Ein Mitarbeiter öffnet unterwegs ein Dokument, ein Projektpartner greift auf eine gemeinsame Ablage zu, ein Dienstleister arbeitet im Unternehmensportal. Für viele Unternehmen gehört der externe Zugriff auf SharePoint zum Alltag. Schnell entsteht daraus eine scheinbar logische Konsequenz: Wenn Menschen von außerhalb auf die Anwendung zugreifen müssen, muss die Anwendung auch von außen erreichbar sein.
Genau diese Entscheidung verdient eine kritische Prüfung. Denn ein öffentlich erreichbarer SharePoint-Server steht nicht nur den vorgesehenen Anwendern zur Verfügung. Auch Angreifer können seine öffentlich zugänglichen Schnittstellen ansprechen. Eine Anmeldung begrenzt zwar die Nutzung, beseitigt aber nicht die Erreichbarkeit der Anwendung und ihrer vorgelagerten Funktionen.
Die aktuelle SharePoint-Schwachstelle CVE-2026-65660 zeigt, welche Folgen das haben kann. Sie ermöglicht einem authentifizierten Angreifer, Code über das Netzwerk auf einem betroffenen Server auszuführen. Die US-amerikanische Sicherheitsbehörde CISA hat die Schwachstelle am 25. September 2026 in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen. Damit handelt es sich um eine konkrete Bedrohung für verwundbare Installationen.
Für Unternehmen stellt sich deshalb neben der dringenden Frage nach Sicherheitsupdates eine zweite, grundsätzliche Frage: Warum kann ein Angreifer die interne Anwendung überhaupt direkt aus dem Internet erreichen?
Extern arbeiten bedeutet nicht, Anwendungen öffentlich bereitzustellen
SharePoint erfüllt in vielen Unternehmen eine interne Aufgabe. Dort liegen Dokumente, Projektinformationen, Arbeitsanweisungen und Inhalte, die Mitarbeiter für ihre tägliche Arbeit benötigen. Externe Zusammenarbeit erweitert den Kreis berechtigter Nutzer. Sie macht aus diesen Informationen aber keine öffentlichen Inhalte.
Trotzdem veröffentlichen Unternehmen ihre internen Anwendungen häufig über eine öffentliche Adresse und eine Freigabe an der Firewall. Das vereinfacht zunächst den Zugang. Gleichzeitig schafft es einen dauerhaft erreichbaren Angriffspunkt. Die Sicherheit hängt dann wesentlich davon ab, dass die veröffentlichte Anwendung und alle beteiligten Komponenten eingehende Anfragen zuverlässig verarbeiten.
HTTPS schützt die Übertragung zwischen Browser und Server. Es verhindert jedoch nicht, dass ein Angreifer eine schädliche Anfrage über genau diese verschlüsselte Verbindung sendet. Auch ein ordentliches Zertifikat sagt nichts darüber aus, ob die Anwendung hinter der Verbindung eine ausnutzbare Schwachstelle enthält.
Die entscheidende Unterscheidung lautet deshalb: Ein berechtigter Nutzer benötigt Zugang zur Anwendung. Die Anwendung selbst benötigt dafür nicht zwangsläufig einen direkten öffentlichen Zugang.
Sicherheitsupdates schließen Lücken – die Architektur begrenzt die Erreichbarkeit
Betreiber müssen verwundbare SharePoint-Installationen aktualisieren. Ein zusätzlicher Zugangsschutz ersetzt diese Aufgabe nicht. Wer eine bekannte Schwachstelle bestehen lässt, behält ein Risiko im System, auch wenn der Server von außen schwerer erreichbar ist.
Eine durchdachte Zugriffsarchitektur erfüllt eine andere Aufgabe. Sie begrenzt, wer die Anwendung überhaupt ansprechen darf. Das ist besonders dann wertvoll, wenn eine neue Schwachstelle bekannt wird, ihre Auswirkungen zunächst unklar bleiben oder ein Unternehmen das erforderliche Update noch prüfen und einspielen muss.
Bei einer direkt veröffentlichten Anwendung kann grundsätzlich jeder Internetnutzer deren öffentlich zugängliche Endpunkte ansprechen. Bei einem vorgeschalteten, unabhängig authentifizierten Zugang müssen externe Nutzer zunächst diese zusätzliche Zugangskontrolle durchlaufen. Die Anwendung verarbeitet dann nicht mehr unmittelbar die Anfragen beliebiger Internetnutzer.
Diese Trennung reduziert die öffentliche Angriffsfläche. Sie beseitigt die Schwachstelle nicht, erschwert aber den direkten Zugang zu ihr. Genau darin liegt der Unterschied zwischen dem Absichern einer öffentlich erreichbaren Anwendung und dem Vermeiden ihrer direkten öffentlichen Erreichbarkeit.
Wie Kyvion Secure Access den Zugang zu internem SharePoint ermöglicht
Mit Kyvion Secure Access lässt sich der externe Zugang zu einem internen SharePoint über einen zentralen Zugangspunkt bereitstellen. Anwender melden sich zunächst am Kyvion Secure Access-Gateway an. Die konfigurierte Authentifizierung, zusätzliche Faktoren und die zugewiesenen Berechtigungen bestimmen, welche Anwendungen ihnen zur Verfügung stehen.
Für den Zugriff auf interne Webanwendungen kann der Reverse Agent die Verbindung aus dem internen Netzwerk zum Gateway aufbauen. Der Verbindungsaufbau erfolgt ausgehend. Dadurch benötigt der interne SharePoint-Server für diesen Zugriffsweg keine eigene eingehende Freigabe aus dem Internet.
Der Anwender arbeitet weiterhin im Browser. Hinter diesem einfachen Ablauf verändert sich jedoch die Architektur: Öffentlich erreichbar ist der zentrale Zugangspunkt. SharePoint bleibt intern und wird über den vorgesehenen Zugriffsweg bereitgestellt. Damit diese Trennung wirksam ist, müssen Unternehmen bestehende direkte Veröffentlichungen und weitere externe Zugänge konsequent schließen.
Der Vorteil besteht auch darin, den Zugang auf eine bestimmte Anwendung zu begrenzen. Wer lediglich auf SharePoint zugreifen soll, benötigt dafür keinen pauschalen Zugang zum Unternehmensnetz. Das erleichtert eine gezielte Berechtigungsvergabe für Mitarbeiter, Projektpartner und externe Dienstleister.
Was Kyvion Secure Access bei einer SharePoint-Schwachstelle leisten kann
Wäre SharePoint ausschließlich über einen entsprechend abgesicherten Kyvion Secure Access-Zugang erreichbar, könnte ein beliebiger Angreifer aus dem Internet den SharePoint-Server nicht direkt ansprechen. Er müsste zunächst die unabhängige Zugangskontrolle am Kyvion Secure Access-Gateway überwinden. Das verändert die Voraussetzungen für einen externen Angriff erheblich.
Daraus folgt allerdings keine Garantie, dass eine SharePoint-Schwachstelle nicht mehr ausnutzbar wäre. Beim Zugriff über einen Webproxy gelangen weiterhin Anfragen an die interne Anwendung. Ein Angreifer, der ein zugelassenes Konto samt erforderlicher Authentifizierung kompromittiert hat, könnte diesen Zugang unter Umständen auch für einen Angriff auf SharePoint verwenden. Ebenso bleiben Angriffe aus dem internen Netzwerk möglich, sofern der Server von dort erreichbar ist.
Kyvion Secure Access ist deshalb kein automatischer Exploitfilter für SharePoint. Sein Beitrag liegt in der kontrollierten Erreichbarkeit und der Begrenzung des externen Zugangs. Sicherheitsupdates, angemessene SharePoint-Berechtigungen und eine sinnvoll segmentierte Infrastruktur ergänzen diesen Schutz.
Auch das Kyvion Secure Access-Gateway selbst benötigt einen sicheren Betrieb und aktuelle Software. Ein zentraler Zugangspunkt bündelt Verantwortung. Unternehmen müssen ihn entsprechend sorgfältig konfigurieren und betreuen.
Warum diese Frage über SharePoint hinausgeht
Die gleiche Architekturfrage stellt sich bei vielen anderen Anwendungen. ERP-Systeme, interne Portale, Dokumentenmanagement und Fachanwendungen sollen heute auch außerhalb des Büros nutzbar sein. Häufig veröffentlichen Unternehmen diese Systeme einzeln, obwohl nur ein begrenzter Personenkreis darauf zugreifen muss.
Mit jeder zusätzlichen Veröffentlichung wächst die Zahl der extern erreichbaren Komponenten. Unterschiedliche Anmeldungen, Berechtigungen und Betriebsverfahren erschweren zudem den Überblick. Gerade im Mittelstand trifft diese Entwicklung häufig auf kleine IT-Teams, die zugleich den laufenden Betrieb, Updates und Benutzeranfragen bewältigen müssen.
Ein zentraler, kontrollierter Zugang bietet hier einen praktischen Ansatz. Unternehmen können interne Anwendungen weiterhin am vorgesehenen Standort betreiben und ihren Nutzern dennoch einen browserbasierten Zugang ermöglichen. Dafür müssen sie weder jede Anwendung direkt veröffentlichen noch allein wegen des externen Zugriffs ihren Betrieb in eine Cloud verlagern.
Der interne Standort allein schafft allerdings noch keine Sicherheit. Entscheidend ist, wie die Anwendung erreichbar ist, wer sie nutzen darf und welche Systeme sie nach einem möglichen Angriff erreichen könnte. Datenhoheit und Zugriffsschutz gehören deshalb zusammen.
Die wichtigste Frage lautet: Muss dieser Server öffentlich erreichbar sein?
Die aktuelle SharePoint-Lücke sollte Unternehmen dazu veranlassen, ihre Sicherheitsupdates und ihre Zugriffswege zu prüfen. Wer nur die konkrete Schwachstelle betrachtet, lässt die grundsätzliche Entscheidung über die öffentliche Erreichbarkeit unangetastet. Bei der nächsten Lücke steht dann möglicherweise dieselbe Anwendung wieder im Mittelpunkt.
Ein nachhaltiger Ansatz verbindet aktuelle Software mit begrenzter Erreichbarkeit. Berechtigte Mitarbeiter und Partner erhalten den Zugang, den sie für ihre Arbeit benötigen. Interne Anwendungen bleiben hinter einer kontrollierten Zugangsschicht. Berechtigungen und Netzwerkgrenzen begrenzen zusätzlich die Folgen, falls dennoch ein Konto oder ein System kompromittiert wird.
Kyvion Secure Access unterstützt diesen Ansatz, indem es den externen Zugang zu internen Anwendungen zentral bereitstellt und kontrolliert. Der wesentliche Nutzen lässt sich klar benennen: SharePoint kann von außen nutzbar sein, ohne selbst direkt aus dem Internet erreichbar zu sein.
Wenn Sie SharePoint oder andere interne Webanwendungen derzeit öffentlich bereitstellen, lohnt sich eine Prüfung dieser Architektur. Kyvion unterstützt Sie dabei, bestehende Zugriffswege zu bewerten und einen passenden Zugang mit Kyvion Secure Access aufzubauen – abgestimmt auf Ihre Infrastruktur und die Menschen, die damit arbeiten.
