LONDON (IT BOLTWISE) – Sicherheitsforscher haben in mehreren Microsoft-365-Android-Apps einen Debugging-Fehler entdeckt, der Sicherheitsprüfungen für Token-Übertragungen aushebeln konnte. Konkret blieb eine Debugging-Einstellung fälschlich in der Produktivversion aktiv und ermöglichte bösartigen Apps, OAuth-Tokens anzufordern, ohne dass Nutzer eingreifen mussten. Microsoft schloss die Lücke im Mai 2026 mit mehreren Patches, während parallel eine neue Phishing-as-a-Service-Plattform im Fokus der Behörden steht. Für Unternehmen bedeutet das: Patch-Management, Geräte-Härtung und die Überwachung von Login- und Token-Flows rücken erneut in den Mittelpunkt.
Microsoft liefert für seine Produktlinie Microsoft 365 auf Android neue Sicherheitsimpulse – allerdings aus einem ernsten Anlass. Laut Sicherheitsforschern steckt die Ursache in einem Programmierfehler, der in mehreren Android-Apps des Office- und Cloud-Ökosystems auftrat. Statt lediglich die Funktionalität zu beeinträchtigen, hätte der Defekt einen unbefugten Zugriff auf Benutzerkonten ermöglichen können. Besonders kritisch ist dabei der Mechanismus: Eine Debugging-Einstellung blieb offenbar in der Produktivversion aktiv und schaltete zentrale Schutzmechanismen für Token-Übertragungen ab. Genau an diesen Stellen wird das Zusammenspiel aus App-Logik, Authentifizierung und Gerätediensten für Angreifer angreifbar.
Technisch betrachtet liegt der Kern der Meldung nicht in „klassischem“ Passwort-Cracking, sondern in der Token-Ebene. Wenn bösartige Apps auf demselben Gerät Tokens anfordern können, ohne dass der Nutzer aktiv eingreift, verschiebt sich die Bedrohung von der Identität hin zur Sitzung. Die betroffenen Microsoft-365-Android-Apps – darunter Word, Excel, PowerPoint, OneNote, Loop und Copilot – teilen hier vermutlich gemeinsame Komponenten für Auth-Integrationen. Die Schwachstelle mit dem Namen „FlagLeft“ wird in diesem Kontext so beschrieben, dass wichtige Sicherheitsprüfungen für den Token-Transfer deaktiviert wurden. Tokens gelten aber als „Schlüssel“ zu sensiblen Daten wie E-Mails, Dateien und Kalendereinträgen.
Microsoft reagierte mit Patches und schloss die Sicherheitslücke am 12. Mai 2026. Die benannten CVEs (CVE-2026-41100, 41101, 41102 sowie 42832) sind damit ein klares Signal an IT-Abteilungen: Der effektive Schutz entsteht erst durch aktuelle App-Versionen. Zwar konnten die Forscher die Schwachstelle in Form einer Proof-of-Concept-App demonstrieren, allerdings gibt es nach aktuellem Stand keine Hinweise auf eine echte Ausnutzung in der Wildbahn. Das ändert jedoch wenig an der Praxis: Token-basierte Angriffe können – sobald sie im Umlauf sind – sehr schnell „commoditized“ werden. Der nächste Schritt für Unternehmen ist daher weniger „Warten auf Exploits“, sondern konsequentes Mobile-Device- und App-Update-Management.
Parallel zur Token-Gefahr rückt ein weiterer Angriffspfad in den Fokus: Phishing-as-a-Service. Nur wenige Tage zuvor hatte das FBI vor einer Plattform namens Kali365 gewarnt, die seit April 2026 gezielt Microsoft-365-Konten angreift. Der entscheidende Unterschied liegt im Authentifizierungsprozess: Angreifer missbrauchen den Device-Code-Flow, also einen legitimen OAuth-Mechanismus, bei dem Nutzer einen Code auf einer offiziellen Microsoft-Website eingeben. Genau dieser „vertrauenswürdige Ablauf“ senkt die Hürde für erfolgreiche Täuschung, weil Passwörter und selbst Multi-Faktor-Authentifizierung umgangen werden können, wenn das Token-Handling im Angriffszenario korrekt ausgenutzt wird. Sicherheitsanalysten erwarten, dass solche Services in kurze Zeiträume professionalisiert werden, sobald einmal Nachfrage entsteht.
Markt- und Ökosystembezug zeigen außerdem, wie stark Phishing-Infrastrukturen mittlerweile in bestehende Identity-Services integriert werden. Laut Beobachtungen weitet Kali365 sein Vorgehen auf Okta Single Sign-On und die MAX-Messenger-Plattform aus. Für Unternehmen heißt das: Die Abwehr darf sich nicht nur auf „Microsoft 365“ beschränken, sondern muss den gesamten Identity-Stack inklusive SSO-Setups, App-Zugriffe und Messaging-Kanäle berücksichtigen. Zudem wird die Angriffslogistik beschrieben: 126 schädliche Hosts, Datenabfluss über Telegram und ein Zugang, der in Untergrundforen für umgerechnet rund 230 Euro pro Monat in Bitcoin verkauft wird. Solche Betriebsmodelle machen Angriffe planbar und skalierbar – ähnlich wie bei anderen MaaS-Angeboten (Model-/Attack-as-a-Service) in der Sicherheitslandschaft.
Auch außerhalb von Microsoft 365 gibt es System-nahen Nachschub, der die Lage weiter verschärft. Am 4. Juni 2026 veröffentlichte Microsoft Updates für den Edge-Browser; die Schwachstelle CVE-2026-45495 erlaubt Code-Ausführung durch manipulierte Feedback-Logdateien, und bereits der Besuch einer präparierten Website reicht aus. Zusätzlich aktualisierte die US-Cybersicherheitsbehörde CISA am 2. Juni 2026 ihren Katalog bekannter ausgenutzter Schwachstellen und nahm unter anderem eine Zero-Day-Lücke im Android-Framework auf. Der Integer-Overflow-Fehler CVE-2025-48595 betrifft Android-Versionen 14 bis 16 und kann lokale Rechteausweitung ermöglichen. Damit entsteht ein zweites Risiko: Selbst wenn App-Patches eingespielt sind, kann ein kompromittiertes System- oder Browser-Umfeld die Angriffschancen erhöhen.
Die Ereignisse passen zudem in einen größeren Branchentrend schwerwiegenderer Lücken. Ein Bericht von BeyondTrust für 2025 deutet darauf hin, dass zwar die Gesamtzahl der Microsoft-Sicherheitslücken um sechs Prozent auf 1.273 sank, die Zahl der kritischen Fehler jedoch von 78 auf 157 anstieg. Besonders auffällig ist die Kategorie Elevation of Privilege, die mit 40 Prozent die häufigste Schwachstellenart bleibt. Zudem wird berichtet, dass sich die Anzahl der Sicherheitslücken im Office-Paket 2025 verdreifachte, während Edge-Fehler deutlich zurückgingen. Diese Verschiebung wirkt plausibel: Während Schutzmechanismen in einzelnen Bereichen stabiler werden, konzentrieren sich Angreifer auf die Kombination aus privilegierten Kontexten, Token-Handling und zentralen Office-Komponenten.
Für die Zukunft ist die klare Konsequenz weniger „Ein einzelnes Patchen“, sondern der Aufbau eines belastbaren Abwehr-Fahrplans entlang der Angriffskette. Unternehmen sollten die nächsten Deployments so planen, dass sie nicht nur Updates für die betroffenen Microsoft-365-Android-Apps ausrollen, sondern auch Device-Integrationen, Berechtigungsmodelle und SSO-Verhalten im Blick behalten. Im Vergleich zur reinen Cloud-Absicherung verschiebt sich der Fokus stärker auf Endgeräte- und App-Transparenz, weil tokenbasierte Angriffe gerade dort ansetzen. Gleichzeitig ist angesichts der Kali365-Dynamik ein konsequenter Umgang mit Device-Code-Flow-spezifischen Risiken und eine erhöhte Aufmerksamkeit für Anomalien bei Login-Events sinnvoll. In der Summe zeichnet sich ab: Die nächsten Monate werden stärker von „Auth- und Privilege-Lücken“ geprägt sein – und damit von Sicherheitsarbeit, die Identität, Mobile-Management und Monitoring eng verzahnt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft 365 für Android: Debugging-Fehler ermöglichte Token-Übernahme" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft 365 für Android: Debugging-Fehler ermöglichte Token-Übernahme" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft 365 für Android: Debugging-Fehler ermöglichte Token-Übernahme« bei Google Deutschland suchen, bei Bing oder Google News!