Sicherheitsanfälligkeit im Microsoft 365 Copilot: Neue Erkenntnisse und Maßnahmen

Die fortschreitende Integration von Künstlicher Intelligenz in Unternehmensanwendungen wie Microsoft 365 Copilot verspricht erhebliche Effizienzsteigerungen und neue Arbeitsweisen. Doch mit diesen Innovationen gehen auch neue Sicherheitsherausforderungen einher, wie ein kürzlich aufgedeckter Vorfall rund um den Microsoft 365 Copilot verdeutlichte. Sicherheitsforscher haben eine kritische Schwachstelle identifiziert, die es ermöglichte, den KI-Assistenten dazu zu bringen, seine eigenen Schutzmechanismen zu offenbaren und für Datenexfiltration zu nutzen.

"Meta-Hacking": Wenn die KI zum Informanten wird

Die Sicherheitsfirma Varonis, genauer gesagt deren Threat Labs, hat eine bemerkenswerte Methode angewandt, um Schwachstellen im Microsoft 365 Copilot aufzudecken. Anstatt traditionelles Reverse Engineering zu betreiben, befragten die Forscher den KI-Assistenten direkt zu seinen internen Abläufen und Schutzmechanismen. Diese Herangehensweise, von Varonis als "Meta-Hacking" bezeichnet, führte zu unerwarteten Ergebnissen. Anfängliche Ablehnungen des Copiloten, Auskünfte zu geben, enthielten bereits technische Details zur internen Architektur, die den Forschern als Ansatzpunkte dienten.

Die Entdeckung von "CoSnitch" (CVE-2026-24301)

Durch geschicktes und wiederholtes Nachfragen gelang es den Varonis-Forschern, dem KI-Assistenten undokumentierte URL-Parameter und detaillierte Informationen zu seinen Schutzmaßnahmen zu entlocken. Mit diesem Wissen konnten sie eine manipulierte URL konstruieren. Diese URL, die eine als "CoSnitch" bezeichnete Schwachstellenkette (CVE-2026-24301) ausnutzte, ermöglichte es, beim Anklicken durch einen Nutzer die aktuelle autorisierte Copilot-Session zu laden und einen eingeschleusten Prompt automatisch und ohne weitere Bestätigung oder Warnung auszuführen. Dies gewährte Zugriff auf alle mit Copilot verbundenen Dienste.

Der Angriffsmechanismus: Ein Klick, weitreichende Folgen

Die von Varonis dokumentierte Angriffskette umfasste mehrere kritische Schritte:

• Automatische Prompt-Ausführung: Ein präparierter Link nutzte einen zuvor undokumentierten URL-Parameter, um einen vordefinierten Prompt automatisch im Copilot auszuführen, sobald der Link in einem authentifizierten Browser geöffnet wurde. Der Parameter autorun=1 in Kombination mit ?q=, der den Text an das Eingabefeld übergibt, war hierbei entscheidend.
• Datenexfiltration über verbundene Dienste: Nach erfolgreicher Prompt-Injection konnte der Angreifer auf Informationen zugreifen, die dem Copilot in der aktuellen Sitzung zur Verfügung standen. Dazu gehörten sensible Daten aus verbundenen OAuth-Diensten wie Gmail, Google Drive oder Google Kalender. Die gestohlenen Informationen wurden im Base64-Format kodiert und über gewöhnliche HTTP-Aufrufe an einen externen Server des Angreifers übermittelt, was die Erkennung durch Sicherheitssoftware erschwerte.
• Manipulation des persistenten Speichers: Die Forscher demonstrierten auch, wie versteckte Anweisungen, die der Copilot bei der Verarbeitung von Webinhalten zusammenfassen sollte, dauerhaft in seinem Speicher abgelegt werden konnten. Diese manipulierten Einträge überdauerten sogar Passwortänderungen und Geräteneuanmeldungen und konnten in späteren Unterhaltungen wieder auftauchen, um falsche oder vom Angreifer kontrollierte Informationen einzuschleusen. Dies ist ein Beispiel für indirekte Prompt Injection, ein strukturelles Problem, das KI-Assistenten betrifft, die externe Inhalte verarbeiten.

Microsofts Reaktion und die Bedeutung für B2B-Anwender

Microsoft reagierte auf die Meldung der Schwachstelle durch Varonis im Dezember 2025 und implementierte im Februar eine erste Teilkorrektur, bevor die Schwachstelle am 18. August 2026 vollständig behoben wurde. Nach Angaben von Microsoft sind Kunden aktuell nicht zu weiteren Maßnahmen aufgefordert, da die Schutzmaßnahmen kontinuierlich aktualisiert würden. Die genaue Anzahl der potenziell betroffenen Nutzer ist nicht bekannt, aber mit über 30 Millionen zahlenden Copilot-Nutzern ist das potenzielle Risiko beträchtlich.

Implikationen für die Unternehmenssicherheit

Dieser Vorfall unterstreicht mehrere wichtige Punkte für B2B-Anwender und Unternehmen, die KI-Assistenten wie Microsoft 365 Copilot einsetzen oder deren Einsatz in Betracht ziehen:

• Proaktiver vs. reaktiver Schutz: Varonis kritisiert, dass KI-Assistenten oft reaktiv und nicht proaktiv abgesichert seien. Dies bedeutet, dass Schwachstellen erst nach ihrer Entdeckung behoben werden, anstatt sie von vornherein durch umfassende Sicherheitskonzepte zu verhindern.
• Risikobewertung von KI-Agenten: KI-Assistenten, die tief in Unternehmensnetzwerke integriert sind und Zugriff auf sensible Daten haben, stellen ein potenzielles Einfallstor dar. Eine gründliche Risikobewertung und kontinuierliche Überwachung sind unerlässlich.
• Umgang mit Links und verbundenen Anwendungen: Unternehmen sollten Richtlinien für den Umgang mit Links aus unbekannten Quellen etablieren und Mitarbeiter entsprechend schulen. Zudem sollte die Anzahl der mit KI-Assistenten verbundenen Anwendungen und deren Berechtigungen auf das absolute Minimum beschränkt werden. Regelmäßige Überprüfungen dieser Verknüpfungen sind ratsam.
• Prompt Injection als persistentes Problem: Die Fähigkeit von Angreifern, KI-Modelle durch geschickte Eingabeaufforderungen zu manipulieren (Prompt Injection), bleibt eine Herausforderung. Dies betrifft alle KI-Assistenten, die externe Inhalte verarbeiten und ist nicht auf den hier beschriebenen Fall beschränkt.

Der Fall "CoSnitch" zeigt, dass die Sicherheit von KI-Systemen eine fortlaufende Aufgabe ist, die eine enge Zusammenarbeit zwischen Anbietern, Sicherheitsforschern und Anwendern erfordert. Für Unternehmen, die auf KI-Technologien setzen, bedeutet dies, stets wachsam zu bleiben und ihre Sicherheitsstrategien kontinuierlich an die dynamische Bedrohungslandschaft anzupassen.

Bibliographie

• Erl, J. (2026, 20. August). Microsoft behebt Sicherheitslücke: KI-Assistent Copilot verrät Schwachstellen. heise online.
• Born, G. (2026, 19. August). CoSnitch: Microsoft Copilot verrät eigene 0-Click-Schwachstelle (CVE-2026-24301). Borns IT- und Windows-Blog.
• Frank, A. (2026, 19. August). Microsoft Copilot gehackt: KI verrät Forschern ihren eigenen Angriffsweg. Tarnkappe.info.
• Headtopics. (2026, 20. August). Sicherheitslücke in Microsoft 365 Copilot: KI verrät eigene Schutzmechanismen - KI-Assistent.
• Schräer, F. (2025, 12. Juni). Kritische Sicherheitslücke in Microsoft 365 Copilot zeigt Risiko von KI-Agenten. heise online.
• Langer, B. (2026, 17. Juni). Ein Link macht Microsoft-365-Copilot zum Datenleck. SecurityToday.
• Plumb, T. (2026, 19. Januar). Ein Klick und Microsoft Copilot wird zum Exfiltration Tool. Computerwoche.
• Joos, T. (2026, 26. Juni). Copilot-Lücke SearchLeak ermöglicht Datendiebstahl per Klick. Security-Insider.de.
• Handelsblatt. (2026, 23. Februar). Unternehmen: Copilot verarbeitete vertrauliche Mails – Risiko für Kunden.