Windows-Sicherheitslücke: Angreifer nutzen kritische SMB-Schwachstelle aktiv aus
Kritische Schwachstelle betrifft Millionen von Systemen
Die US-Cybersicherheitsbehörde CISA schlägt Alarm: Eine schwerwiegende Sicherheitslücke im Windows Server Message Block (SMB) Protokoll wird bereits für Cyberangriffe genutzt. Die Schwachstelle CVE-2025-33073 ermöglicht es Angreifern, höchste Systemrechte auf ungepatchten Computern zu erlangen.
Obwohl Microsoft bereits im Juni 2025 ein Sicherheitsupdate veröffentlichte, bestätigte CISA gestern offiziell die aktive Ausnutzung der Lücke. Die Behörde nahm die Schwachstelle in ihren Katalog bekannter, ausgenutzer Sicherheitslücken auf – ein eindeutiges Signal für laufende Cyberattacken.
CVE-2025-33073 ist eine Privilege-Escalation-Schwachstelle mit einem CVSS-Score von 8,8 von 10 Punkten. Betroffen sind alle unterstützten Versionen von Windows 10, Windows Server und Windows 11 bis zur Version 24H2.
Die Angriffsmethode ist heimtückisch: Cyberkriminelle locken Nutzer oder Systeme dazu, sich mit einem bösartigen SMB-Server zu verbinden. Dies geschieht durch speziell präparierte Skripte. Sobald die Verbindung steht, können Angreifer das Protokoll kompromittieren und sich vollständige Systemkontrolle verschaffen.
Mit diesen Administratorrechten können sie Sicherheitstools deaktivieren, sensible Daten stehlen, Malware installieren und sich lateral durch Unternehmensnetzwerke bewegen.
Anzeige: Passend zur aktuellen SMB-Gefahr – wenn ein Windows-Rechner nach Malware-Befall nicht mehr sauber startet, kann ein korrekt erstellter Windows‑11‑Boot‑Stick bei Rettung, Reparatur oder Neuinstallation helfen. Ein kostenloser Ratgeber erklärt Schritt für Schritt, wie Sie den USB‑Stick vorbereiten und typische Fehler vermeiden – ideal als Notfall‑Werkzeug im Unternehmen und privat. Jetzt Gratis-Anleitung für den Windows‑11‑Boot‑Stick sichern
Von der Theorie zur Realität: Bestätigte Cyberangriffe
Microsoft veröffentlichte den Patch bereits am Patch-Dienstag im Juni 2025. Die öffentliche Bekanntgabe der Schwachstelle stellte jedoch technische Details für potenzielle Angreifer bereit – eine gefährliche Kombination.
CISAs Bestätigung der aktiven Ausnutzung zeigt: Was zunächst als theoretische Bedrohung galt, ist nun bittere Realität. Sicherheitsforscher von CrowdStrike, Google Project Zero und Synacktiv hatten die ursprüngliche Schwachstelle entdeckt.
Einige Experten stufen die Lücke sogar noch kritischer ein: Sie klassifizieren sie als authentifizierte Remote-Code-Execution-Schwachstelle auf Systemen ohne SMB-Signierung.
Bundesbehörden unter Zeitdruck: Patch-Deadline bis 10. November
CISA aktivierte ihre Binding Operational Directive (BOD) 22-01 und setzt alle Bundesbehörden unter Zugzwang. Bis zum 10. November 2025 müssen alle zivilen Bundesbehörden die Schwachstelle beheben – eine außergewöhnlich kurze Frist, die die Dringlichkeit unterstreicht.
Auch private Unternehmen stehen im Fokus: CISA warnt eindringlich, dass “diese Art von Schwachstellen häufige Angriffsvektoren für Cyberkriminelle darstellen und erhebliche Risiken bergen.”
Parallelen zu verheerenden Cyberattacken
SMB-Schwachstellen haben bereits Geschichte geschrieben: Der EternalBlue-Exploit nutzte 2017 eine SMBv1-Lücke und ermöglichte die globalen WannaCry- und NotPetya-Ransomware-Angriffe.
Während CVE-2025-33073 einen anderen Angriffsmechanismus nutzt, ist die Gefahr vergleichbar. Privilege-Escalation-Schwachstellen sind das Rückgrat moderner Ransomware-Kampagnen – sie verschaffen Angreifern den nötigen Systemzugriff für verheerende Attacken.
Sofortmaßnahmen für Unternehmen
Die wichtigste Maßnahme ist die unverzügliche Installation der Microsoft-Sicherheitsupdates vom Juni 2025. Darüber hinaus sollten Unternehmen eine mehrschichtige Verteidigungsstrategie verfolgen:
Netzwerküberwachung für verdächtige ausgehende SMB-Verbindungen und ungewöhnliche Authentifizierungsversuche ist essentiell. Netzwerksicherheitsrichtlinien sollten ausgehenden SMB-Traffic über TCP-Port 445 am Netzwerkperimeter blockieren, um Verbindungen zu bösartigen Servern zu verhindern.
Da bereits Proof-of-Concept-Exploits öffentlich verfügbar sind, dürfte das Risiko für ungepatchte Systeme in den kommenden Wochen dramatisch steigen.
