Exchange Server Check
Exchange-Build der eigenen OWA-URL gegen Microsofts Build-Liste prüfen.
Dieses Werkzeug ruft die eingegebene OWA-URL (Outlook Web App) einmal anonym auf, ganz ohne Anmeldung. Die Login-Seite eines on-premises Exchange-Servers verrät dabei unfreiwillig ihren genauen Build in den Pfaden ihrer statischen Assets, zusätzlich oft im X-OWA-Version-Header.
Der gefundene Build wird gegen Microsofts offizielle Build-Tabelle abgeglichen: ist er aktuell, oder wie viele Updates liegt er zurück? Dazu prüft das Werkzeug das TLS-Zertifikat sowie ein paar Härtungspunkte, die sich ebenfalls ohne Anmeldung ablesen lassen: angebotene Auth-Verfahren (Basic Auth ist unverschlüsselt und sollte abgeschaltet sein), geleakte interne Servernamen und ob Klartext-HTTP noch offen ist.
Bewusst kein Sicherheitslücken-Abgleich: das Werkzeug sagt, ob ein Update verfügbar ist, nicht für welche konkrete CVE. Ältere Builds enthalten in aller Regel ungepatchte Lücken, Details dazu liefert Microsofts Security Update Guide. Einen Überblick über aktuelle Exchange-Versionen, Support-Zeiträume und Migrationsleitfäden gibt der Artikel Exchange Versionen auf frankysweb.de.
Zusätzlich prüft das Werkzeug eine feste Liste weiterer Exchange-Pfade auf demselben Server (ECP, PowerShell, ActiveSync, EWS, OAB, RPC, MAPI, Autodiscover) und meldet, welche davon erreichbar sind. Das ist nicht automatisch ein Problem: ActiveSync, EWS und Co. sind für die Anbindung mobiler Geräte und Outlook oft absichtlich öffentlich erreichbar. Nur ECP und PowerShell (Admin-/Skriptzugriff) werden bei direkter Erreichbarkeit als eigenständiges Risiko gewertet.
Häufige Fragen
- Woher kenne ich die OWA-URL meines Servers?
- Die Adresse, mit der sich Nutzer im Browser bei Outlook Web App anmelden, meist in der Form https://mail.beispiel.de/owa. Reicht auch der bloße Hostname (mail.beispiel.de), https:// und /owa werden automatisch ergänzt.
- Braucht das Werkzeug einen Benutzernamen oder ein Passwort?
- Nein. Es ruft nur die öffentliche Login-Seite auf, ganz ohne Anmeldeversuch.
- Warum wird keine konkrete Sicherheitslücke genannt?
- Eine verlässliche CVE-Zuordnung bräuchte eine dauerhaft gepflegte Liste. Dieses Werkzeug zeigt nur, ob ein Update verfügbar ist, Details dazu liefert Microsofts eigener Security Update Guide.
- Funktioniert das auch mit Exchange Online (Microsoft 365)?
- Exchange Online hat keinen Build zum Ermitteln (Microsoft patcht selbst), das Werkzeug erkennt das und führt keinen Update-Abgleich durch.
- Was bedeutet es, wenn ECP oder PowerShell 'direkt erreichbar' sind?
- Diese beiden Pfade erlauben Admin- bzw. Skriptzugriff auf Exchange. Antworten sie direkt von Exchange statt über einen vorgeschalteten Schutz, ist das unabhängig von der Absicherung anderer Pfade ein eigenständiges Risiko.