Microsoft-Release vom November 2026 ^[2][3]. Microsoft nannte als Melder einen Forscher unter dem Namen „nono“ und Benoît Sevens ^[3].

Dies ist eine Sicherheitslücke, keine Dienststörung.

Wie funktioniert der NTLM-Hash-Abfluss in Outlook?

Der Angreifer sendet eine präparierte Nachrichtendatei; öffnet das Opfer sie in einem betroffenen Outlook, versucht Windows womöglich, sich am Server des Angreifers anzumelden, und übergibt den NTLMv2-Hash des Nutzers ^[1][2].

1. Zustellung: Der Angreifer verschickt eine bösartige Nachrichtendatei per E-Mail oder teilt sie anderweitig ^[1].
2. Aktion des Nutzers: Das Opfer öffnet die Datei in Outlook. Microsoft erklärt, der Lesebereich sei kein Angriffsvektor, es ist also ein Klick zum Öffnen nötig ^[1].
3. Versteckte Verbindung: Outlook verbindet sich ohne die übliche Warnung vor externen Inhalten mit einem vom Angreifer kontrollierten Netzwerkstandort ^[1].
4. Hash gesendet: Windows versucht automatisch, sich zu authentifizieren, wodurch der NTLMv2-Hash des Nutzers preisgegeben wird ^[1][2].
5. Missbrauch: Der Angreifer kann versuchen, den Hash offline zu knacken oder ihn zu nutzen, um sich als der Nutzer zu authentifizieren ^[1][2].

NTLM ist ein älteres Windows-Anmeldeprotokoll. Ein Hash ist nicht das Passwort selbst, doch laut BleepingComputer könnte ein abgefangener NTLMv2-Hash offline geknackt werden ^[2], und Microsoft weist darauf hin, dass NTLM anfällig für SMB-Relay-, Man-in-the-Middle- und Brute-Force-Angriffe ist ^[9]. BleepingComputer merkte außerdem an, dass ähnliche NTLM-Leck-Schwachstellen zuvor über bösartige Anhänge in Phishing-Kampagnen ausgenutzt wurden ^[2].

Die Mitteilung von Microsoft enthält keine Angaben dazu, wer angegriffen wurde oder in welchem Umfang ^[3].

Welche Outlook-Versionen sind betroffen und welche Builds sind behoben?

Microsoft nennt Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024 als betroffen, jeweils in 32-Bit- und 64-Bit-Editionen ^[1][5].

Das Office-Sicherheitsrelease vom November 2026 erschien am 10. November und deckt jeden Update-Kanal ab ^[5]. Microsoft führt CVE-2026-124194 im Outlook-Abschnitt dieses Releases auf ^[5]. Die Tabelle unten zeigt die behobenen Builds, wie Microsoft sie für jeden Kanal und jede Version angibt. Vergleichen Sie Ihren Build mit der Zeile, die zu Ihrem Kanal und Ihrer Version passt.

Um Ihren Build zu finden, öffnen Sie in einer Office-App Datei und dann Office-Konto (oder Konto); der Abschnitt Produktinformationen zeigt den Produktnamen und teils die vollständige Versionsnummer, und die Schaltfläche Info der App zeigt die vollständige Version ^[10]. Zum Installieren des Updates wählen Sie Updateoptionen und dann Jetzt aktualisieren ^[8]. Fehlt Updateoptionen und erscheint nur eine Schaltfläche Info, ist Ihre Kopie volumenlizenziert oder wird von Ihrer Organisation verwaltet; nutzen Sie dann Microsoft Update oder wenden Sie sich an Ihren Helpdesk ^[8].

SecurityWeek nannte dieselben drei betroffenen Produkte ^[3]. Die Mitteilung von Microsoft nennt nur Office-Produkte als betroffen und verweist für die Korrektur auf die Office-Sicherheitshinweise, ein kumulatives Windows-Update ist also nicht die Lösung ^[1][5].

Wie schwerwiegend ist die Outlook-Zero-Day-Lücke?

Microsoft stuft sie als mittel („Moderate“) ein, mit einem CVSS-3.1-Basiswert von 6,5, doch sie verdient schnelles Handeln, weil bereits Angriffe stattfinden ^[1][3][4].

Der CVSS-Vektor zeigt, dass eine Nutzerinteraktion nötig ist (der Nutzer muss eine Datei öffnen), mit hohen Auswirkungen auf die Vertraulichkeit und ohne Auswirkungen auf Integrität oder Verfügbarkeit ^[1].

Drei Fakten erhöhen die praktische Dringlichkeit über den Wert hinaus:

• Bestätigte Ausnutzung: Microsoft markierte sie als ausgenutzt, und CISA nahm sie am 10. November 2026 in den Katalog Known Exploited Vulnerabilities auf ^[1][4].
• Diebstahl von Zugangsdaten: Microsoft erklärt, der abgeflossene Hash könne genutzt werden, um sich als der Nutzer zu authentifizieren ^[1], und weist darauf hin, dass NTLM anfällig für Relay- und Brute-Force-Angriffe ist ^[9].
• Zustellung per Phishing: BleepingComputer zufolge wurden ähnliche NTLM-Schwachstellen zuvor über bösartige Anhänge in Phishing-Kampagnen ausgenutzt ^[2].

CISA gab US-Bundesbehörden bis zum 24. November 2026 Zeit, die Korrektur einzuspielen ^[4]. CISA erklärt, es sei unbekannt, ob Ransomware-Gruppen die Lücke genutzt haben ^[4]. Auch JPCERT/CC in Japan gab eine Warnung heraus und forderte Nutzer auf, die Updates einzuspielen ^[6].

Wie schützen Sie sich vor CVE-2026-124194?

Installieren Sie zuerst das Office-Update vom November 2026; die Mitteilung von Microsoft nennt das Update als Lösung und keinen separaten Workaround ^[1][5]. Ziehen Sie danach die folgenden allgemeinen Härtungsschritte in Betracht ^[7][9].

1. Office aktualisieren: Wählen Sie in Outlook Datei, Office-Konto, Updateoptionen, Jetzt aktualisieren, oder verteilen Sie das Update über Ihre Verwaltungswerkzeuge ^[5][8].
2. Build bestätigen: Vergleichen Sie den in Outlook angezeigten Build mit der Microsoft-Liste für Ihren Kanal ^[5].
3. Ausgehendes SMB blockieren: Die allgemeine SMB-Empfehlung von Microsoft rät, TCP-Port 445 ausgehend ins Internet an der Unternehmens-Firewall zu blockieren, und erklärt, man brauche ihn wahrscheinlich nicht, es sei denn, ein öffentliches Cloud-Angebot wie Azure Files oder Office 365 verlangt ihn ^[7]. Dies ist Defense in Depth, kein von Microsoft genannter Workaround für diese Lücke.
4. Laptops abdecken: Microsoft empfiehlt ausgehende Firewall-Regeln auf Laptops für öffentliche Netzwerke, weil sie Phishing-Angriffe verringern, die Nutzer auf bösartige Server lenken, um Zugangsdaten abzugreifen ^[7].
5. Ausgehendes NTLM einschränken: Die Windows-Richtlinie „Netzwerksicherheit: NTLM einschränken: Ausgehender NTLM-Datenverkehr an Remoteserver“ (englisch „Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers“) kann ausgehendes NTLM überwachen oder verweigern; Microsoft rät, zuerst „Alle überwachen“ (Audit all) zu wählen und das Protokoll auszuwerten ^[9].
6. Vorsicht bei Nachrichtendateien: Öffnen Sie keine unerwarteten Nachrichtenanhänge, auch nicht von bekannten Kontakten.

Weil ein abgefangener Hash offline geknackt werden kann ^[2], ist ein langes, einmaliges Passwort der bessere Schutz. Siehe den Pouyam-Ratgeber Password Managers Explained: How They Work and Whether They Are Safe.

Was tun, wenn Sie eine verdächtige Nachrichtendatei geöffnet haben?

Ändern Sie vorsorglich das Passwort des Windows- oder Arbeitskontos, mit dem Sie angemeldet waren, und informieren Sie Ihr IT-Team, damit es die Anmeldeprotokolle prüfen kann.

Laut der Mitteilung von Microsoft gibt die Lücke den NTLMv2-Hash des Nutzers preis, der genutzt werden könnte, um sich als der Nutzer zu authentifizieren ^[1]; sie nennt keine Schritte für Personen, die eine solche Datei bereits geöffnet haben könnten. Ein abgefangener Hash wird aus dem alten Passwort abgeleitet, sodass ein neues Passwort bedeutet, dass dieser Hash nicht mehr zum Konto passt.

• Melden: Teilen Sie der IT oder den Sicherheitsverantwortlichen mit, wann Sie die Datei geöffnet haben und von wem sie kam.
• E-Mail aufbewahren: Löschen Sie sie nicht; sie hilft Ermittlern, weitere Empfänger zu finden.
• Anmeldungen prüfen: Administratoren können die Kontoaktivität auf unbekannte Standorte oder Geräte prüfen.
• Mehrstufige Authentifizierung nutzen: Sie macht ein geknacktes Passwort für Anmeldungen bei Online-Diensten weniger nützlich, kann einen Angreifer aber nicht daran hindern, den Hash zu knacken zu versuchen.

Administratoren, die die Richtlinie für ausgehendes NTLM auf den Überwachungsmodus gesetzt haben, sehen Versuche im NTLM-Betriebsprotokoll, das die Server ausweist, die NTLM-Authentifizierungsanfragen des Geräts erhalten ^[9]. Für Privatnutzer sind die Schritte einfacher: Office aktualisieren, das Passwort ändern, wenn Sie eine seltsame Datei geöffnet haben, und die Anmeldung in zwei Schritten aktivieren. Der Pouyam-Ratgeber Two-Factor Authentication Explained: Which 2FA Method Is Safest? vergleicht die Optionen.

Was hat Microsoft am Patch Tuesday im November 2026 sonst noch behoben?

Das Microsoft-Release vom November 2026 behob mehr als 1.000 Schwachstellen, doch die Medien zählten unterschiedlich: SecurityWeek meldete 1.094 und BleepingComputer 1.235 ^[2][3].

Keines der beiden Medien erklärt die Differenz vollständig. BleepingComputer sagt, seine Gesamtzahl schließe 108 früher im Monat behobene Lücken aus ^[2], während SecurityWeek eine Aufschlüsselung nach Produkten gibt und außerdem 165 CVEs von Drittanbietern erwähnt, die Microsoft erneut veröffentlichte ^[3]. BleepingComputer erklärte, 66 der Lücken seien als kritisch eingestuft worden ^[2]. SecurityWeek zählte 726 Windows-Lücken und 174 in Office ^[3].

Der Outlook-Fehler war die einzige als ausgenutzt gekennzeichnete Lücke ^[1][2][3]. Das Release enthielt laut SecurityWeek auch die letzten monatlichen Sicherheitsupdates für die Editionen Enterprise und Education von Windows 11 Version 23H2 ^[3].

Das Oktober-Release war mit einem Rekord größer: BleepingComputer meldete 1.411 Korrekturen und SecurityWeek 1.413 ^[2][3]. BleepingComputer merkte an, dass Microsoft weiterhin KI einsetzt, um Schwachstellen zu finden und zu beheben ^[2]. Für Privatnutzer ist der praktische Rat jeden Monat derselbe: Windows Update und Office-Updates installieren lassen und dann neu starten.

Wie gelangen Angriffe mit Outlook-Nachrichtendateien zu Menschen?

Angriffe dieser Art kommen meist als Phishing: eine E-Mail mit bösartigem Anhang, wie BleepingComputer es für ähnliche NTLM-Schwachstellen beschreibt ^[2].

Microsoft erklärt, der Angreifer müsse den Nutzer überzeugen, eine bösartige Datei zu öffnen ^[1]. Damit ist ein normales Phishing-Bewusstsein die erste Verteidigungslinie. Achten Sie auf unerwartete Anhänge, dringende Aufforderungen und Absender, deren Adresse nicht zu ihrem Namen passt.

Eine ausführlichere Checkliste bietet der Pouyam-Ratgeber What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes.

Organisationen können außerdem Nachrichtendatei-Anhänge externer Absender am Mail-Gateway filtern und Nutzer warnen, wenn eine Nachricht von außerhalb des Unternehmens kommt. Diese Schritte ersetzen den Patch nicht, verringern aber die Zahl der Personen, die die Datei überhaupt zu sehen bekommen.