In Microsoft Authenticator für Android steckte eine Lücke mit CVSS 8,6. Eine fremde App ohne Berechtigung konnte sich als Teams ausgeben und Tokens für das Arbeitskonto holen. Microsoft hat den Fehler am 8. September 2026 behoben. Betroffen sind alle Versionen vor 6.2606.4246.
Inhalt 7 Abschnitte
Eine Android-App ohne jede Berechtigung konnte Tokens für Arbeitskonten abgreifen. Microsoft bewertet die Lücke mit CVSS 8,6. Betroffen ist Microsoft Authenticator vor Version 6.2606.4246.
Das Wichtigste in Kürze
- Betroffen sind alle Versionen vor 6.2606.4246. Microsoft Authenticator für Android muss auf diesen Stand oder höher gebracht werden.
- Eine fremde App brauchte keine Berechtigung. Sie konnte sich als Teams ausgeben und still Tokens für das Arbeitskonto holen.
- Die Lücke trägt die Nummer CVE-2026-80097. Microsoft stuft sie mit CVSS 8,6 ein und hat einen Fix veröffentlicht.
- Voraussetzung bleibt eine schädliche App auf dem Gerät. Jemand muss sie also erst installieren.
Was Forscher bei Microsoft Authenticator fanden
Das Sicherheitsteam der Firma Enclave hat den Fehler gefunden. Ofek Levin, Forscher im Fellowship-Programm des Teams, beschreibt ihn in einem Bericht auf dem Enclave-Blog. Das Fachportal Help Net Security hat die Meldung am 27. Oktober 2026 veröffentlicht. Microsoft hat die Lücke am 8. September 2026 mit einem Fix geschlossen.
Die App zeigt nicht nur sechsstellige Codes an. Auf Android arbeitet sie auch als Vermittler, im Fachjargon Broker genannt. Braucht Teams oder Outlook eine Anmeldung, fragt es bei Authenticator an. Die App liefert dann ein Token. Dieser digitale Ausweis beweist, dass du angemeldet bist.
So funktionierte der Angriff
Ein Teil von Authenticator liess sich von jeder App auf dem Gerät öffnen. Bei einer Anfrage prüfte die App nicht, wer wirklich fragte. Sie vertraute den Angaben der anfragenden App.
Daher konnte eine Schad-App behaupten, sie sei Teams, und bekam die Tokens von Teams. Authenticator führte zwar eine Prüfung durch. Diese verglich die Angaben der Anfrage mit der echten Teams-App auf dem Handy. Solche Angaben kann aber jede App auslesen und kopieren.
Damit war die Prüfung leicht zu umgehen. Authenticator wusste, welche App wirklich anfragte. Diese Information floss aber nicht in die Entscheidung ein.
Folgen für das Arbeitskonto
Im Test war ein Arbeitskonto in Authenticator angemeldet. Die Test-App der Forscher erhielt damit Tokens mit weitreichenden Rechten. Der Angriff lief ohne Abfrage und ohne Warnung. Das Opfer sah nichts.
Wer einen eigenen Passkey zum Konto hinzufügen kann, behält den Zugang sogar nach dem Löschen der Schad-App. Die Lücke hat aber eine Grenze: Ohne schädliche App auf dem Gerät klappt der Angriff nicht.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
Kennung |
CVE-2026-80097 |
Offizielle Nummer der Lücke |
Bewertung |
CVSS 8,6 |
Hohe Schwere laut Microsoft |
Verwundbare Versionen |
vor 6.2606.4246 |
Ältere Stände gelten als verwundbar |
Fix veröffentlicht |
8. September 2026 |
Das Update liegt seit diesem Datum vor |
Voraussetzung |
Schad-App auf dem Gerät |
Jemand muss sie erst installieren |
Einordnung: Was das für Admins und Teams in der Schweiz heisst
Wer Android-Geräte mit Arbeitskonten betreibt, prüft jetzt die Version von Authenticator. Gesucht wird ein Stand ab 6.2606.4246. Ältere Versionen gelten laut Quelle als verwundbar. Der Fix ist seit dem 8. September 2026 verfügbar, gehandelt werden sollte also umgehend. Kosten nennen die Quellen keine. Das Update selbst kostet nichts. Wer private Apps auf Firmengeräten zulässt, trägt das grössere Risiko, weil der Angriff eine installierte Schad-App voraussetzt.
Fazit
Die Lücke ist behoben, der Fix liegt seit dem 8. September 2026 bereit. Öffne die App auf deinem Android-Gerät und prüfe, ob die Version mindestens 6.2606.4246 lautet. Ist sie älter, aktualisiere sie. Admins kontrollieren dasselbe für alle verwalteten Geräte. Weitere Details liefert die Meldung von Help Net Security.
Quellen: Help Net Security. Foto: Microsoft Authenticator / jetservices.com.cn. Stand: 27. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.