Eine Sicherheitslücke in der Android-Version des Microsoft Authenticators ermöglichte es bösartigen Apps, auf geschäftliche Microsoft-Konten zuzugreifen. Dadurch konnten Angreifer unter anderem E-Mails lesen und versenden sowie Dateien und Kalendereinträge verändern, ohne die Passwörter der Betroffenen kennen zu müssen.

Die Schwachstelle mit der Kennung CVE-2026-80097 ist unter dem Namen „AuthMask“ bekannt. Sie betrifft die Anmeldung bei Microsoft-Diensten wie Outlook oder Teams über den Microsoft Authenticator. Dabei werden sogenannte Zugriffstoken verwendet. Diese funktionieren ähnlich wie digitale Zugangskarten: Sie bestätigen, dass sich eine Person erfolgreich angemeldet hat, sodass sie nicht bei jedem Zugriff erneut ihr Passwort eingeben muss.

Aufgrund einer fehlerhaften Sicherheitsprüfung konnten sich schädliche Android-Apps gegenüber dem Authenticator als vertrauenswürdige Microsoft-Anwendungen ausgeben. Dadurch war es möglich, solche Zugriffstoken abzugreifen und anschließend für den Zugriff auf geschäftliche Microsoft-Konten zu verwenden.

Voraussetzung für den Angriff war, dass sich eine entsprechend präparierte App auf einem Android-Gerät befand, auf dem bereits ein geschäftliches Microsoft-Konto im Authenticator angemeldet war. Besondere Berechtigungen benötigte die schädliche App dafür nicht. Nach Angaben der Sicherheitsforschenden konnte der Angriff ohne zusätzliche Bestätigung durch Nutzer erfolgen. Microsoft geht in seiner offiziellen Risikobewertung hingegen davon aus, dass eine Nutzerinteraktion erforderlich ist.

Betroffen sind die Android-Versionen des Microsoft Authenticators ab 6.0.0 und vor 6.2606.4246. Mit der Version 6.2606.4246 wurde die Sicherheitslücke geschlossen. Microsoft stuft die Schwachstelle mit einem CVSS-Wert von 8,6 als schwerwiegend ein.

Bislang sind keine tatsächlichen Angriffe bekannt, bei denen die Sicherheitslücke ausgenutzt wurde. Allerdings wurde bereits ein öffentlicher Machbarkeitsnachweis veröffentlicht, der zeigt, wie die Schwachstelle ausgenutzt werden kann. Nutzer sollten daher sicherstellen, dass ihr Microsoft Authenticator auf dem neuesten Stand ist.

SiBa empfiehlt

• Microsoft Authenticator aktualisieren: Prüfen Sie im Google Play Store, ob die neueste Version installiert ist, und führen Sie ausstehende Updates durch.
• Apps nur aus vertrauenswürdigen Quellen installieren: Laden Sie Anwendungen möglichst ausschließlich aus offiziellen App-Stores herunter.
• Automatische Updates aktivieren: Halten Sie Ihre Apps und Ihr Betriebssystem aktuell, damit bekannte Sicherheitslücken schnell geschlossen werden.
• Verdächtige Aktivitäten überprüfen: Achten Sie auf ungewöhnliche Anmeldungen oder unbekannte Apps. Wenden Sie sich bei Verdacht auf einen Angriff an Ihre IT-Abteilung.

Wer kann mir helfen?

• Microsoft: Sicherheitshinweis zu CVE-2026-80097
• Microsoft Support: Microsoft Authenticator herunterladen und installieren

Wie schütze ich mich?

• Digitalführerschein (DiFü): Updates
• Digitalführerschein (DiFü): Schadsoftware

Quelle der Meldung: Microsoft Authenticator: Bösartige Apps konnten Zugangstoken abgreifen | heise online