Security · 27.10.2026
Eine Schwachstelle in Microsoft Authenticator für Android erlaubte es bösartigen Apps ohne Berechtigungen, Anmeldetoken von Unternehmenskonten abzugreifen. Ein Update behebt den Fehler.
Microsoft hat eine kritische Sicherheitslücke in seiner Authenticator-App für Android geschlossen. Unter der Kennung CVE-2026-80097 wurde ein Fehler behoben, der es manipulierten Apps ohne Berechtigungen ermöglichte, sich als vertrauenswürdige Microsoft-Dienste wie Teams auszugeben. Dadurch konnten Angreifer im Hintergrund sensible Anmeldetoken von Geschäfts- und Schulkonten entwenden, ohne dass der Nutzer dies bemerkte.
Diese Schwachstelle ist besonders für IT-Verantwortliche und Administratoren in der DACH-Region von hoher Relevanz. Viele Unternehmen setzen im Rahmen ihrer Zero-Trust-Strategien und für den sicheren Zugriff auf Microsoft 365-Ressourcen auf den Microsoft Authenticator als zweiten Faktor. Dass eine bösartige App auf demselben Android-Gerät ganz ohne spezielle Systemberechtigungen in der Lage war, Token für geschäftliche Accounts abzufangen, hebelt wesentliche Sicherheitsmechanismen aus. Da viele Mitarbeiter ihre geschäftlichen Konten auch auf persönlichen oder firmeneigenen Smartphones nutzen, bestand hier ein direktes Risiko für unbefugte Zugriffe auf Unternehmensdaten.
Systemadministratoren sollten umgehend sicherstellen, dass auf allen verwalteten Android-Geräten der Mitarbeiter die aktuelle Version der Microsoft Authenticator-App installiert ist. Microsoft hat den entsprechenden Patch bereits über den offiziellen Google Play Store ausgerollt. Sofern kein automatisiertes Mobile-Device-Management (MDM) im Einsatz ist, das Updates erzwingt, sollten Anwender dringend dazu aufgefordert werden, die App manuell zu aktualisieren. Ergänzend empfiehlt es sich, im Microsoft Entra Admin Center die Richtlinien für den bedingten Zugriff (Conditional Access) zu überprüfen, um den Zugriff nur für gepatchte und konforme Geräte zu erlauben.
Der Vorfall verdeutlicht, dass selbst zentrale Sicherheits-Apps Schwachstellen aufweisen können. Ein proaktives Patch-Management für mobile Endgeräte bleibt für Unternehmen ein unverzichtbarer Baustein, um Risiken durch den Diebstahl von Zugangsdaten effektiv zu minimieren.
Quelle: The Hacker News