LONDON (IT BOLTWISE) – Microsoft hat eine Schwachstelle in der Android-Version von Authenticator geschlossen, die es einer bösartigen App ohne Berechtigungen erlaubte, sich als legitime Microsoft-App auszugeben. Betroffene Angreifer konnten sign-in Token für Work-Accounts einsammeln und damit laut Tests auf E-Mail, Dateien und Kalender zugreifen. Die Korrektur ist in Authenticator für Android Version 6.2606.4246 enthalten. Nutzer sollten die App umgehend aktualisieren und bei Android-Gerätemanagement die Mindestversion erzwingen.
Microsoft stopft eine konkrete Angriffsfläche in seiner Android-App Authenticator: Unter der Kennung CVE-2026-80097 beschreibt der Hersteller eine Schwachstelle, die es einer bösartigen App auf einem Gerät ermöglichen kann, Microsoft-Token abzufischen. Entscheidend ist dabei weniger die klassische Idee „Code klauen“, sondern der Mechanismus dahinter: Authenticator fungiert auf Android nicht nur als Anzeige für sechsstellige Codes, sondern als „Broker“, der für andere Microsoft-Apps wie Teams oder Outlook sign-in Token ausstellt. Wer diese Token kontrolliert, kommt an einen digitalen Nachweis, dass ein Benutzer bereits in einem Work-Account angemeldet ist.
Microsoft ordnet die Lücke mit CVSS 8,6 als „Important“ ein und nennt als betroffene Komponente den Android-Betrieb von Authenticator. Fix und Empfehlung sind klar: Nutzer sollen Authenticator für Android auf Version 6.2606.4246 oder neuer bringen. Das Timing wirkt dabei typisch für das Patch-Management: Die Korrektur gehörte zum September-2026-„Patch Tuesday“ und wurde nicht als bereits aktiv ausnutzbare Ausnahme neben anderen Windows-Themen hervorgehoben. Für Unternehmen heißt das vor allem, dass der Patch nicht nur „nice to have“ ist, sondern direkt in die Priorisierung von mobilen Sicherheitsupdates rutschen sollte.
Technisch betrachtet liegt der Knackpunkt in einer für Fremd-Apps erreichbaren Komponente: Authenticator stellt eine Activity namens AccountChooserActivity bereit, die grundsätzlich auch von Apps ohne besondere Berechtigungen gestartet werden kann. In den Tests konnte ein Angreifer eine Token-Anfrage so anstoßen, dass Authenticator sie aus Sicht der App „Teams“ zuordnete. Genau hier schien zunächst eine Signaturprüfung Schutz liefern zu sollen: Die App-im-Token-Claim sollte gegen die tatsächliche Signatur der auf dem Gerät installierten Ziel-App verifiziert werden. Da Teams real installiert ist, liegt die passende Signatur auf dem Gerät vor, und die Prüfung fällt entsprechend positiv aus.
Die Recherche zeigt außerdem, dass Authenticator zwar offenbar erkennen kann, welche App die Anfrage tatsächlich ausgelöst hat, diese Information aber nicht als entscheidende Entscheidungsgrundlage nutzt. Dadurch konnte die Prüfung in eine ungünstige Logik kippen: Nicht die Identität des anfragenden Programms entscheidet, sondern die vom anfragenden Programm gelieferten Werte für die „Impersonation“. In der Folge erhielten die von Angreifern in den Tests erstellten Token Rechte, die sich laut Beschreibung bis in den Alltagsscope bewegen: Zugriff auf das Lesen und Senden von E-Mails, das Lesen und Schreiben von Dateien sowie das Lesen und Verwalten von Kalenderdaten. Microsoft fasst das Ergebnis breiter: Ein erfolgreicher Angreifer kann sich als angemeldeter Work-User authentifizieren und auf dessen Ressourcen zugreifen.
Ein zentraler Punkt für die Risikoeinschätzung ist der angegebene Ablauf der Ausnutzung. Microsoft betont, dass ein Angriff zusätzlich erfordert, dass der Opfer-User eine Sign-in-Aktion innerhalb von Authenticator abschließt. Auch die Argumentation rund um die Interaktion passt zu der hohen, aber nicht maximalen Ausnutzungswahrscheinlichkeit, die Microsoft mit „less likely“ einstuft. Laut den Forschern soll ein Proof of Concept zwar ohne zusätzliche Nutzerinteraktion über das Vorhandensein eines bereits angemeldeten Kontos hinaus funktioniert haben, während Microsofts Advisory die „Authentifizierungs-Schritt“-Komponente ausdrücklich nennt. Diese Differenz ist für Security-Teams wichtig, weil sie beschreibt, wie viel „Sozialkomponente“ und wie viel reine technische Voraussetzung im realen Angriffsszenario steckt.
Für die operative Absicherung ergibt sich daraus ein zweigleisiges Vorgehen. Erstens: Update-Pflicht. Microsoft liefert die klare Handlungsanweisung, und selbst wenn unklar bleibt, ob bereits ausgestellte Token nach dem Update automatisch invalidiert werden, sollte die Angriffsfläche über die neue App-Version geschlossen werden. Zweitens: Mobile Device Management. Da das Problem auf Android Geräten adressiert wird, können Administratoren eine Mindestversion per Gerätemanagement erzwingen, statt nur auf freiwillige Nutzer-Updates zu setzen. Genau in diesem Punkt liegt in der Praxis oft der Unterschied zwischen theoretischer Sicherheitslage und tatsächlicher Reduktion des Risikos.
Auch wenn Microsoft angibt, die Schwachstelle sei bislang nicht in Angriffen genutzt worden und vor dem Fix nicht öffentlich offengelegt worden, bleibt der Fall lehrreich für die Architektur von Auth-„Broker“-Modellen. Token-Broker sitzen in der Wertschöpfungskette zwischen App-Identität und Benutzerzustand; wenn dort die Bindung an die anfragende App nicht robust genug ist, kann aus einer legitimen Vertrauensbeziehung eine ungewollte Autorisierung werden. Das betrifft nicht nur Microsoft-Setups, sondern das generelle Design von mobilen Authentifizierungsflüssen. Wer ähnliche Broker-Mechanismen in eigenen Apps einsetzt, sollte besonders darauf achten, dass Autorisierungsentscheidungen nicht über vom Anfragenden gelieferte Parameter „umgeleitet“ werden können, sondern streng an überprüfte Identitäten gekoppelt bleiben.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Authenticator behebt Android-Schwachstelle für Token-Diebstahl" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Authenticator behebt Android-Schwachstelle für Token-Diebstahl" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Authenticator behebt Android-Schwachstelle für Token-Diebstahl« bei Google Deutschland suchen, bei Bing oder Google News!