Was ist passiert?
Microsoft hat eine kritische Sicherheitslücke in seiner Authenticator-App bestätigt, über die Angreifer an Sign-in-Tokens von Nutzerkonten gelangen können. Die Schwachstelle mit der Kennung CVE-2026-41615 erlaubt es Unbefugten, sensible Informationen über das Netzwerk abzugreifen und sich damit Zugriff auf Ressourcen zu verschaffen, die eigentlich nur dem legitimen Kontoinhaber vorbehalten sind. Microsoft stuft das Risiko mit einem CVSS-Wert von 9.6 als „kritisch“ ein. Aktualisierte Versionen der App stehen für Android und iOS bereits zum Download bereit.
Die Details
Laut dem Schwachstelleneintrag von Microsoft kann die Lücke das Sign-in-Token zum Arbeitskonto von Nutzerinnen und Nutzern offenlegen. Damit erhalten Angreifer Zugriff auf all jene Daten und Dienste, für die das betroffene Benutzerkonto berechtigt ist – potenziell also auch auf sensible Unternehmensinformationen.
Der Angriffsweg setzt eine Interaktion des Opfers voraus: Angreifer müssen eine Person dazu bringen, mit einer legitim erscheinenden, aber bösartigen Anfrage zu interagieren. Bestätigt das Opfer diese Anfrage, kann die App dazu gebracht werden, im Namen des Nutzers Zugriffstoken anzufordern. Diese Token werden anschließend an einen Dienst ausgeliefert, der unter der Kontrolle der Angreifer steht. Problematisch dabei: Betroffene erhalten keine klare Information darüber, welcher Zugriff tatsächlich gewährt wurde – der Angriff bleibt also weitgehend unbemerkt.
Interessant ist die unterschiedliche Risikobewertung: Während Microsoft die Lücke mit CVSS 9.6 als „kritisch“ einstuft, kommt das NIST im NVD-Listeneintrag lediglich auf einen Wert von 7.4 und damit auf die Einstufung „hoch“. Microsoft betont zudem, dass die Schwachstelle bislang nicht aktiv ausgenutzt wurde und derzeit kein öffentlich verfügbarer Exploit existiert.
Einordnung
Authenticator-Apps gelten gemeinhin als wichtiger Baustein der Zwei-Faktor-Authentifizierung und sollen genau solche Angriffsszenarien wie Kontoübernahmen verhindern. Wird ausgerechnet diese Schutzschicht selbst zum Einfallstor, wiegt das besonders schwer – insbesondere im Unternehmensumfeld, wo Arbeitskonten oft weitreichenden Zugriff auf interne Systeme, Dokumente und Kommunikationsplattformen gewähren.
Bemerkenswert ist auch der Angriffsvektor: Es handelt sich nicht um eine rein technische Lücke, die ohne Zutun ausgenutzt werden kann, sondern um einen Mechanismus, der auf Social Engineering setzt. Nutzer müssen aktiv eine scheinbar legitime Anfrage bestätigen. Das zeigt einmal mehr, dass technische Schutzmaßnahmen allein nicht ausreichen, wenn Angreifer den Menschen als schwächstes Glied in der Sicherheitskette ins Visier nehmen.
Die Diskrepanz zwischen der Microsoft- und der NIST-Bewertung verdeutlicht zudem, wie unterschiedlich Risiken je nach Bewertungsmethodik eingeschätzt werden können. Für Unternehmen und Privatnutzer bleibt in der Praxis relevant: Eine kritische Einstufung durch den Hersteller selbst sollte grundsätzlich ernst genommen werden, unabhängig von abweichenden externen Bewertungen.
Praxis-Tipps
- Prüfen Sie umgehend, ob Ihr Microsoft Authenticator auf dem aktuellen Stand ist. Unter Android ist Version 6.2605.2973 oder neuer erforderlich, unter iOS mindestens Version 6.8.47.
- Die aktuelle Versionsnummer lässt sich im App-Menü unter „Hilfe“ und dort unter „Info“ – „Anwendungsversion“ einsehen.
- Falls automatische App-Updates auf dem Mobilgerät deaktiviert sind, sollte manuell im Google Play Store beziehungsweise iOS-App-Store nach Updates gesucht werden.
- Seien Sie grundsätzlich misstrauisch gegenüber unerwarteten Anmeldeanfragen oder Push-Benachrichtigungen des Authenticators, insbesondere wenn diese ungewöhnlich erscheinen oder nicht zu einer eigenen Anmeldeaktion passen.
- Unternehmen sollten Mitarbeitende für Social-Engineering-Angriffe sensibilisieren, da der beschriebene Angriffsweg eine aktive Bestätigung durch den Nutzer voraussetzt.
Ausblick
Da bislang weder ein aktiver Missbrauch der Lücke noch ein öffentlich verfügbarer Exploit bekannt ist, besteht aktuell kein akuter Handlungsdruck im Sinne einer bereits laufenden Angriffswelle. Dennoch sollten Nutzerinnen und Nutzer die bereitgestellten Updates zeitnah einspielen, um das Risiko eines künftigen Missbrauchs auszuschließen. Erfahrungsgemäß steigt mit der öffentlichen Bekanntgabe einer Schwachstelle auch das Interesse von Angreifern, entsprechende Exploits zu entwickeln. Die zügige Aktualisierung der App bleibt daher die wirksamste Maßnahme, um sich vor potenziellen Angriffen über diese Schwachstelle zu schützen.
