StartLeistungenIT-SicherheitSharePoint Zero-Day CVE-2025-53770

SharePoint-Sicherheitslücke CVE-2025-53770 (ToolShell): Gepatcht heißt nicht sicher

Die SharePoint-Lücke CVE-2025-53770 („ToolShell“) wird aktiv ausgenutzt – Patchen allein genügt nicht, wenn der Server bereits kompromittiert ist. Wir prüfen Ihre Umgebung auf Kompromittierungsspuren (IoCs), patchen und härten sie nachhaltig.

4,9Google-Bewertungen (27)ISO/IEC 27001- zertifiziert

Microsoft-Partner & Office-365-Experten 4,9Google-Bewertungen (27)ISO/IEC 27001- zertifiziert

Microsoft-Partner & Office-365-Experten

Hintergrund

Was hinter CVE-2025-53770 steckt

Die als ToolShell bekannte Angriffskette kombiniert mehrere Schwachstellen und erlaubte Angreifern, ohne Anmeldung Code auf SharePoint-Servern auszuführen. Besonders kritisch: Dabei wurden die kryptografischen MachineKeys des ASP.NET-Servers gestohlen. Mit diesen Schlüsseln können Angreifer gültige, signierte Anfragen fälschen – und behalten damit auch nach dem Einspielen des Patches Zugriff, solange die Schlüssel nicht rotiert wurden. Das ist der Grund, warum „Wir haben gepatcht“ allein keine Entwarnung ist.

Versionen

Betroffene Versionen

SharePoint Server Subscription Edition
SharePoint Server 2019
SharePoint Server 2016
Nicht betroffen: SharePoint Online in Microsoft 365. Für ältere On-Premises-Versionen ohne Support gibt es keine Patches – hier ist die Migration (zu einer unterstützten Version oder zu SharePoint Online) die einzige saubere Lösung.

Leitfrage 1

Ist Ihr SharePoint gepatcht?

Microsoft hat Sicherheitsupdates für die unterstützten Versionen bereitgestellt; zusätzlich empfohlen sind die Aktivierung der AMSI-Integration mit Endpoint-Schutz und – zentral – die Rotation der ASP.NET-MachineKeys mit anschließendem IIS-Neustart. Wir prüfen Patch-Stand und Konfiguration Ihrer Umgebung und holen Versäumtes strukturiert nach.

Leitfrage 2

Wurde Ihr Server vor dem Patch kompromittiert?

Wer erst nach Beginn der Angriffswelle gepatcht hat, muss rückwirkend prüfen. Wir prüfen Ihre Umgebung systematisch auf Kompromittierungsspuren. Wird eine Kompromittierung bestätigt, folgt die strukturierte Bereinigung: Schlüsselrotation, Passwort-Erneuerung, Forensik-Sicherung und – je nach Befund – Neuaufbau des Servers. Als Digitale Ersthelfer im BSI-Cyber-Sicherheitsnetzwerk begleiten wir auch die Meldepflichten.

IoCs

Typische Kompromittierungsindikatoren

Verdächtige Dateien wie spinstall0.aspx (und Varianten) in den SharePoint-LAYOUTS-Verzeichnissen.
Ungewöhnliche Prozessstarts des IIS-Worker-Prozesses (w3wp.exe), etwa Kommandozeilen- oder PowerShell-Aufrufe.
Auffällige POST-Anfragen in den IIS-Logs, insbesondere auf ToolPane-Endpunkte mit verdächtigen Referrern.
Unerklärte neue Dateien, geplante Tasks oder Konten aus dem Angriffszeitraum.

Lessons Learned

Patch-Management als Dauerleistung

ToolShell war kein Einzelfall, sondern das Muster: Zwischen Bekanntwerden einer Lücke und massenhafter Ausnutzung liegen oft nur Stunden. Wer Patches „bei Gelegenheit“ einspielt, verliert dieses Rennen strukturell. Die nachhaltige Antwort ist konsequentes Patch-Management mit Monitoring und klaren Verantwortlichkeiten – für SharePoint und die gesamte Microsoft-Umgebung. Genau das übernehmen wir als laufende Betreuung: Updates werden eingespielt, bevor Angriffswellen rollen, und exponierte Systeme werden gehärtet statt nur geflickt.

Ihr nächster Schritt

Sprechen Sie mit unseren Experten.

Wir beraten Sie persönlich – vor Ort in Hamburg und Schleswig-Holstein oder per Fernwartung.

Kundenstimmen

Echte
Erfolgsgeschichten.

Wir helfen mittelständischen Unternehmen, Organisationen, Kanzleien und Praxen bei der Digitalisierung und schützen ihre IT vor Ausfallzeiten. Unsere Kunden bewerten uns auf Google mit 4,9 von 5 Sternen aus 27 Rezensionen.

Endlich ein IT-Partner, bei dem wir persönliche Ansprechpartner haben – und keine anonyme Hotline. Reaktionszeit stimmt, Kommunikation ist auf den Punkt.

Katrin B.

Steuerkanzlei · Hamburg

Google-Rezension

Die Migration in die Cloud lief geräuschlos. Wir konnten am nächsten Morgen einfach weiterarbeiten – so muss IT-Beratung sein.

Sven H.

IT-Verantwortlicher · Schleswig-Holstein

Google-Rezension

Wir haben mit ITS zum ersten Mal das Gefühl, dass jemand unser Geschäft wirklich versteht – nicht nur unsere Server.

Dr. Miriam K.

Geschäftsführung · Hamburg

Google-Rezension

Standorte in Hamburg und Schleswig-Holstein

Zwei Häfen.
Ein Team.

Wir können zwar auch Fernwartung, aber wenn Hilfe vor Ort nötig ist, sind wir genau da, wo Sie sind – und zwar schnell. Erreichbar, wenn andere Mittagspause machen: durchgehend Mo–Fr von 8:30 bis 18:00 Uhr.

Blick über die Hamburger Innenstadt mit Alster

Standort

Hansestadt Hamburg

Steilshooper Allee 80 · 22309 Hamburg

040 / 88 16 597 – 0

Mo–Fr 8:30–18:00 Uhr

Historische Altstadt von Schleswig an der Schlei

Standort

Schleswig-Holstein

Lutherstraße 2A · 24837 Schleswig

04621 / 530 92 – 0

Mo–Fr 8:30–18:00 Uhr

Hamburg und Schleswig sind keine zwei Firmen mit gemeinsamem Logo. Es ist ein Team, das an zwei Orten sitzt – mit demselben Ticketsystem, denselben Werkzeugen und derselben Erreichbarkeit.

Der Unterschied zu vielen Systemhäusern in der Region liegt in der Bauweise: Wer sein Geschäftsmodell allein auf Cloud-Marge aufbaut, kann Ihnen keine Infrastruktur bauen, die auch ohne Hyperscaler läuft. Wir können beides – und sagen Ihnen offen, wann welcher Weg der richtige für Sie ist.

Unsere eigene Sicherheit lassen wir prüfen: Unser Managementsystem für Informationssicherheit ist nach DIN EN ISO/IEC 27001:2024 auditiert – ohne Abweichungen über alle zehn Normkapitel.

Alle Zertifizierungen & Partner

Was wir selbst betreiben, empfehlen wir auch

Virtualisierung ohne Lizenzsprung
Proxmox im Eigenbetrieb – lange vor der VMware-Preiserhöhung.
Netzwerke, die man trennen kann
Segmentierung mit VLANs statt flacher Netze.
Telefonie im eigenen Haus
AGFEO-Fachhandel seit 1999, dazu Cloud-Telefonie, wenn sie passt.
Zwei-Faktor mit deutscher Hardware
Reiner SCT für belastbare Authentifizierung.
Automatisierung im eigenen Netz
Selbst gehostet, ohne Fremd-SaaS im Datenweg.

Aktuelles

Neues aus dem Ratgeber zu IT-Sicherheit.

Alle Beiträge ansehen →

Wissenswertes

Häufige
Fragen.

Eine kritische Schwachstelle in SharePoint-On-Premises-Servern (Teil der ToolShell-Angriffskette), die ab Juli 2025 aktiv ausgenutzt wurde. Angreifer konnten ohne Anmeldung Code ausführen und kryptografische Schlüssel des Servers stehlen. SharePoint Online (Microsoft 365) war nicht betroffen.Link zu dieser Frage und Antwort

Nicht automatisch. Wer vor dem Patch kompromittiert wurde, kann trotz Update angreifbar bleiben – insbesondere wenn gestohlene MachineKeys nicht rotiert wurden. Deshalb gehört zur Absicherung immer die rückwirkende Prüfung auf Kompromittierungsspuren.Link zu dieser Frage und Antwort

Typische Indikatoren (IoCs) sind verdächtige Dateien wie spinstall0.aspx in den SharePoint-Layouts-Verzeichnissen, ungewöhnliche Prozessstarts des IIS-Workers und auffällige POST-Anfragen in den Logs. Wir prüfen Ihre Umgebung systematisch auf diese Spuren.Link zu dieser Frage und Antwort

SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Server 2016 (On-Premises). Für ältere, nicht mehr unterstützte Versionen gibt es keine Patches – hier ist eine Migration die einzige saubere Lösung.Link zu dieser Frage und Antwort

Durch konsequentes Patch-Management, Monitoring und Härtung Ihrer SharePoint-/Microsoft-Umgebung. Genau das übernehmen wir als laufende Betreuung – damit kritische Updates eingespielt sind, bevor Angriffswellen rollen.Link zu dieser Frage und Antwort