Microsofts 365 Copilot erlaubte über eine manipulierte URL das Auslesen von Passwörtern, E‑Mails und Dateien — ein Klick genügte.
In Kürze
- Manipulierter Link (‚CoSnitch‘) konnte über autorisierte Copilot‑Sitzungen Daten auslesen
- Angriff nutzte „Meta‑Hacking“, undokumentierte URL‑Parameter und persistente Anweisungen
- Microsoft patchte die Lücke im Aug 2026; Nutzer sollten verknüpfte Apps begrenzen und Links kritisch prüfen
Wenn du Microsofts 365 Copilot nutzt, solltest du wissen: Sicherheitsforscher der Firma Varonis haben dem KI‑Assistenten eine Lücke entlockt, mit der sich über eine einzige manipulierte URL sensible Daten abgreifen ließen. Die Forscher nannten die Methode „CoSnitch“ — ein Angriff, bei dem ein einziger Klick genügt, um über eine bereits autorisierte Copilot‑Sitzung Passwörter, E‑Mails, Kalenderinhalte und Dateien auszulesen.
Wie das funktioniert
Varonis arbeitete mit einer Technik, die sie als „Meta‑Hacking“ beschreiben: Statt klassischen Reverse‑Engineering befragten die Forscher die KI gezielt. Copilot verweigerte zwar anfangs viele Antworten, doch diese Verweigerungen lieferten laut Varonis technische Hinweise. Daraus identifizierten die Forscher undokumentierte URL‑Parameter und Wege, Schutzmechanismen zu umgehen. Mit diesen Informationen bauten sie eine bösartige URL nach.
Klickt ein Nutzer auf den Link, lädt der Browser eine bereits autorisierte Copilot‑Sitzung — und ein eingeschleuster Prompt wird automatisch ausgeführt, ohne dass der Nutzer nochmals bestätigen muss. So kann Copilot auf Inhalte aus angeschlossenen Diensten wie Gmail oder Google Drive zugreifen, die Daten in Base64 kodieren und per einfachem HTTP‑Aufruf an einen Server der Angreifer schicken. Für viele Überwachungs‑ und Sicherheitslösungen sieht das wie normaler Verkehr aus.
Persistente Anweisungen und Folgen
Varonis berichtet außerdem, dass versteckte Anweisungen in Webseiten oder Dokumenten sich dauerhaft in Copilots Speicher schreiben konnten. Solche Anweisungen blieben demnach selbst nach Passwortänderungen oder neuer Anmeldung erhalten. Varonis bezeichnet dieses Muster als eine Form indirekter Prompt‑Injection: Angreifer schleusen über externe Inhalte Anweisungen ein, die die KI dann wie legitime Befehle behandelt.
Zeitplan und Reaktion
Varonis meldete die Schwachstelle im Dezember 2025. Microsoft führte laut eigenen Angaben bereits im Februar eine stille Teilkorrektur durch und schloss die Lücke schließlich vollständig am 18. August 2026. Wie viele Nutzer tatsächlich betroffen waren, ist unklar; Microsoft verweist auf rund 30 Millionen zahlende Copilot‑Kunden und betont, dass Kunden derzeit nichts unternehmen müssten, weil die Schutzmechanismen laufend aktualisiert würden.
Empfehlungen und Interessenkonflikt
Als Schutzmaßnahme empfiehlt Varonis:
- die Zahl der mit Copilot verknüpften Apps gering zu halten
- Links aus unbekannten Quellen kritisch zu prüfen
Varonis weist zusätzlich darauf hin, dass viele KI‑Assistenten eher reaktiv gesichert seien und das Problem strukturell sei. Gleichzeitig nennt Varonis in seiner Offenlegung, dass das Unternehmen selbst Sicherheitssoftware vertreibt — ein wirtschaftliches Interesse, das Leser:innen beachten sollten.
Quellen
- Quelle: Microsoft / Varonis
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
