Authenticator für Android: Lücke ließ Apps Tokens abgreifen
Von Jörg SchockGründer · testet Smart Home seit den ersten Funksteckdosen im eigenen Haus · davor 35 Jahre in verschiedenen Funktionen der Polizei
Kurz gesagt: Im Microsoft Authenticator für Android konnte eine schädliche App ohne jede Berechtigung Zugriffstoken für Arbeitskonten abgreifen (CVE-2026-80097, CVSS 8,6). Behoben ist das in Version 6.2606.4246 – wer älter unterwegs ist, sollte im Play Store aktualisieren.
Symbolbild: KI-generiert
Wer den Microsoft Authenticator auf dem Android-Handy nutzt, sollte jetzt kurz in den Play Store schauen. Sicherheitsforscher haben eine Lücke namens „AuthMask“ beschrieben, über die eine fremde App Zugangsschlüssel zu Microsoft-Konten abgreifen konnte – und zwar ohne eine einzige Berechtigung anzufragen. Microsoft stuft die Schwachstelle als hochgefährlich ein (CVSS 8,6, CVE-2026-80097).
Was genau war das Problem?
Der Authenticator arbeitet auf Android auch als sogenannter Broker: Er reicht Anmeldedaten an andere Microsoft-Apps wie Teams weiter. Dafür stellte er eine für alle Apps erreichbare Schnittstelle bereit (AccountChooserActivity). Die Prüfung war lückenhaft: Der Authenticator kontrollierte zwar, ob die angebliche Anfrager-App installiert und korrekt signiert ist, nicht aber, welche App die Anfrage tatsächlich stellt. Eine Schad-App konnte sich deshalb als Teams ausgeben und die Token im Klartext erhalten.
Nach Angaben der Forscher des Sicherheitsunternehmens Enclave, gemeldet von Ofek Levin, reichten die erbeuteten Token in Tests für weitreichenden Zugriff über Microsoft Graph: Mails, Kalender, Chats sowie Dateien in OneDrive und SharePoint. Nutzer mussten nichts bestätigen und kein Passwort eingeben.
Wer ist betroffen?
Betroffen sind alle Versionen des Authenticators für Android vor 6.2606.4246. Voraussetzung für einen Angriff: Auf dem Gerät muss eine schädliche App installiert sein, und im Authenticator muss ein Arbeits- oder Schulkonto angemeldet sein. Rein private Konten sind damit weniger im Fokus – für Firmen mit Microsoft 365 ist die Lücke dagegen ernst.
Was das für dich heißt
- Version prüfen: Öffne den Google Play Store, suche „Microsoft Authenticator“ und installiere ausstehende Updates. Gepatcht ist ab Version 6.2606.4246 (laut Berichten seit Juli 2026 verfügbar).
- Apps aufräumen: Entferne Apps, die du nicht kennst oder nicht mehr brauchst – ohne Schad-App läuft der Angriff nicht.
- Firmen und IT-Admins: Verwaltete Android-Geräte sollten auf die gepatchte Version gebracht werden; Mindestversionen lassen sich per Richtlinie erzwingen.
Ob die Lücke bereits aktiv ausgenutzt wurde, ist nach den vorliegenden Meldungen unklar; es gibt dafür bisher keinen von uns geprüften Beleg. Winfuture schreibt, dass erst jetzt Berichte über mögliche Ausnutzung auftauchen. Auch zu Vergleichszahlen oder Benchmarks gibt es hier nichts zu sagen – es handelt sich um eine reine Sicherheitsmeldung. Beachte außerdem: Zu anderen Authenticator-Schwachstellen dieses Jahres kursieren abweichende CVE-Nummern; die hier genannten Angaben stammen aus den Berichten von Winfuture und Caschys Blog.
Quellen: Winfuture, Caschys Blog.