CVE-2026-80097: Android-Apps konnten Microsoft-Tokens abfangen

Microsoft hat am 8. September 2026 eine gravierende Sicherheitslücke in der Android-Version des Microsoft Authenticators veröffentlicht und ein entsprechendes Sicherheitsupdate bereitgestellt. Wie Berichte vom 27. Oktober 2026 unter Verweis auf das Sicherheitsunternehmen Enclave verdeutlichen, wurden am 23. Oktober 2026 detaillierte Analysen zu dem Problem öffentlich gemacht.

Entdeckt und an Microsoft gemeldet hatte die Schwachstelle der Sicherheitsforscher Ofek Levin von Enclave. Die Schwachstelle wird unter der Kennung CVE-2026-80097 geführt, ist der Kategorie CWE-287 zugeordnet und weist eine Einstufung nach dem Common Vulnerability Scoring System (CVSS) von 8,6 von 10 auf.

Fehlende Identitätsprüfung in Software-Komponente

Die Schwachstelle erlaubte es beliebigen Anwendungen auf einem Smartphone, sich ohne spezielle Android-Berechtigungen und ohne jegliche Interaktion durch den Anwender als offizielle Erstparteien-App von Microsoft auszugeben, beispielsweise als Microsoft Teams. In der Folge konnten solche Anwendungen sogenannte Access- und Refresh-Tokens im Klartext abfangen.

Als technische Ursache benennt Microsoft die exportierte Komponente AccountChooserActivity. Diese kontrollierte lediglich, ob die Teams-App auf dem jeweiligen Endgerät installiert war, führte jedoch keine Überprüfung der tatsächlichen Identität der anfragenden Software durch. Der Microsoft Authenticator vertraute stattdessen der von der anfragenden App eigenständig angegebenen Identität.

Weitreichende Zugriffsrechte auf Unternehmensdaten

Wer sein Android-Smartphone für sensible Anwendungen wie Authentifikatoren oder geschäftliche Kommunikation nutzt, sollte die grundlegenden Sicherheitsvorkehrungen genau kennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Die Konsequenzen eines solchen Token-Diebstahls stuft Enclave als schwerwiegend ein. In Testläufen verschafften die erbeuteten Tokens uneingeschränkten Zugriff auf delegierte E-Mail-Postfächer, Kalender und Dateien.

Möglich waren das unbemerkte Lesen und Versenden von E-Mails, das verändern von Dokumenten in Microsoft OneDrive sowie SharePoint, Manipulationen an Kalendereinträgen und das Absetzen von Teams-Nachrichten im Namen der betroffenen Person.

Darüber hinaus konnten Angreifer unter dem Deckmantel des Authenticators neue Anmeldemethoden und Passkeys einrichten oder bestehende Einträge löschen. Laut Enclave blieb der eingerichtete Zugang selbst dann weiter bestehen, wenn die bösartige Anwendung später wieder vom Gerät deinstalliert wurde.

Ein veraltetes Betriebssystem oder fehlende Updates können bei Android-Geräten schnell zur gefährlichen Sicherheitslücke für Cyberkriminelle werden. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Einstellungen und regelmäßige Aktualisierungen Ihre Daten dauerhaft vor Malware schützen. Kostenlosen Android-Update-Ratgeber herunterladen

Voraussetzungen und Schutzmaßnahmen

Nach Angaben von Microsoft setzte ein erfolgreicher Übergriff voraus, dass sich eine bösartige App bereits auf dem mobilen Endgerät befand und zeitgleich ein geschäftliches Konto aktiv genutzt wurde.

Für betroffene Anwender erfolgte während der unberechtigten Token-Übertragung weder eine sichtbare Warnung noch eine Bestätigungsabfrage. Microsoft teilte mit, dass bislang keine Hinweise auf eine aktive Ausnutzung der Schwachstelle vorliegen und kein öffentlicher Exploit-Code bekannt sei.

Betroffen von der Sicherheitslücke sind alle Android-Versionen des Microsoft Authenticators vor der Versionsnummer 6.2606.4246, mit der der Fehler behoben wurde. Zur Absicherung wird Anwendern die zeitnahe Aktualisierung über den Google Play Store empfohlen. Administratoren sollten zudem über Systeme zur Mobilgeräteverwaltung (MDM) sicherstellen, dass die vorgeschriebene Mindestversion auf allen geschäftlich genutzten Geräten durchgesetzt wird.