Kurz gesagt
In Microsoft Authenticator für Android konnte eine bösartige App ohne besondere Berechtigungen Zugangstoken von Arbeitskonten abgreifen (CVE-2026-80097). Microsoft hat die Lücke mit Version 6.2606.4246 geschlossen. Prüfen Sie, ob auf allen Firmen-Smartphones mindestens diese Version läuft.
Was ist passiert?
Microsoft hat die Lücke am 8. September 2026 veröffentlicht und mit 8,6 von 10 bewertet. Am 23. Oktober beschrieb das Sicherheitsunternehmen Enclave unter dem Namen AuthMask, wie der Angriff funktioniert. Seitdem berichten Fachmedien darüber.
Authenticator vermittelt auf Android die Anmeldung für Teams, Outlook und andere Microsoft-Apps. Laut Enclave prüfte die App nicht richtig, wer eine Anfrage stellt. Eine bösartige App konnte sich so als Teams ausgeben und erhielt Zugangs- und Aktualisierungstoken für das angemeldete Arbeitskonto.
Damit hätte ein Angreifer laut Enclave auf E-Mails, Dateien, Kalender, Chats und SharePoint zugreifen und sogar Anmeldemethoden wie Passkeys ändern können. Microsoft und die US-Behörde CISA kennen keine Angriffe in freier Wildbahn.
Was bedeutet das?
Betroffen sind nur Android-Geräte mit Authenticator ab Version 6.0.0 und unter 6.2606.4246, auf denen ein Arbeits- oder Schulkonto angemeldet ist. Voraussetzung war, dass eine bösartige App auf dem Gerät installiert ist.
Das Smartphone ist der zweite Faktor. Wer dort eine schadhafte App duldet, schwächt die Mehrfaktor-Anmeldung des ganzen Unternehmens. Firmen-Smartphones gehören deshalb in eine Geräteverwaltung, mit Updates, die nicht vom Zufall abhängen.
Zur Einordnung: Microsoft hat die Lücke bereits im September geschlossen. Neu ist diese Woche die technische Beschreibung. Wer automatische App-Updates nutzt, ist sehr wahrscheinlich schon geschützt.
Was Sie jetzt tun können
- Version prüfen: In Google Play Microsoft Authenticator aufrufen oder in den App-Infos die Version ablesen. Sicher ist 6.2606.4246 oder neuer.
- Automatische Updates einschalten: Auf allen Smartphones mit Arbeitskonto automatische Updates für Authenticator aktivieren.
- Für Admins: Updates per Intune beschleunigen: Bei Managed Google Play lässt sich für Authenticator der Update-Modus „High Priority“ setzen. Intune zeigt außerdem, welche App-Version installiert ist.
- Bei Verdacht: Sitzungen widerrufen: Im Entra Admin Center beim Benutzer „Revoke sessions“ wählen. Das macht alle Aktualisierungstoken ungültig. Prüfen Sie zusätzlich die registrierten Anmeldemethoden.
- Keine Apps aus Fremdquellen: Auf Geräten mit Arbeitskonto nur Apps aus Google Play oder dem verwalteten Firmen-Store installieren.
Häufige Fragen
Ist das iPhone betroffen?
Nein. Microsoft führt nur Microsoft Authenticator für Android als betroffen.
Reicht das App-Update?
Das Update schließt die Lücke. Ob bereits abgegriffene Token damit ungültig werden, sagt keine Quelle. Bei Verdacht widerrufen Sie die Sitzungen im Entra Admin Center.
Quellen
- Microsoft Security Response Center: CVE-2026-80097: Microsoft Authenticator Elevation of Privilege (8. September 2026)
- Enclave: AuthMask: We made Microsoft Authenticator hand over tokens (23. Oktober 2026)
- Microsoft Learn: Revoke user access in Microsoft Entra ID
- Microsoft Learn: Add Managed Google Play apps to Android Enterprise devices with Intune
Stand: 30. Oktober 2026. Diese Einordnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.
Fragen zur Einordnung oder ein Thema für Ihren Vortrag?
Für fachlichen Austausch, Vorträge und Workshops zu KI, IT und Sicherheit erreichen Sie mich direkt.