Microsoft Authenticator: Android-Lücke CVE-2026-80097 geschlossen

Der Softwarekonzern Microsoft hat eine gravierende Sicherheitslücke in seiner Authenticator-App für Android geschlossen. Betroffen waren alle Versionen ab 6.0.0 bis vor der Version 6.2606.4246. Zeitgleich stellte das Unternehmen weitreichende Funktionsänderungen in Aussicht: Mitte Januar 2027 soll die Anwendung unter Android eine Unterstützung für Passkeys sowie ein überarbeitetes Backup-System erhalten.

Die Schwachstelle wird unter der Kennung CVE-2026-80097 sowie der Bezeichnung „AuthMask“ geführt und ist in die Schwachstellenkategorie CWE-287 eingestuft. Mit einem CVSS-Wert von 8.6 stufte Microsoft den Vorfall als wichtige Rechteausweitung ein. Erste Schutzmaßnahmen stellte der Konzern bereits am 8. September 2026 im Rahmen des regulären Patch Tuesday mit der Veröffentlichung der Version 6.2606.4246 bereit.

Forscher decken Fehler in der Signaturprüfung auf

Entdeckt wurde das Problem von dem Sicherheitsforscher Ofek Levin und seinem Team beim Sicherheitsunternehmen Enclave. Das Forscherteam veröffentlichte am 23. Oktober 2026 technische Details sowie ein Proof-of-Concept.

Die Verwundbarkeit rührte daher, dass eine bösartige App ohne besondere Systemberechtigungen die exportierte Aktivität „AccountChooserActivity“ starten und sich dabei als Microsoft Teams ausgeben konnte. Bei der internen Signaturprüfung überprüfte die Authenticator-App fälschlicherweise die vom Aufrufer angegebene statt der tatsächlich vorhandenen Paketsignatur.

Über diesen Mechanismus konnten die Forscher von Enclave Zugriffs-, Aktualisierungs- und ID-Token im Klartext für ein angemeldetes Arbeitskonto abgreifen. Dies ermöglichte die Erlangung weitreichender Microsoft-Graph-Tokens mit Berechtigungen wie Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send und Sites.ReadWrite.All. Zudem erlangten Angreifer im Kontext des Authenticators selbst Rechte wie UserAuthenticationMethod.ReadWrite sowie Passkey.Create und Passkey.Delete.

Sicherheitslücken in Authentifizierungs-Apps zeigen, wie angreifbar mobile Daten wirklich sind. Dieser kostenlose Ratgeber unterstützt Sie mit 5 einfachen Schritten dabei, Ihr Android-Smartphone effektiv gegen Zugriffe durch Hacker und Schadsoftware abzusichern. 5 Schutzmaßnahmen jetzt entdecken

Während Microsoft in der eigenen Beschreibung festhielt, dass ein voller Zugriff auf Mailboxen, Dateien sowie Kalender die Zustimmung des Nutzers erfordere, widersprach Enclave dieser Darstellung. Nach Angaben des Forscherteams sei keinerlei Nutzerinteraktion erforderlich, sofern auf dem Gerät bereits ein Arbeitskonto angemeldet ist.

Laut Microsoft wurden bislang keine aktiven Ausnutzungen der Lücke beobachtet. Mit Stand vom 26. Oktober 2026 war die Schwachstelle nicht im KEV-Katalog der US-Cybersicherheitsbehörde CISA aufgeführt. IT-Administratoren sollten dennoch alle betreuten Android-Geräte umgehend auf Version 6.2606.4246 oder höher aktualisieren, da ungepatchte Installationen weiterhin angreifbar bleiben.

Umstellung der Datensicherung und Passkeys ab Januar 2027

Neben den Sicherheitskorrekturen plant Microsoft funktionale Anpassungen für das Betriebssystem von Google. Von Mitte Januar 2027 an soll ein Update ausgerollt werden, das den Support für Passkeys zur geräteübergreifenden Anmeldung sowie eine verbesserte Anleitung für Sicherung und Wiederherstellung enthält. Der Rollout soll sowohl weltweit als auch für die behördlichen Umgebungen GCC, GCC High und DoD beginnen und abgeschlossen werden.

Angesichts von Millionen gehackter Konten pro Quartal wird die Umstellung auf passwortlose Anmeldeverfahren immer wichtiger. Erfahren Sie in diesem kostenlosen Report, wie die neue Passkey-Technologie funktioniert und wie Sie diese bei Diensten wie Amazon oder WhatsApp sicher einrichten. Kostenlosen Passkey-Report herunterladen

Mit dieser umstellung ändern sich auch die technischen Voraussetzungen für Sicherungskopien: Nutzer benötigen ab Januar 2027 Google One Backup sowie eine aktive Bildschirmsperre, da Backups künftig über den Google-Dienst statt über das Microsoft-Konto abgewickelt werden müssen.

Für zeitbasierte Einmalkennwörter (TOTP) privater Microsoft- und Drittanbieterkonten bleibt die Datensicherung bestehen. Arbeits- und Schulkonten werden hingegen nicht gesichert und müssen auf Neugeräten manuell neu registriert werden.

Zudem greift das Backup- und Wiederherstellungsverfahren ausschließlich im persönlichen Profil von Android und nicht im separaten Arbeitsprofil. Eine plattformübergreifende Wiederherstellung zwischen iOS und Android wird nicht unterstützt.

Da Passkeys nicht zusammen mit TOTP gesichert werden, rät Microsoft dazu, alte Geräte erst dann zu löschen, wenn die Anmeldung auf dem neuen Endgerät erfolgreich eingerichtet wurde. Für IT-Administratoren besteht bei der Umstellung im Januar kein unmittelbarer Handlungsbedarf, Unternehmen können ihre Belegschaft jedoch vorab über die geänderten Abläufe informieren.