Microsoft Copilot: Reprompt-Lücke ermöglicht Datendiebstahl

Microsoft schützt seinen KI-Assistenten Copilot gegen den Abfluss sensibler Daten. Sicherheitsforscher manipulierten URL-Parameter und konnten so persönliche Nutzerdaten auslesen - selbst nach Schließen des Chat-Fensters.

Schutzfilter durch Tricks umgangen

Der Angriff traf nur die "Personal"-Variante von Copilot und nutzte eine bereits authentifizierte Browsersitzung. Ein Klick auf einen präparierten Link reichte laut dem Bericht von Günter Born dann aus. Angreifer lasen so Standortdaten, E-Mail-Inhalte, Dateizugriffe oder Konversationszusammenfassungen aus. Dies verdeutlicht das Risiko von "Indirect Prompt Injection".

Sicherheitsforscher von Varonis nannten die Methode "Reprompt". Copilot prüfte die erste Anfrage streng auf Schadcode. Bei Aufforderung zur Wiederholung griffen die Filter jedoch nicht mehr. Das System wertete den "Reprompt" als legitimen Folgekontext und gab blockierte Daten frei.

Dauerhafter Zugriff durch Kettenreaktion

Die Attacke basierte auf drei Techniken:


Clientseitige Tools erkannten den Datenabfluss kaum. Der Browser speicherte die Sitzung, sodass der Zugriff auch bei geschlossenem Tab anhielt. Microsoft behebt die Schwachstelle nach einem Bericht vom Ende August 2025 mit einem Update zum Januar Patch-Day. Nutzer sollten Browser und Apps aktualisieren. Es gibt keine Hinweise auf kriminelle Nutzung vorab.

Unternehmenskunden mit "Microsoft 365 Copilot" waren nicht betroffen. Die Variante nutzt strengere Tenant-Grenzen sowie Purview-Auditing und Data Loss Prevention (DLP). Externe URL-Parameter wirken sich hier nicht aus.

Nutzt ihr Copilot im privaten Umfeld und machen euch solche Lücken Sorgen? Oder vertraut ihr auf die schnellen Patches der Hersteller? Schreibt uns eure Meinung in die Kommentare.


Siehe auch: