Eine ganz normale App ohne Sonderrechte konnte sich als Microsoft Teams ausgeben und sich von eurem Microsoft Authenticator einfach die Zugriffstoken für das Firmenkonto aushändigen lassen. Die Lücke heißt AuthMask, steckte in der Android-Version der App und ist inzwischen gepatcht.

Wie die App ausgetrickst wurde

Sicherheitsforscher Ofek Levin vom Unternehmen Enclave fand den Fehler in einer sogenannten exported Activity namens AccountChooserActivity. Sie nimmt normalerweise Anfragen anderer Microsoft-Apps entgegen und reicht die passenden Anmeldedaten weiter. Der Authenticator prüfte dabei zwar, ob die angeblich anfragende App installiert ist und eine gültige Signatur besitzt – wer tatsächlich anklopft, checkte er aber nie. Eine fremde App musste nur behaupten, Teams zu sein, Paketname und Weiterleitungs-URL korrekt mitschicken, und bekam die Token im Klartext zurück.

Das reichte laut Enclave für vollen delegierten Zugriff auf Postfach, Kalender, Chats sowie Dateien in OneDrive und SharePoint – ganz ohne weitere Interaktion, solange auf dem Gerät ein aktives Arbeitskonto im Authenticator eingerichtet war. Microsoft hat die Lücke nach der Meldung geschlossen und sie als CVE-2026-80097 eingestuft, mit einem CVSS-Basiswert von 8,6. Betroffen waren alle Android-Versionen des Microsoft Authenticators vor 6.2606.4246.

Was das für euch heißt

Wer den Authenticator für ein berufliches Microsoft-365-Konto nutzt, sollte kurz im Google Play Store nachsehen, ob die App automatisch aktualisiert wurde. Die Versionsnummer lässt sich direkt in den App-Infos ablesen; alles ab 6.2606.4246 ist sauber. Privatkonten ohne Firmenanbindung waren von der konkreten Masche weniger betroffen, ein zeitnahes Update schadet aber nie.

Ehrlich gesagt überrascht mich am meisten, wie simpel der eigentliche Fehler war: eine fehlende Prüfung, wer die Anfrage wirklich stellt, bei einer App, die genau für solche Vertrauensentscheidungen gebaut ist. Dass Authenticator-Apps als Sicherheitswerkzeug selbst zur Schwachstelle werden, reiht sich damit in eine Serie von Lücken ein, wie wir sie zuletzt auch bei TeamViewer gesehen haben.