Microsoft Authenticator Sicherheitslücke 'AuthMask' (CVE-2026-80097): Fakten, Timeline und Handlungsanleitung

Im Juli 2026 veröffentlichte Microsoft ein Update für den Microsoft Authenticator auf Android, das eine kritische Schwachstelle - intern als "AuthMask" bezeichnet - behebt. Die Lücke (CVE-2026-80097) ermöglichte es fremden Apps, ohne jegliche Android-Berechtigungen Zugriffstoken für Microsoft-365-Konten zu stehlen. Da der Authenticator in vielen Unternehmen als zentraler Authentifizierungs-Broker eingesetzt wird, konnten vertrauliche Geschäftsdaten potenziell unbemerkt abgeflossen sein.

Was ist die AuthMask-Lücke (CVE-2026-80097)?

Die Schwachstelle liegt in einer exportierten Activity des Authenticators: com.microsoft.identity.client.AccountChooserActivity. Über diese Schnittstelle können Microsoft-Apps wie Teams Anmeldedaten anfordern. Die Implementierung prüfte jedoch nicht, ob die anfragende Anwendung tatsächlich die behauptete Identität besitzt. Dadurch konnten Angreifer eine manipulierte Anfrage stellen, die von einer beliebigen App ohne Berechtigung ausgeführt wurde.

• Keine Android-Berechtigungen notwendig (Zero Permissions).
• Ermöglichte das Abgreifen von Access-, ID- und Refresh-Tokens.
• Betraf Geräte mit installiertem Authenticator und aktivem Arbeitskonto (Microsoft Entra ID).

Wie funktioniert der Exploit ohne Berechtigungen?

Der Angreifer nutzt die Activity, um eine Anfrage zu erzeugen, die folgende Parameter enthält:

• Paketname der aufgerufenen App (kann frei gewählt werden).
• Client-ID und Redirect-URI (können ebenfalls frei definiert werden).
• Gewünschte Zugriffsrechte (z. B. Microsoft Graph, E-Mail, OneDrive).
• Benutzer-UID des Aufrufers.

Obwohl der Authenticator prüfte, ob die Redirect-URI zur Signatur der angegebenen App passte, basierte diese Prüfung ausschließlich auf der behaupteten Identität. Da die Signatur bekannter Microsoft-Apps öffentlich ist, konnte die Angreifer-App eine gültige Adresse erzeugen und die Prüfung umgehen.

Nach erfolgreicher Anfrage erhielt die fremde App sämtliche Tokens, die anschließend für beliebige Aktionen in Microsoft 365 verwendet werden konnten - etwa E-Mails lesen, Dateien in OneDrive öffnen oder Teams-Nachrichten senden - ohne dass der Nutzer etwas bestätigen musste.

Veröffentlichungs- und Patch-Timeline (MSRC vs. Exploit-Disclosure)

Die chronologische Abfolge erklärt, warum die öffentliche Diskussion erst Ende Oktober 2026 stark an Gewicht gewann:

• 07.07.2026: Veröffentlichung der fixierten Authenticator-Version 6.2606.4246 im Google Play Store.
• 08.09.2026: Erstmalige offizielle Bekanntgabe der Schwachstelle durch das Microsoft Security Response Center (MSRC) - CVE-2026-80097.
• 23.10.2026: Enclave AI veröffentlicht einen technischen Bericht (Proof-of-Concept) und macht das volle Ausmaß der Lücke öffentlich.

Bis zum 23. Oktober war die Schwachstelle bereits behoben, jedoch fehlte ein detaillierter öffentlicher Bericht, der die Funktionsweise und das Risiko verdeutlichte. Die nachträgliche Veröffentlichung des PoC löste erhöhte Aufmerksamkeit und Diskussionen aus.

Sicherheitsfolgen und Maßnahmen für Unternehmen (MDM-Strategie)

Die Lücke zeigte, dass traditionelle App-Überwachungssysteme, die Berechtigungen prüfen, bei solchen Angriffen versagen:

• Apps konnten Tokens erlangen, ohne irgendeine Android-Berechtigung zu besitzen.
• Erbeutete Refresh-Tokens bleiben gültig, bis sie von der IT-Abteilung explizit widerrufen werden - dies kann mehrere Tage dauern.

Empfohlene Gegenmaßnahmen:

1. Patch-Management: Sicherstellen, dass alle Geräte die Version 6.2606.4246 oder neuer installiert haben. Geräte mit Version ≤ 6.2606.4245 gelten als unsicher.
2. Mobile Device Management (MDM): Nutzung von Lösungen wie Microsoft Intune, um Android-Client-Compliance zu erzwingen und nicht gepatchte Geräte zu blockieren.
3. Token-Rollback: In Microsoft Entra ID können verdächtige Refresh-Tokens zurückgezogen werden, um unbefugte Zugriffe zu beenden.
4. Zero-Trust-Prinzip: Für kritische Anwendungen weitere Authentifizierungs-Checks implementieren, z. B. Conditional Access Policies.

Statistiken und Risiko-Einschätzung

MetricWertEinheit / HinweisCVSS v3.1 Base Score8.6HighErforderliche Android-App-Berechtigungen0Keine Berechtigungen nötigBekannte In-the-Wild-Exploits0Keine bestätigten Fälle

Wichtige Gegenpunkte:

• Keine Fernangriffe möglich - der Exploit funktioniert nur, wenn eine schädliche App bereits auf dem Gerät installiert ist.
• Persistenz von erbeuteten Refresh-Tokens kann mehrere Tage dauern, bis ein manueller Widerruf erfolgt.

Häufige Fragen (FAQs)

Gelten Nutzer im privaten Umfeld (z. B. Microsoft-Konto für Outlook) ebenfalls als betroffen?Ja. Alle Android-Nutzer, die Microsoft 365- oder verwandte Apps nutzen und den Authenticator installiert haben, waren bis zur Aktualisierung auf Version 6.2606.4246 betroffen.Wird die Schwachstelle durch Android-Sicherheitsupdates abgedeckt?Nein. Es handelt sich um eine Schwachstelle im Microsoft-Servicedesign, nicht im Android-Betriebssystem. Die Behebung erfolgt ausschließlich durch ein Update der Authenticator-App.Gibt es aktuelle Meldungen über die Nutzung der Vulnerabilität in der realen IT-Welt?Momentan liegen keine öffentlich bekannten oder bestätigten Fälle vor, in denen CVE-2026-80097 in freier Wildbahn aktiv ausgenutzt wurde - weder durch staatliche Gruppen noch durch kriminelle Hacker.

Fazit

Die AuthMask-Lücke (CVE-2026-80097) verdeutlicht, dass mobile Authentifizierungs-Broker trotz ihrer zentralen Rolle in Unternehmensumgebungen neue Angriffsvektoren bieten können. Die Tatsache, dass ein Angreifer keinerlei Berechtigungen benötigte, macht traditionelle Sicherheits-Checks unwirksam und unterstreicht die Notwendigkeit eines ganzheitlichen MDM-Ansatzes sowie eines proaktiven Token-Managements. Unternehmen sollten unverzüglich prüfen, dass alle Android-Geräte die gepatchte Version 6.2606.4246 oder neuer nutzen, nicht konforme Geräte isolieren und bei Verdacht auf kompromittierte Tokens sofort Rückzüge in Microsoft Entra ID durchführen. Durch diese Maßnahmen lässt sich das Risiko, dass vertrauliche Microsoft-365-Daten über gestohlene Tokens abfließen, wirksam reduzieren.