Eine schwerwiegende Schwachstelle in Microsoft Authenticator könnte es einer bösartigen Android-App ermöglichen, Authentifizierungstokens von Arbeitskonten zu stehlen und dadurch möglicherweise auf geschäftliche E-Mails, Dateien und andere sensible Informationen zuzugreifen.
Die als CVE-2026-80097 geführte Sicherheitslücke weist einen CVSS-Wert von 8,6 auf und betrifft Microsoft Authenticator für Android in Versionen vor 6.2606.4246. Sicherheitsforscher demonstrierten, wie eine bösartige Android-Anwendung eine installierte Microsoft-App imitieren und Authentifizierungstokens eines angemeldeten Arbeitskontos erlangen konnte.
Microsoft hat die Schwachstelle bereits behoben, doch Android-Geräte mit veralteten Versionen könnten weiterhin gefährdet sein. Die Erkenntnisse zeigen, wie Angreifer Schwachstellen in Authentifizierungssoftware ausnutzen könnten, um Zugriff auf Unternehmensressourcen zu erhalten – selbst wenn die Multifaktor-Authentifizierung (MFA) aktiviert ist.
Schwachstelle in Microsoft Authenticator legt Tokens von Arbeitskonten offen
Der Sicherheitsforscher Ofek Levin beschrieb die Schwachstelle in einem Forschungsbericht von Enclave , der am 23. Okt. veröffentlicht wurde.
Der als AuthMask bezeichnete Angriff nutzte eine Schwachstelle im Identitätsbroker von Microsoft Authenticator aus, der Authentifizierungsanfragen anderer Anwendungen verarbeitet. Die Forscher stellten fest, dass eine Android-Anwendung ohne deklarierte Berechtigungen eine installierte Microsoft-Anwendung wie Teams imitieren und Authentifizierungstokens eines angemeldeten Arbeitskontos anfordern konnte.
Die Schwachstelle entstand durch eine fehlerhafte Authentifizierung der anfragenden Anwendung. Statt zuverlässig zu überprüfen, welche Anwendung die Anfrage initiiert hatte, vertraute Authenticator auf Identitätsinformationen, die in der Anfrage selbst übermittelt wurden. Dadurch konnte sich eine nicht vertrauenswürdige Anwendung als legitimer Microsoft-Dienst ausgeben.
Laut Enclave war für eine erfolgreiche Ausnutzung in den Tests ein Android-Gerät mit installiertem Microsoft Authenticator und angemeldetem Arbeitskonto erforderlich. Die Forscher berichteten, Tokens ohne weitere Interaktion des Nutzers erlangt zu haben.
Microsofts veröffentlichte CVSS-Bewertung führt dagegen eine Benutzerinteraktion als erforderlich auf. Die verfügbare Dokumentation erklärt den Unterschied zwischen Microsofts Bewertung und den Ergebnissen von Enclave nicht.
Die in Microsofts Sicherheitshinweis dokumentierte Schwachstelle weist einen CVSS-Wert von 8,6 auf und ist als CWE-287, fehlerhafte Authentifizierung, klassifiziert.
Wie die Schwachstelle Microsoft-365-Konten offenlegen könnte
Der Angriff zielte auf eine exportierte Android-Aktivität namens com.microsoft.identity.client.AccountChooserActivity.
Android-Anwendungen können Aktivitäten bereitstellen, die von anderen Anwendungen gestartet werden dürfen. In diesem Fall verarbeitete die betroffene Aktivität Authentifizierungsanfragen, die Informationen über die angeblich aufrufende Anwendung enthielten.
Die Forscher stellten fest, dass mehrere wichtige Identitätsfelder von der anfragenden App kontrolliert werden konnten, darunter der behauptete Paketname, die Client-ID, die Weiterleitungs-URI und die Benutzerkennung.
Authenticator führte zwar eine signaturbezogene Validierungsprüfung durch, doch dieser Prozess stützte sich auf die in der Anfrage behauptete Identität der Anwendung.
In den Tests der Forscher imitierte eine bösartige Anwendung eine installierte Microsoft-App und bestand die Validierungsprüfung, weil Authenticator die behauptete Identität der Anwendung und nicht den tatsächlichen Aufrufer überprüfte.
Nach erfolgreicher Verarbeitung der Anfrage konnte Authenticator Authentifizierungsinformationen an die bösartige Anwendung zurückgeben.
Die Forscher demonstrierten, dass die zurückgegebenen Daten Folgendes enthalten konnten:
- Zugriffstokens: Anmeldedaten, die den Zugriff auf bestimmte Dienste und Ressourcen autorisieren.
- Refresh-Tokens: Anmeldedaten, mit denen Anwendungen möglicherweise weitere Zugriffstokens anfordern können.
- ID-Tokens: Authentifizierungsinformationen zur Identifizierung des angemeldeten Benutzers.
- Clientinformationen: Details zum authentifizierten Konto und zur Anwendung.
Die möglichen Folgen gingen über Microsoft Authenticator selbst hinaus.
Durch die Imitation von Microsoft Teams erlangten die Forscher delegierte Berechtigungen für Microsoft Graph, die API für den Zugriff auf Microsoft-365-Dienste.
Dazu gehörten Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send und Sites.ReadWrite.All.
Diese Berechtigungen könnten den Zugriff auf E-Mails, Dateien, Kalender sowie bestimmte Teams- und SharePoint-Aktionen ermöglichen, die mit dem betroffenen Arbeitskonto verbunden sind – abhängig von den erteilten Berechtigungen und den geltenden Zugriffskontrollen.
Durch die Imitation des Microsoft-Authenticators-eigenen Clients erlangten die Forscher außerdem Berechtigungen für die Verwaltung der Authentifizierung, darunter UserAuthenticationMethod.ReadWrite, Passkey.Create und Passkey.Delete.
Diese Berechtigungen erhöhen das Risiko unbefugter Änderungen an Authentifizierungsmethoden. Die veröffentlichte Untersuchung zeigt jedoch nicht, dass die Forscher erfolgreich Passkeys erstellt oder gelöscht oder einen dauerhaften Kontozugriff eingerichtet haben.
Wichtig ist, dass die gestohlenen Tokens Zugriff auf Ressourcen des betroffenen Arbeitskontos ermöglichen würden, abhängig von den für die imitierte Anwendung verfügbaren Berechtigungen. Der Angriff würde nicht automatisch jedes Microsoft-Konto offenlegen, das dem Besitzer des Geräts zugeordnet ist.
Die Erkenntnisse zeigen, wie eine Schwachstelle in einem mobilen Authentifizierungsbroker sensible Unternehmensressourcen offenlegen könnte, selbst wenn Nutzer MFA aktiviert haben.
Welche Android-Geräte sind betroffen?
Die Schwachstelle betrifft Microsoft Authenticator für Android in den Versionen 6.0.0 bis einschließlich 6.2606.4246 nicht.
Microsoft veröffentlichte seinen Sicherheitshinweis am 8. Sept. 2026 und stellte eine Fehlerbehebung bereit. Enclave veröffentlichte anschließend am 23. Okt. die technischen Details des AuthMask-Angriffs.
Die folgende Übersicht fasst die betroffene Umgebung und Informationen zur Behebung zusammen.
Detail | Information |
|---|---|
| Schwachstelle | CVE-2026-80097 |
| Betroffenes Produkt | Microsoft Authenticator für Android |
| CVSS-Wert | 8,6 (hoch) |
| Art der Schwachstelle | CWE-287, fehlerhafte Authentifizierung |
| Betroffene Versionen | 6.0.0 bis einschließlich 6.2606.4246 nicht |
| Behobene Version | 6.2606.4246 |
| Voraussetzung für den Angriff | Bösartige App auf einem betroffenen Android-Gerät installiert und ausgeführt; Microsoft und Enclave unterscheiden sich hinsichtlich einer zusätzlichen Benutzerinteraktion |
| Behebung | Microsoft Authenticator aktualisieren |
Für den Angriff muss eine bösartige Anwendung auf dem betroffenen Android-Gerät installiert und ausgeführt werden. Angreifer können Tokens nicht aus der Ferne stehlen, ohne zuvor diesen Zugangspunkt geschaffen zu haben.
Das Fehlen einer erforderlichen Android-Berechtigung ist jedoch von Bedeutung.
Anwendungen fordern normalerweise Zugriff auf sensible Gerätefunktionen an, wodurch Nutzer und Administratoren möglicherweise verdächtiges Verhalten erkennen können. In diesem Fall demonstrierten die Forscher, dass eine bösartige Anwendung eine Schwachstelle im Authentifizierungsprozess ausnutzen konnte, ohne diese Berechtigungen anzufordern.
Wurde die Schwachstelle in Microsoft Authenticator ausgenutzt?
Enclave demonstrierte, dass CVE-2026-80097 unter kontrollierten Testbedingungen ausgenutzt werden konnte. Die veröffentlichte Untersuchung nennt jedoch keine bestätigten Angriffe in der Praxis.
Das bedeutet nicht, dass eine Ausnutzung niemals stattgefunden hat. Unternehmen, die betroffene Versionen einsetzen, sollten die Aktualisierung von Microsoft Authenticator dennoch priorisieren.
Was Nutzer von Microsoft Authenticator jetzt tun sollten
Obwohl Microsoft CVE-2026-80097 behoben hat, sollten Unternehmen überprüfen, ob Mitarbeiter mit Android-Geräten eine korrigierte Version installiert haben.
Geräte, die das Update nicht erhalten haben, könnten weiterhin gefährdet sein – insbesondere in Umgebungen, in denen Mitarbeiter über private oder uneinheitlich verwaltete Smartphones auf Microsoft 365 zugreifen.
Sicherheitsteams sollten die folgenden Maßnahmen priorisieren:
- Microsoft Authenticator aktualisieren. Installieren Sie die neueste verfügbare Version über Google Play und bestätigen Sie, dass die installierte Version 6.2606.4246 oder höher ist.
- Verwaltete Android-Geräte überprüfen. Nutzen Sie Tools für die Verwaltung mobiler Geräte, um veraltete Installationen zu identifizieren und den Einsatz von Sicherheitsupdates zu bestätigen.
- Richtlinien für die Anwendungsinstallation überprüfen. Beschränken Sie nicht vertrauenswürdige Anwendungsquellen, wo dies sinnvoll ist, und untersuchen Sie verdächtige Anwendungen auf Unternehmensgeräten.
- Aktivitäten in Microsoft 365 überwachen. Überprüfen Sie Microsoft-Entra-Anmeldeprotokolle, relevante Microsoft-Graph-Aktivitäten und unerwartete Änderungen an Authentifizierungsmethoden auf Anzeichen eines verdächtigen Kontozugriffs.
- Vermutete Kompromittierung untersuchen. Wenn Hinweise auf Token-Diebstahl vorliegen, befolgen Sie die Verfahren zur Reaktion auf Sicherheitsvorfälle des Unternehmens. Dazu gehören gegebenenfalls der Widerruf von Sitzungen oder Tokens, die Überprüfung der Authentifizierungsmethode und die Behebung von Problemen am Gerät.
- Zugriffskontrollen für Mobilgeräte stärken. Erwägen Sie Anforderungen an die Gerätekonformität und Richtlinien für bedingten Zugriff, um die Gefährdung durch nicht verwaltete oder kompromittierte Endpunkte zu reduzieren.
Unternehmen sollten außerdem beachten, dass die Installation des Updates zwar die Schwachstelle behebt, aber nicht zwangsläufig Authentifizierungstokens ungültig macht, die vor der Behebung gestohlen wurden.
Bei Verdacht auf eine Kompromittierung sollten Sicherheitsteams potenziell offengelegte Sitzungen und Zugangsdaten untersuchen, statt sich ausschließlich auf das Anwendungsupdate zu verlassen.
Warum diese Schwachstelle für die Unternehmenssicherheit wichtig ist
CVE-2026-80097 verdeutlicht ein umfassenderes Risiko bei Anwendungen, die im Auftrag anderer Software die Authentifizierung verwalten.
Microsoft Authenticator soll Unternehmen beim Schutz ihrer Konten unterstützen. Seine Rolle als Authentifizierungsbroker macht ihn jedoch auch zu einer sensiblen Komponente der Identitätsinfrastruktur eines Unternehmens. Wenn ein Authentifizierungsbroker die Identität einer Anwendung, die Zugangsdaten anfordert, nicht überprüft, kann ein Angreifer einen ansonsten legitimen Authentifizierungsprozess ausnutzen.
Die AuthMask-Untersuchung zeigt, wie diese Schwachstelle Unternehmensressourcen offenlegen könnte, ohne dass ein Mitarbeiter ein Passwort preisgeben muss. Schadsoftware auf einem betroffenen Android-Gerät könnte ein authentifiziertes Arbeitskonto gefährden, indem sie Tokens über den anfälligen Authentifizierungsprozess erlangt.
Für Sicherheitsadministratoren besteht die unmittelbare Priorität darin, zu überprüfen, ob betroffene Android-Geräte aktuell sind, und Hinweise auf verdächtige Kontoaktivitäten zu untersuchen. Die übergeordnete Erkenntnis lautet, dass MFA zwar weiterhin eine wichtige Sicherheitsmaßnahme ist, der Schutz der Anwendungen und Geräte, die Authentifizierungstokens verarbeiten, aber ebenso entscheidend ist.
Unternehmen, die Updates für mobile Anwendungen vernachlässigen, könnten sensible Microsoft-365-Ressourcen offenlegen, selbst wenn Mitarbeiter etablierte Sicherheitspraktiken für Konten befolgen.
Weitere Informationen dazu, wie Angreifer Microsoft-365-Konten trotz MFA-Schutz kompromittieren können, finden Sie in unserer Berichterstattung über BigBear 2.0, das bei 258 Unternehmen authentifizierte Sitzungen gestohlen hat.