// STADT-BREMERHAVEN — MOBILE & WEB
Microsoft Authenticator für Android: Sicherheitslücke lieferte Zugriffsschlüssel ohne App-Berechtigungen
von Carsten Knobloch
26. Okt. 2026 |
1
Sicherheitsforscher haben im Microsoft Authenticator unter Android eine Schwachstelle namens AuthMask aufgedeckt. Das Problem daran: Eine ganz gewöhnliche App auf dem Smartphone, die nicht einmal besondere Berechtigungen anfordern musste, konnte sich einfach als Microsoft Teams ausgeben und Zugriffstoken für euer geschäftliches Microsoft-Konto abgreifen.
Im Kern lag der Fehler an einer offenen Schnittstelle im Authenticator, einer sogenannten exported Activity mit dem Namen AccountChooserActivity. Normalerweise dient diese dazu, Anfragen anderer Microsoft-Apps entgegenzunehmen und die passenden Anmeldedaten bereitzustellen.
Beim Prüfen der Anfrage lief die Logik allerdings ins Leere. Der Authenticator glich zwar ab, ob die angebliche App (beispielsweise Microsoft Teams) auf dem Smartphone installiert ist und eine gültige Signatur besitzt. Er vergaß dabei aber komplett zu überprüfen, wer da eigentlich gerade anklopft. Eine fremde App konnte also einfach behaupten: Ich bin Teams, hier sind meine Parameter, gib mir bitte die Schlüssel. Der Authenticator nickte die Anfrage ab und schickte die Token im Klartext an die anfragende App zurück.
In den Tests reichte das aus, um umfassende Rechte für Microsoft Graph zu erhalten. Damit war der Weg frei für Lese- und Schreibzugriffe auf das Postfach, Kalendereinträge, Chats sowie Dateien in OneDrive und SharePoint. Alles ohne weitere Interaktion des Nutzers, solange auf dem Gerät der Authenticator mit einem aktiven Arbeitskonto eingerichtet war.
Microsoft hat die Sicherheitslücke nach dem Hinweis des Forschers Ofek Levin behoben und führt sie unter der Kennung CVE-2026-80097. Verwundbar waren alle Versionen des Microsoft Authenticators für Android vor der Version 6.2606.4246. Wer die App im Einsatz hat, sollte kurz im Google Play Store vorbeischauen und prüfen, ob die aktuelle Version bereits installiert ist.