CoSnitch-Lücke: Kritische Schwachstelle in Microsoft Copilot
Veröffentlicht am: 24.08.2026 um 21:23 Uhr | Redaktion boerse-global.de
Sicherheitsforscher des Unternehmens Varonis haben eine kritische Schwachstelle in Microsoft Copilot Personal identifiziert, die den Abfluss sensibler Nutzerdaten ermöglicht. Die unter der Bezeichnung „CoSnitch“ geführte Sicherheitslücke erlaubt es potenziellen Angreifern, Informationen aus mit dem Dienst verknüpften Google Drive- und Gmail-Konten zu entnehmen.
Die Schwachstelle, die offiziell als CVE-2026-24301 registriert wurde, weist einen hohen Schweregrad von 8.8 auf. Den Untersuchungen zufolge basiert die Methode auf einer sogenannten Prompt-Injection. Dabei wird ein undokumentierter URL-Parameter ausgenutzt, um Daten über den internen Copilot-Speicher unbemerkt zu exfiltrieren.
Entdeckung und technischer Hintergrund
Die Experten von Varonis entdeckten die Schwachstelle bereits im Dezember 2025. Im Zentrum der Problematik steht die Integration von Drittanbieter-Diensten in die KI-Umgebung von Microsoft. Durch die Ausnutzung von CoSnitch können manipulierte Anweisungen dazu führen, dass der KI-Assistent private Dokumente oder E-Mails ausliest und diese an externe Ziele übermittelt.
Besonders kritisch bewerteten die Forscher dabei die Nutzung undokumentierter Parameter innerhalb der URL-Struktur. Diese ermöglichten es, Sicherheitsmechanismen zu umgehen, die normalerweise den unbefugten Datentransfer verhindern sollen. Da die Exfiltration über den Copilot-Speicher erfolgt, bleibt der Vorgang für betroffene Nutzer ohne spezifische Sicherheitsüberwachung schwer erkennbar.
Wer sich mit der Absicherung von KI-Systemen im Unternehmen befasst, benötigt einen klaren Überblick über die neuen rechtlichen Anforderungen. Dieser kostenlose Umsetzungsleitfaden zum EU AI Act erklärt kompakt alle relevanten Fristen, Pflichten und Risikoklassen. EU AI Act in 5 Schritten verstehen
Reaktion von Microsoft und aktuelle Sicherheitslage
Microsoft hat auf die Erkenntnisse der Sicherheitsforscher reagiert und am 18. August 2026 ein entsprechendes Sicherheitsupdate für CoSnitch veröffentlicht. Mit diesem Patch soll die Schwachstelle in Microsoft Copilot Personal vollständig behoben worden sein. Nach Angaben des Softwarekonzerns liegen zum jetzigen Zeitpunkt keine Hinweise darauf vor, dass die Sicherheitslücke vor ihrer Schließung aktiv von Angreifern ausgenutzt wurde.
Der Vorfall unterstreicht die fortwährenden Herausforderungen bei der Absicherung von KI-Assistenten, die tief in die Dateninfrastruktur von Anwendern integriert sind.
Die Entdeckung von CVE-2026-24301 verdeutlicht insbesondere das Risiko von Prompt-Injection-Angriffen, die gezielt Schnittstellen zu verknüpften Cloud-Diensten wie Google Drive adressieren, um Berechtigungen für den Datentransfer zu missbrauchen.
Die zunehmende Integration von KI-Systemen schafft neue Einfallstore für Cyberrisiken, die viele Verantwortliche noch nicht ausreichend kennen. Ein neuer Gratis-Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Blick behalten müssen. Kostenlosen Report zu neuen Cyberrisiken abrufen
Fachleute betonen in diesem Zusammenhang die Bedeutung einer kontinuierlichen Überprüfung undokumentierter Parameter in KI-Systemen, um solche Exfiltrationswege frühzeitig zu blockieren.
