{"id":164629,"date":"2026-05-18T07:06:07","date_gmt":"2026-05-18T07:06:07","guid":{"rendered":"https:\/\/www.europesays.com\/at\/164629\/"},"modified":"2026-05-18T07:06:07","modified_gmt":"2026-05-18T07:06:07","slug":"microsoft-authenticator-luecke-ermoeglicht-unbefugten-zugriff","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/at\/164629\/","title":{"rendered":"Microsoft Authenticator: L\u00fccke erm\u00f6glicht unbefugten Zugriff"},"content":{"rendered":"<p>In Microsofts Authenticator k\u00f6nnen Angreifer eine kritische Sicherheitsl\u00fccke missbrauchen, um an Sign-in-Tokens zu gelangen. Damit gelingt der unbefugte Zugriff auf Ressourcen. Aktualisierte Apps stehen bereit.<\/p>\n<p>        Weiterlesen nach der Anzeige<\/p>\n<p>Der <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2026-41615\" rel=\"external noopener nofollow\" target=\"_blank\">Schwachstelleneintrag von Microsoft<\/a> er\u00f6rtert das Problem grob. Sensible Informationen k\u00f6nnen demnach an unbefugte Akteure gelangen, da Microsoft Authenticator Informationen an Angreifer \u00fcber das Netzwerk preisgibt. In der FAQ erkl\u00e4rt Microsoft, dass die Schwachstelle das Sign-in-Token zum Arbeitskonto von Nutzerinnen und Nutzern offenlegen kann. Damit erlangen Unbefugte Zugriff auf Daten und Diensten, auf die das Benutzerkonto zugreifen darf, darunter potenziell auch sensible Unternehmensinformationen. <\/p>\n<p>Zum Missbrauch der L\u00fccke m\u00fcssen Angreifer ein Opfer dazu bringen, mit einer legitim erscheinenden, b\u00f6sartigen Anfrage zu interagieren. Sobald Nutzer die Anfrage best\u00e4tigen, k\u00f6nnen Angreifer die App dazu bringen, Zugriffstoken im Namen der Nutzer anzufordern, um sie an einen Dienst auszuliefern, der unter der Kontrolle der Angreifer steht. Betroffene erhalten keine klaren Informationen, welcher Zugriff gew\u00e4hrt wurde (CVE-2026-41615, CVSS 9.6, Risiko \u201ekritisch\u201c). Das <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-41615\" rel=\"external noopener nofollow\" target=\"_blank\">NIST kommt im NVD-Listeneintrag<\/a> jedoch mit CVSS 7.4 lediglich auf das Risiko \u201ehoch\u201c.<\/p>\n<p>Microsoft Authenticator: Updates verf\u00fcgbar<\/p>\n<p>Aktualisierte Versionen des Authenticators von Microsoft stehen in den jeweiligen App-Stores bereit. Unter Android l\u00f6st die Version 6.2605.2973 und neuer das Problem, unter iOS die Software ab Stand 6.8.47. Wer die automatischen App-Updates des Mobilbetriebssystems aktiviert hat, erh\u00e4lt das Update automatisch. Wer das deaktiviert hat, muss den Google Play Store oder den iOS-App-Store \u00f6ffnen und dort die aktualisierten Apps herunterladen und installieren.<\/p>\n<p><a href=\"https:\/\/www.heise.de\/thema\/Microsoft\" rel=\"nofollow noopener\" target=\"_blank\">Microsoft<\/a> f\u00fchrt weiter aus, dass die Schwachstelle bislang noch nicht missbraucht wurde. Es steht bislang auch kein Exploit \u00f6ffentlich zur Verf\u00fcgung. Dennoch sollten Nutzer und Nutzerinnen des Microsoft Authenticators sicherstellen, die aktuelle Fassung einzusetzen. Die aktuelle Version zeigt der Authenticator im App-Men\u00fc unter \u201eHilfe\u201c an, dort etwas tiefer unter \u201eInfo\u201c \u2013 \u201eAnwendungsversion\u201c.<\/p>\n<p>(<a class=\"redakteurskuerzel__link\" href=\"https:\/\/www.heise.de\/news\/mailto:dmk@heise.de\" title=\"Dirk Knop\" rel=\"nofollow noopener\" target=\"_blank\">dmk<\/a>)<\/p>\n<p>\n      Dieser Link ist leider nicht mehr g\u00fcltig.\n    <\/p>\n<p>Links zu verschenkten Artikeln werden ung\u00fcltig,<br \/>\n      wenn diese \u00e4lter als 7\u00a0Tage sind oder zu oft aufgerufen wurden.\n    <\/p>\n<p>Sie ben\u00f6tigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen \u2013 ohne Verpflichtung!<\/p>\n","protected":false},"excerpt":{"rendered":"In Microsofts Authenticator k\u00f6nnen Angreifer eine kritische Sicherheitsl\u00fccke missbrauchen, um an Sign-in-Tokens zu gelangen. Damit gelingt der unbefugte&hellip;\n","protected":false},"author":2,"featured_media":164630,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[16],"tags":[11451,46,42,51880,103,104,51881,44,97,96,2165,9323,101,98,2955,100,99],"class_list":["post-164629","post","type-post","status-publish","format-standard","has-post-thumbnail","category-wissenschaft-technik","tag-alert","tag-at","tag-austria","tag-authenticator","tag-it","tag-microsoft","tag-microsoft-authenticator","tag-oesterreich","tag-science","tag-science-technology","tag-security","tag-sicherheitsluecken","tag-technik","tag-technology","tag-updates","tag-wissenschaft","tag-wissenschaft-technik"],"share_on_mastodon":{"url":"","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts\/164629","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/comments?post=164629"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts\/164629\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/media\/164630"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/media?parent=164629"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/categories?post=164629"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/tags?post=164629"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}