Microsoft schließt eine Copilot-Lücke, die per Klick an Mails und Dateien kam
KI-generiertes Bild Sicherheitsforscher brachten Microsofts persönlichen Copilot dazu, seinen eigenen Schwachpunkt zu verraten. Über einen präparierten Link ließen sich Postfach, Kalender und Cloud-Dateien auslesen, Microsoft hat die Lücke inzwischen geschlossen.
Wer den kostenlosen Copilot von Microsoft mit seinem Postfach oder seiner Cloud verbindet, hatte monatelang ein Datenleck im Haus, ohne etwas davon zu merken. Das Sicherheitsunternehmen Varonis hat die Schwachstelle unter dem Namen CoSnitch offengelegt und beschreibt sie als Kette aus drei Fehlern in Copilot Personal, also der frei nutzbaren Version, nicht in der Firmenlösung Microsoft 365 Copilot. Ein einziger Klick auf einen präparierten Link, verschickt per Mail, Chat oder QR-Code, reichte aus, damit der Assistent im Hintergrund Befehle ausführte, sobald das Opfer die Seite öffnete.
Der Assistent verriet seinen eigenen Schwachpunkt
Das Ungewöhnliche an dem Fund ist, wie die Forscher ihn gemacht haben. Sie mussten keinen Programmcode auseinandernehmen, sondern fragten Copilot immer wieder, warum sich ein Befehl nicht von selbst ausführen lasse. Jede Absage kam mit einer technischen Begründung, bis der Assistent schließlich den undokumentierten Parameter nannte, der genau das doch möglich machte. Über diesen Weg ließen sich Betreff und Inhalt von Mails, Termine samt Teilnehmern und Dateinamen aus verbundenen Diensten wie Gmail, Outlook, Google Drive und dem Kalender an einen fremden Server schicken. Zusätzlich konnte ein Angreifer das Gedächtnis des Assistenten dauerhaft umschreiben, sodass eine untergeschobene Anweisung auch in späteren Sitzungen aktiv blieb.
Gemeldet hatte Varonis die Lücke bereits im Dezember 2025, geschlossen wurde sie erst rund acht Monate später am 18. August 2026. Hinweise darauf, dass der Angriff jemals tatsächlich benutzt wurde, gibt es nach Angaben der Forscher nicht.
Prüfe, welche Konten dein Copilot mitlesen darf
Für dich als Betrieb steckt die eigentliche Lehre nicht in dieser einen, längst geschlossenen Lücke, sondern im Muster dahinter. Ein KI-Assistent, dem du Zugriff auf dein Postfach, deinen Kalender und deine Dateien gibst, ist damit auch ein möglicher Abfluss für genau diese Daten. Der Auslöser war hier wieder ein angeklickter Link, dieselbe Schwachstelle wie beim personalisierten Phishing per KI. Zieh deshalb eine klare Grenze zwischen dem privaten Copilot und deinen Geschäftsdaten und lass Betriebsunterlagen nicht über die kostenlose Version laufen. Sieh in den Einstellungen nach, welche Konten du mit dem Assistenten verbunden hast, und trenne alles, was er nicht wirklich braucht. Und behandle Links in Mails oder Chats mit derselben Vorsicht, egal ob am Ende ein Mensch oder eine KI darauf reagiert.
Weitere KI-News
Diese Meldung im Wochenüberblick: KI-Woche KW 34