31. Oktober 2026, 11:02 Uhr | Lesezeit: 2 Minuten
Mit dem Microsoft Authenticator lassen sich Konten zusätzlich absichern. Die Android-Version der App war einige Zeit allerdings selbst ein Sicherheitsproblem. Forscher der Sicherheitsfirma Enclave entdeckten eine Schwachstelle, über die manipulierte Apps Zugriffstoken erhalten konnten. Für den Angriff waren nicht einmal besondere Berechtigungen auf dem Smartphone erforderlich.
Die Sicherheitsfirma „Enclave“ nennt den Angriff „AuthMask“. Die Ursache lag in der Art, wie der Microsoft Authenticator die Identität anderer Apps überprüfte. Vereinfacht gesagt kontrollierte er zwar, ob die übermittelten Daten zu einer erwarteten Anwendung passten. Ob die Anfrage aber wirklich von der echten App stammte, wurde nicht ausreichend abgesichert.
Die Forscher demonstrierten das mit einer gefälschten Microsoft-Teams-App. Sie versorgte den Authenticator unter anderem mit Paketname, Client-ID und Redirect-URI. Der Authenticator ermittelte daraufhin die Signatur des echten installierten Teams-Pakets und berechnete daraus eine passende Redirect-URI.
Warum die Prüfung nicht ausreichte
Genau hier lag das Problem. Der Authenticator verglich die errechnete Adresse mit den Angaben der manipulierten Anwendung. Konnte diese die erwarteten Informationen liefern, akzeptierte der Authenticator die Anfrage. Dadurch konnte ein Zugriffstoken bei der falschen App landen. Täuschend echte App-Kopien sind eine ernst zu nehmende Gefahr für die Sicherheit im Netz. Gerade bei beruflich genutzten Microsoft-Konten können gestohlene Zugriffstoken ein großes Risiko darstellen.
Auch interessant: WhatsApp soll Anrufe künftig für Dich prüfen
Update für Android ist verfügbar
Microsoft hat die Schwachstelle inzwischen behoben. Ab Authenticator-Version 6.2606.4246 soll der Fehler geschlossen sein. Wer unter Android eine ältere Ausgabe verwendet, sollte daher ein Update installieren. Ob die iOS-Version ebenfalls von der Schwachstelle betroffen war, ist derzeit nicht bekannt.