Outlook Web Access: Russische Hacker nutzen Lücke CVE-2026-42897

Microsoft halbiert Outlook-Öffnungszeiten, plant Kalender-Drag-and-drop und warnt vor russischer Hackergruppe, die OWA mit der Schadsoftware OWAReaper attackiert.

Microsoft treibt die Weiterentwicklung seiner E-Mail-Plattform Outlook mit Hochdruck voran. Während der neue Client bei der Geschwindigkeit deutlich aufholt, warnen Sicherheitsexperten vor einer russischen Hackergruppe, die gezielt Outlook Web Access angreift. Für deutsche Unternehmen und Behörden steigt damit der Handlungsdruck.

Neues Outlook: Update halbiert Öffnungszeiten

Mit der Version 1.2026.713.100 hat Microsoft im Juli 2026 ein lang erwartetes Update für das neue Outlook für Windows veröffentlicht. Die zentrale Verbesserung: E-Mails lassen sich nun deutlich schneller direkt aus Benachrichtigungen heraus öffnen. Die Wartezeit sinkt von etwa zehn auf rund fünf Sekunden. Damit halbiert sich die Verzögerung, die Nutzer bislang bemängelten.

Dennoch bleibt die klassische Desktop-Version in dieser Disziplin der Maßstab. Sie reagiert auf Klicks nahezu in Echtzeit. Der Rückstand des neuen Clients hat technische Gründe: Das neue Outlook setzt auf das WebView2-Framework und verbraucht im Leerlauf zwischen 490 und 636 Megabyte Arbeitsspeicher. Die klassische Anwendung kommt mit 117 bis 148 Megabyte aus – ein Unterschied, der vor allem auf älteren Geräten spürbar ist.

Microsoft hält am langfristigen Fahrplan fest: Ab März 2027 sollen erste Nutzergruppen verpflichtend auf das neue Outlook umgestellt werden. Die klassische Version bleibt jedoch mindestens bis 2029 unterstützt. Zuletzt ergänzte Microsoft Funktionen wie Quick Parts Anfang Juli und die Planner-Integration Mitte des Monats.

Anzeige

Angesichts der kommenden Umstellung und neuer Funktionen wird effizientes E-Mail-Management immer wichtiger. Dieser kostenlose Ratgeber unterstützt Sie dabei, Outlook optimal einzurichten und wertvolle Zeit im Arbeitsalltag zu sparen. 7 Zeitspar-Tricks für Outlook jetzt kostenlos entdecken

Kalender-Upgrade und neue Web-App

Der Outlook-Kalender erhält im August 2026 eine lang ersehnte Funktion: Termine lassen sich dann per Drag-and-drop verschieben. Die Neuerung gilt für die Tages- und Mehrtagesansicht und betrifft vor allem das neue Outlook sowie die Web-Variante. Details zur Behandlung von Konflikten oder Serienterminen stehen noch aus.

Parallel arbeitet Microsoft an der Progressive Web App (PWA) für Outlook. Ein Update vom 29. Juli 2026 bringt eine schlanke, auf Wischgesten ausgelegte Oberfläche sowie Offline-Zugriff auf aktuelle Inhalte. Die App setzt auf verschlüsselte Datenübertragung und gibt keine Daten an Dritte weiter.

Hackergruppe „Laundry Bear“ attackiert OWA

Deutlich alarmierender sind die jüngsten Sicherheitserkenntnisse. Die russische Hackergruppe Laundry Bear, auch als TA488 bekannt, führt seit mindestens März 2026 eine ausgeklügelte Kampagne gegen Regierungs-, Telekommunikations- und Finanzinstitutionen in den USA und Europa.

Die Angreifer nutzen eine Sicherheitslücke in Outlook Web Access, die als CVE-2026-42897 registriert ist. Die Schwachstelle ermöglicht Cross-Site-Scripting-Angriffe und weist einen CVSS-Score von 8,1 auf – eine kritische Einstufung. Microsoft stellte zwar am 9. Juni 2026 einen Patch bereit, doch seit dem 22. Juli beobachten Sicherheitsforscher eine deutliche Zunahme der Angriffsaktivität.

Besonders perfide ist die eingesetzte Schadsoftware namens OWAReaper. Das JavaScript-basierte Implantat ist auf extreme Persistenz ausgelegt: Es übersteht sogar Passwortwechsel und das Neuaufsetzen von Geräten, indem es sich in Browser-Speichern wie localStorage und IndexedDB versteckt. Zudem versucht es, Besitzerrechte in Exchange-Ordnern zu erlangen. OWAReaper kann Zugangsdaten stehlen, Pop-ups deaktivieren und Daten über HTTPS sowie DNS-Tunneling nach außen schmuggeln.

Anzeige

Da Cyber-Angriffe auf Kommunikationswege wie Outlook Web Access immer raffinierter werden, müssen Unternehmen ihre Sicherheitsstrategien dringend anpassen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie aktuelle Bedrohungen erkennen und Ihre IT-Infrastruktur proaktiv schützen. Gratis-E-Book: IT-Sicherheit ohne teure Investitionen stärken

Verbindungsprobleme und Stabilitätsfragen

Am 30. Juli 2026 bestätigte Microsoft vorübergehende Anmeldeprobleme bei Outlook.com und der iOS-App. Auf Störungsplattformen wurden zeitweise mehr als 1.200 Meldungen registriert. Ursache war ein fehlerhaftes Update, das Microsoft durch einen Rollback behob.

Weitere gemeldete Probleme im Juli 2026: verschwundene Ordner, fehlgeschlagene Kontaktspeicherungen und falsche Links in der Bookings-Integration. Bereits am 25. Juni hatten Nutzer einen kurzfristigen Ausfall der Copilot-Integration bemerkt. Für Android-Nutzer aktualisierte Microsoft am 30. Juli die Installationshinweise – mit Nachdruck auf Zwei-Faktor-Authentifizierung und spezifischen Berechtigungen für Kalender- und Kontaktsynchronisation.