Kritische Sicherheitslücke in Windows: Schadcode per E-Mail in Outlook / Windows Mail ohne Benutzerinteraktion möglich

Eine neue Sicherheitslücke in Windows 10 und Windows 11 ermöglicht es Angreifern, Schadcode ohne jegliche Benutzerinteraktion auszuführen. Die Schwachstelle betrifft das Windows-eigene E-Mail-Programm und kann dazu verwendet werden, um über manipulierte E-Mails Schadsoftware direkt auf ein Zielsystem zu laden. Diese kritische Lücke wurde mit der Bezeichnung CVE-2025-21298 identifiziert und stellt ein ernsthaftes Risiko für alle betroffenen Systeme dar.

Kein Klick erforderlich

Im Gegensatz zu vielen anderen Angriffen, bei denen der Benutzer auf einen Link klicken oder eine Datei öffnen muss, kann diese Schwachstelle ohne jegliche Interaktion von Seiten des Nutzers ausgenutzt werden. Ein Angreifer muss lediglich eine speziell präparierte E-Mail verschicken, die automatisch den Schadcode ausführt, sobald die E-Mail vom E-Mail-Client geöffnet wird. Dies könnte beispielsweise über Outlook oder Windows Mail geschehen.

Die Sicherheitslücke beruht auf einer fehlerhaften Handhabung von eingebetteten Inhalten in E-Mails. Bestimmte Inhalte, wie etwa HTML- oder RTF-Dateien, können dazu führen, dass Windows eine unsichere Bibliothek oder ein gefährliches Skript lädt, das dann ungehindert auf dem System ausgeführt wird.

Gefährdungspotential und Auswirkungen

Da keine Interaktion des Benutzers erforderlich ist, könnte diese Lücke von Angreifern in großem Maßstab ausgenutzt werden. Besonders gefährdet sind Unternehmensnetzwerke, bei denen E-Mail-Kommunikation als primärer Austauschkanal genutzt wird. Ein erfolgreicher Angriff könnte dazu führen, dass Angreifer:

Daten stehlen: Passwörter, vertrauliche Dokumente und persönliche Informationen könnten ausgelesen oder an den Angreifer gesendet werden.
Ransomware installieren: Schadsoftware, die Daten verschlüsselt und Lösegeld fordert, könnte direkt im Hintergrund aktiviert werden.
Remote-Zugriff ermöglichen: Durch die Installation von Fernzugriffssoftware könnten Angreifer dauerhaft Kontrolle über das betroffene System erhalten.

Darüber hinaus könnte die Sicherheitslücke auch in großem Maßstab für Phishing-Angriffe verwendet werden, bei denen der Angreifer versucht, sensible Informationen von Opfern zu erlangen.

Betriebssysteme und betroffene Versionen

Die Schwachstelle betrifft mehrere Versionen von Microsoft Windows:

Windows 10 (alle unterstützten Versionen)
Windows 11 (alle unterstützten Versionen)
Microsoft Outlook und andere E-Mail-Clients, die in Windows integriert sind

Microsoft hat bisher keine detaillierte Erklärung veröffentlicht, warum diese Schwachstelle entstanden ist, aber sie deutet darauf hin, dass sie durch die Art und Weise, wie E-Mails verarbeitet und eingebettete Objekte behandelt werden, verursacht wird.

Gegenmaßnahmen und Patches

Microsoft hat bereits einen Sicherheits-Patch veröffentlicht, der die Schwachstelle behebt. Alle betroffenen Benutzer werden dringend dazu aufgefordert, ihre Systeme umgehend zu aktualisieren, um die Sicherheitslücke zu schließen.

Die wichtigsten empfohlenen Schritte sind:

Update durchführen: Installieren Sie die neuesten Sicherheitsupdates, die über Windows Update bereitgestellt werden.
E-Mail-Sicherheit erhöhen: Verwenden Sie zusätzliche Sicherheitslösungen wie E-Mail-Filter, die potenziell schadhafte Anhänge oder Links blockieren können.
ServerProfis bietet hier zusätzlich eine „Professionelle Spam Filterung für Ihre Mailbox“ als zusätzliche Option an. Dies ist eine leistungsstarke Antispam-Lösung, die E-Mails vor unerwünschtem Spam schützt, indem sie fortschrittliche Filtertechnologien und eine zuverlässige Erkennungsrate nutzt, um die E-Mail-Kommunikation effizient und sicher zu halten.
Zum Produkt: https://www.serverprofis.de/spamexperts-antispam/
Vorsicht bei E-Mails: Seien Sie besonders vorsichtig beim Öffnen von E-Mails aus unbekannten Quellen, auch wenn sie keine verdächtigen Anhänge oder Links enthalten.

Darüber hinaus empfehlen Experten, dass Unternehmen, die in sensiblen Bereichen tätig sind, E-Mail-Scanning-Tools einsetzen, um schadhafte Inhalte frühzeitig zu identifizieren und zu blockieren.

Fazit

Die Entdeckung dieser schwerwiegenden Windows-Sicherheitslücke zeigt erneut, wie wichtig es ist, Systeme und Anwendungen regelmäßig zu aktualisieren. Angreifer haben zunehmend raffiniertere Methoden, um Systeme zu kompromittieren – und in diesem Fall benötigen sie nicht einmal die Mithilfe des Benutzers, um Schaden anzurichten.

Alle Windows-Nutzer sollten daher sicherstellen, dass ihre Geräte auf dem neuesten Stand sind, um sich vor dieser und anderen potenziellen Bedrohungen zu schützen.

Referenz:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-213561-1032
https://www.golem.de/news/kein-klick-erforderlich-kritische-windows-luecke-laesst-schadcode-per-e-mail-rein-2501-192435.html