Kritische Lücke im Microsoft Authenticator (CVE-2026-41615): Was du jetzt tun solltest
Eine kritische Schwachstelle konnte den Microsoft Authenticator dazu bringen, ein Anmelde-Token an Angreifer weiterzugeben – ein einziger Klick genügte, ganz ohne Schadcode. Die gute Nachricht: Ein Update behebt das Problem, und die richtige Reaktion dauert zwei Minuten. Der Fall zeigt aber auch etwas Grundsätzliches – selbst die besseren Anmeldeverfahren brauchen Pflege und einen wachen Blick.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-41615 konnte den Microsoft Authenticator dazu bringen, ein Anmelde-Token an Angreifer weiterzugeben – ein Klick genügte.
- Mit dem Token ließe sich ein Konto übernehmen, inklusive Zugriff auf zugehörige (Unternehmens-)Daten.
- Ein Update behebt das Problem: Android-Build 6.2605.2973 oder neuer, iOS ab 6.8.47 – am besten sofort prüfen.
- Zur Einordnung: Es ist kein öffentlicher Angriffscode bekannt, und Authenticator-Apps bleiben deutlich sicherer als SMS-Codes.
- Die eigentliche Lehre: unerwartete Bestätigungs- und Berechtigungsanfragen nie blind abnicken.
Was ist passiert?
Microsoft führt die Schwachstelle unter der Kennung CVE-2026-41615 und stuft sie als kritisch ein. Der Kern des Angriffs ist eine manipulierte Berechtigungsanfrage (über das Anmeldeverfahren OAuth), die völlig legitim aussieht. Bestätigt der Nutzer diese Aktion, fordert die App in seinem Namen ein Zugriffstoken an – und schickt es an einen vom Angreifer kontrollierten Server. Dass das Token in falsche Hände geht, bemerkt der Nutzer dabei nicht.
Dieses Token gehört zum Arbeitskonto des Nutzers. Wer es besitzt, erreicht alle Dienste und Daten, für die das Konto Rechte hat – bis hin zu vertraulichen Unternehmensdaten. Genau deshalb gilt die Lücke trotz der Kategorie „Informationsoffenlegung" im Ergebnis als mögliche vollständige Kontoübernahme. Ein Token ist dabei nichts anderes als ein digitaler Schlüssel, den ein Dienst nach erfolgreicher Anmeldung ausstellt.
Das Wichtigste zuerst: aktualisieren
Die fehlerbereinigten Apps stehen in den Stores bereit. Auf Android behebt der Build 6.2605.2973 (oder neuer) die Lücke, auf iOS gilt das ab Build 6.8.47. Geräte mit aktivierten automatischen App-Updates haben die neue Version meist schon. Andernfalls holst du sie manuell im Google Play Store oder im App Store von Apple.
Den installierten Stand zeigt die App über den Pfad Hilfe → Info → Version.
Warum das keine Entwarnung für SMS-Codes ist
Auf den ersten Blick klingt das paradox: Erst heißt es, eine Authenticator-App sei sicherer als SMS – und dann hat ausgerechnet eine eine Lücke. Wichtig ist die Einordnung. Hier handelte es sich um einen behebbaren Fehler, der zudem einen aktiven Klick des Nutzers voraussetzte. Es ist kein Beleg dafür, dass Authenticator-Apps grundsätzlich unsicher wären.
Im Vergleich bleibt die Rechnung eindeutig: SMS-Codes hängen an deiner Telefonnummer und lassen sich per SIM-Swapping abfangen – ohne dass du etwas davon mitbekommst. Eine Authenticator-App ist davon nicht betroffen. Wer noch SMS nutzt, sollte weiterhin auf eine Zwei-Faktor-Anmeldung per Authenticator-App umsteigen. Noch robuster sind Verfahren, die sich gar nicht erst umleiten lassen: ein Hardware-Sicherheitsschlüssel oder Passkey.
Die eigentliche Lehre: Bestätigungs-Prompts ernst nehmen
Der Angriff funktionierte nur, weil jemand eine Anfrage bestätigte. Das ist kein Zufall, sondern ein Muster: Immer mehr moderne Maschen brauchen kein geknacktes Passwort mehr, sondern dein „OK" zu einer echt aussehenden Anmelde- oder Berechtigungsanfrage. Wer unerwartete Prompts gewohnheitsmäßig wegtippt, ist hier am verwundbarsten.
Die Gegenregel ist einfach: Bestätige nur, was du selbst gerade ausgelöst hast. Eine Anmelde- oder Zugriffsanfrage, die plötzlich und ohne dein Zutun erscheint, lehnst du ab. Dasselbe Prinzip steckt hinter vielen Phishing- und Fake-Support-Maschen, die auf ein vorschnelles Klicken setzen.
So schützt du dich und deinen Betrieb
- App aktualisieren. Bring den Microsoft Authenticator auf die aktuelle Version – siehe Kasten oben.
- Automatische Updates aktiviert lassen. Gerade bei Sicherheits-Apps sorgt das dafür, dass Lücken schnell geschlossen werden.
- Prompts nicht blind bestätigen. Jede Anmelde- oder Berechtigungsanfrage, die du nicht selbst gestartet hast, ist ein Grund zum Innehalten.
- Phishing-resistente Verfahren bevorzugen. Wo möglich, Passkeys oder einen Hardware-Schlüssel nutzen – sie lassen sich nicht so leicht überlisten.
- Im Betrieb: Konten im Blick behalten. Wer Microsoft 365 verwaltet, sollte ungewöhnliche Berechtigungsfreigaben überwachen und bei Verdacht aktive Sitzungen beenden. Das gehört zur Grundhygiene bei Zugangsdaten.
Für kleine Unternehmen, deren Arbeitskonten an Microsoft 365 hängen, ist das besonders relevant. Wie ein Betrieb ohne eigene IT-Abteilung solche Routinen aufsetzt, zeigt der Leitfaden für Selbstständige und kleine Unternehmen. Den größeren Rahmen liefert der Überblick zur persönlichen Cybersicherheit und digitalen Privatsphäre.
Häufige Fragen
Die wichtigsten Fragen kurz beantwortet:
Muss ich jetzt etwas tun?
Ja, aber nur eine Kleinigkeit: Prüfe, ob dein Microsoft Authenticator aktuell ist (Android 6.2605.2973 oder neuer, iOS ab 6.8.47), und aktualisiere ihn andernfalls. Mehr ist nicht nötig.
Heißt das, Authenticator-Apps sind unsicher?
Nein. Es war ein behebbarer Fehler, der zudem einen Klick des Nutzers brauchte. Authenticator-Apps bleiben deutlich sicherer als SMS-Codes, die sich per SIM-Swapping abfangen lassen.
Wie prüfe ich meine App-Version?
In der App über den Pfad „Hilfe" → „Info" → „Version". Liegt die Nummer unter den genannten Build-Ständen, aktualisiere im Google Play Store oder im App Store von Apple.
Wurde die Lücke schon ausgenutzt?
Nach Angaben des Herstellers war zum Zeitpunkt der Veröffentlichung kein öffentlicher Angriffscode verfügbar und kein aktiver Missbrauch bekannt. Der hohe Schweregrad spiegelt das Schadenspotenzial, nicht die Wahrscheinlichkeit eines Angriffs.
Warum gibt es zwei verschiedene Schweregrade?
Microsoft als Hersteller bewertet die Lücke mit 9.6 (kritisch), das NIST mit 7.4 (hoch). Bei solchen Abweichungen gilt die Herstellerbewertung als guter Maßstab für die Dringlichkeit, da der Hersteller die Schwachstelle am genauesten kennt.
Wie schütze ich mich vor ähnlichen Angriffen?
Bestätige nur Anmelde- und Berechtigungsanfragen, die du selbst ausgelöst hast, halte Sicherheits-Apps aktuell und nutze wo möglich phishing-resistente Verfahren wie Passkeys oder einen Hardware-Schlüssel.