Thunderbird 160 ist da: Wichtige Fehlerkorrekturen und Sicherheitslücken im Mailprogramm

Thunderbird 160.0 ist veröffentlicht. Das Update vom 10. November 2026 ist mehr als ein kosmetischer Versionssprung: Mozilla behebt Fehler beim Umgang mit IMAP-Nachrichten, korrigiert Probleme mit Exchange-, Kalender- und Kontaktkonten und schließt mehrere Sicherheitslücken. Wer E-Mails täglich über Thunderbird verwaltet, sollte daher genauer hinsehen.

IMAP-Fehler: Warum die Korrektur besonders wichtig ist

In den offiziellen Versionshinweisen nennt Mozilla einen Fehler bei der Aufbewahrung älterer IMAP-Nachrichten. Unter bestimmten Bedingungen konnten neuere Nachrichten statt alter Mails zur Löschung vorgesehen werden. Solche Fehler sind tückisch: Sie fallen nicht unbedingt unmittelbar auf, können jedoch den vorhandenen Mailbestand beeinträchtigen.

Außerdem wurden Probleme mit IMAP-Ordnern behoben, die nach einer Komprimierung durch den Server nicht mehr wie erwartet angezeigt wurden. Ein scheinbar verschwundener Ordner bedeutet nicht zwangsläufig, dass alle enthaltenen Nachrichten gelöscht sind. Trotzdem gilt: Bei unerwarteten Änderungen nicht wahllos neu synchronisieren oder weitere Inhalte löschen, sondern zunächst Sicherungen und den Serverbestand prüfen.

Microsoft 365, Exchange, Kalender: Das wurde ebenfalls verbessert

• Exchange und Anmeldung: Mozilla korrigiert Fehler beim Einrichten bestimmter Microsoft-Graph-Konten sowie mehrere Probleme rund um OAuth und Kontokonfiguration.
• EWS: Die Exchange-Web-Services-Anbindung wird bei der Ersteinrichtung nicht mehr automatisch als Standard gesetzt. Die verfügbare Alternative hängt vom jeweiligen Postfach ab.
• Kalender und Kontakte: Fehler mit Kalendern und CardDAV-Adressbüchern wurden behoben.
• Stabilität: Mehrere Abstürze, ungewöhnliche Warnmeldungen und Darstellungsprobleme wurden korrigiert.

Sicherheitslücken: Auch Anhänge und Anmeldedaten waren betroffen

Zur Version 160 gibt es eine eigene Mozilla-Sicherheitsmeldung. Sie nennt unter anderem CVE-2026-126132: Unter bestimmten Voraussetzungen konnte beim Weiterleiten einer E-Mail ein verknüpfter Anhang durch Inhalte einer lokalen Datei ersetzt werden. CVE-2026-126136 beschreibt ein Problem, bei dem ein OAuth2-Zugriffstoken bei einer falsch konfigurierten Exchange-Verbindung über unverschlüsseltes HTTP übertragen werden konnte. Weitere Korrekturen betreffen unter anderem NTLM-Anmeldeinformationen und Pfadverarbeitung.

Das heißt nicht, dass jedes Postfach bereits angegriffen wurde. Sicherheitsupdates schließen jedoch bekannte Wege, die bei einer älteren Version offenbleiben könnten. Besonders wer sensible geschäftliche Daten per Mail verarbeitet, sollte Aktualisierungen nicht unnötig aufschieben.

Thunderbird 160 oder ESR 153.7? Nicht einfach den Zweig wechseln

Mozilla bietet verschiedene Veröffentlichungszweige. Parallel zur regulären Version 160.0 steht eine aktualisierte ESR-Reihe 153.7 zur Verfügung. Wer absichtlich eine ESR-Version einsetzt – etwa aus Stabilitätsgründen in einem Unternehmen –, sollte nicht ohne Planung auf den anderen Release-Zweig wechseln. Entscheidend ist, dass die jeweils aktuelle und sicherheitsgepflegte Version installiert ist.

So führst du das Update kontrolliert durch

• Öffne das Menü Hilfe → Über Thunderbird. Dort findest du die Versionsnummer und kannst nach Aktualisierungen suchen.
• Wenn Thunderbird einen Neustart fordert, beende das Programm vollständig und starte es erneut.
• Sichere bei wichtigen lokalen Mailarchiven regelmäßig das Thunderbird-Profil. Gerade POP3-Nutzer sollten sich nicht auf eine reine Serversicherung verlassen.
• Falls du Exchange, Microsoft 365, Kalender und Kontakte verwendest, prüfe nach dem Update Senden, Empfangen und Synchronisation. Bei Problemen notiere den exakten Fehlertext.

Meine Einordnung

Thunderbird ist für mich eine ernstzunehmende Alternative zu kommerziellen Mailprogrammen. Diesmal sind weder Design noch neue Spielereien entscheidend, sondern Zuverlässigkeit und Sicherheit. Gerade der behobene IMAP-Fehler zeigt, warum auch bewährte Programme regelmäßige Pflege brauchen.

Bereits im Oktober gab es eine Korrektur zu Exchange-Autodiscover und möglicherweise unverschlüsselten Passwortübertragungen. Version 160 behandelt weitere und teils andere Probleme – sie ist also keine Wiederholung derselben alten Meldung.

Originalquellen: Thunderbird-160-Versionshinweise und Mozilla-Sicherheitsmeldung MFSA 2026-128. Themenanstoß: Caschys Blog.