Der Microsoft Authenticator gilt als Schutzschild für Logins. Jetzt zeigt ein Bericht von The Hacker News: Eine App ohne jede Berechtigung hätte ihn als Türöffner nutzen können. Die Lücke trägt die Kennung CVE-2026-80097.
DIE ECKDATEN
- CVSS: 8,6, von Microsoft als „Important“ eingestuft.
- Betroffen: Microsoft Authenticator für Android vor Version 6.2606.4246.
- Behoben in: 6.2606.4246.
- Entdeckt von: Ofek Levin, im Rahmen eines Fellowship-Programms bei der Sicherheitsfirma Enclave.
- Zeitplan: Microsoft vergab die CVE am 8. September 2026, der Fix gehörte zum Patchday im September. Enclave veröffentlichte die technischen Details am 23. Oktober.
SO FUNKTIONIERTE DER TRICK
Der Authenticator arbeitet als Vermittler (Broker). Will sich Teams oder Outlook anmelden, stellt er das Token aus. Dafür bietet er eine Aktivität namens AccountChooserActivity an, die jede App auf dem Gerät starten kann.
Eine bösartige App ohne Berechtigungen konnte diese Aktivität aufrufen und eigene Werte mitgeben, darunter einen behaupteten App-Namen wie „Teams“. Eine Signaturprüfung sollte das verhindern. Sie schlug aber nicht an: Sie schaute die echte Signatur der vorgetäuschten App nach und verglich sie mit dem Aufrufer. Weil Teams tatsächlich installiert war, bestand die Prüfung.
Anders gesagt: Der Authenticator konnte erkennen, wer anfragte. Er nutzte dieses Wissen aber nicht, um zu entscheiden, ob ein Token herausgegeben wird.
WAS WÄRE MÖGLICH GEWESEN?
In Tests von Enclave lieferte die Teams-Imitation Microsoft-Graph-Tokens mit Rechten zum Lesen und Senden von Mails, zum Lesen und Schreiben von Dateien und zum Bearbeiten von Kalendern. Betroffen ist jeweils das Arbeitskonto, das im Authenticator auf dem Gerät angemeldet ist, nicht andere Konten.
STREIT UM DIE NUTZERINTERAKTION
Die Darstellungen weichen ab. Enclave sagt, der Proof of Concept habe Tokens ohne Zutun des Nutzers geliefert, solange ein Konto angemeldet war. Microsofts Hinweis dagegen verlangt, dass eine schädliche App installiert wird und der Nutzer einen Anmeldevorgang im Authenticator abschließt. Auch Microsofts CVSS-Wert berücksichtigt diese Nutzerinteraktion.
WIRD DAS SCHON AUSGENUTZT?
Nach Microsofts Angaben: nein. Die Lücke wurde vor dem Fix nicht öffentlich bekannt, eine Ausnutzung gilt als „weniger wahrscheinlich“. Stand 26. Oktober steht sie nicht im KEV-Katalog der US-Behörde CISA. Unklar bleibt laut Bericht, ob das Update bereits erbeutete Tokens ungültig macht. Dazu äußert sich Microsofts Hinweis nicht.
WAS DU JETZT TUN SOLLTEST
- Authenticator im Play Store auf 6.2606.4246 oder neuer bringen.
- Admins können die Mindestversion über ihr Geräte-Management erzwingen.
- Apps aus unbekannten Quellen auf Arbeitsgeräten meiden und nicht benötigte Apps entfernen.
EXTRA-TIPP: Wer unsicher ist, ob ein Gerät schon früher kompromittiert war, sollte mit der IT über das Zurücksetzen von Sitzungen sprechen. Hier ist nichts bestätigt, aber ein Blick in die Anmeldeprotokolle schadet nicht.