Microsoft schließt gefährliche Lücke im MS Authenticator für Android

Eine Sicherheitslücke im Microsoft Authenticator für Android hat es fremden Apps ermöglicht, Zugriffstoken für dienstliche Microsoft-Konten abzugreifen. Eine einzige Berechtigung brauchten sie dafür nicht. Microsoft stuft die Lücke als hochgefährlich ein.

Apps griffen ohne Berechtigung Zugriffstoken ab

Die gute Nachricht vorab: Microsoft hat die Schwachstelle bereits im Juli 2026 geschlossen, dennoch tauchen jetzt Meldungen auf, dass die Sicherheitslücke ausgenutzt werden könnte.

Für viele Beschäftigte gehört der Microsoft Authenticator zum Arbeitsalltag: Ein Fingertipp auf dem Smartphone bestätigt die Anmeldung bei Outlook, Teams oder OneDrive. Ausgerechnet in dieser App haben Forscher des Sicherheitsunternehmens Enclave eine Schwachstelle gefunden, die sie AuthMask nennen.


Microsoft führt die Lücke unter der Kennung CVE-2026-80097. Auf der CVSS-Skala erreicht sie einen Wert von 8,6. Der Konzern beschreibt den Fehler als mangelhafte Authentifizierung im sogenannten Broker, der Anmeldedaten an andere Apps weitergibt. Ein unbefugter lokaler Angreifer konnte so laut Microsoft ganz einfach seine Rechte ausweiten. Betroffen waren Android-Geräte, auf denen der Authenticator installiert und ein Arbeitskonto angemeldet war.

Ein "Empfangstresen" ohne Ausweiskontrolle

Der Fehler steckt in einer sogenannten exported Activity namens com.microsoft.identity.client.AccountChooserActivity. Andere Apps auf demselben Gerät können solche Schnittstellen direkt aufrufen.

Über sie fordern Microsoft-Anwendungen wie Teams beim Authenticator Anmeldedaten an und erhalten das Ergebnis zurück. Die Anfrage enthält unter anderem den Paketnamen der App, eine Client-ID, eine Weiterleitungsadresse (Redirect URI), die gewünschten Zugriffsrechte und eine Benutzerkennung (UID) des Aufrufers. Laut den Enclave-Forschern konnte die anfragende App all diese Angaben selbst festlegen. An die App, die die Anfrage tatsächlich stellte, waren sie nicht gebunden.

Der Authenticator prüfte zwar, ob die Weiterleitungsadresse zur Signatur der genannten App passt. Diese Prüfung bezog sich aber nur auf die behauptete Identität. Gab sich eine fremde App aber fälschlicherweise als Teams aus, glich der Authenticator die Adresse mit dem installierten Teams ab. Da dessen Signatur öffentlich bekannt ist, konnte der Angreifer eine gültige Adresse erzeugen und die Prüfung bestehen. Infografik Cybercrime: Zunehmende IT-Schwachstellen bedrohen Unternehmen Ob die Anfrage wirklich von Teams kam, kontrollierte der Authenticator nicht. Nach Angaben der Forscher hätte die Schnittstelle das aufrufende Paket sogar erkennen können. Diese Information nutzte sie aber nicht.

Ein ganzes Bündel an Schlüsseln

War die Anfrage erfolgreich, erhielt die fremde App Zugriffstoken, ID-Token, Client-Informationen und Refresh-Token, mit denen sich neue Zugriffe anfordern lassen. Nutzer mussten nichts bestätigen und kein Passwort eingeben. Es genügte, dass die schädliche App auf dem Gerät installiert war.

Wie weit der Zugriff reichte, hing davon ab, als welche Microsoft-App sich der Angreifer ausgab und welche Rechte er anforderte. Die Forscher testeten mehrere Microsoft-Apps. Getarnt als Teams konnten sie mit einer Anfrage für Microsoft Graph, die Schnittstelle zu vielen Daten aus Microsoft 365, E-Mails lesen und schreiben, Nachrichten verschicken und Kalender ändern. Auch OneDrive-Dateien, SharePoint-Inhalte und Teams-Dienste konnten betroffen sein. Heikel ist das vor allem für Unternehmen, deren Mitarbeiter mit Android-Geräten auf Microsoft 365 zugreifen.

Update seit Juli verfügbar

Entdeckt und an Microsoft gemeldet hat die Lücke der Sicherheitsforscher Ofek Levin. Behoben ist sie in Version 6.2606.4246 des Authenticators für Android, die laut Cybersecurity News im Juli 2026 erschien. Alle älteren Versionen sind verwundbar.

Nutzer sollten im Google Play Store prüfen, ob die neueste Version installiert ist, und ausstehende Updates sofort einspielen. Unternehmen sollten sicherstellen, dass alle verwalteten Geräte auf dem aktuellen Stand sind.

Hast du den Authenticator schon aktualisiert, oder setzt du auf eine andere App? Verrate es uns in den Kommentaren.

Siehe auch: