FlagLeft-Lücke: Kritische Schwachstelle in Microsoft-Apps für Android

Sicherheitsforscher decken Schwachstelle in Microsoft-365-Apps auf. Angreifer konnten durch Debug-Flag an sensible Nutzerdaten gelangen.

Die Lücke mit dem Namen „FlagLeft“ erlaubte fremden Apps den Zugriff auf sensible Anmeldetoken.

Zugriff auf E-Mails und Dokumente möglich

Betroffen waren Word, Excel, PowerPoint und OneNote – die zentralen Apps der Microsoft-365-Suite. Auch Microsoft Loop und der KI-Assistent Copilot wiesen den Fehler auf.

Anzeige: Wer die FlagLeft-Lücke in seinen Microsoft-Android-Apps noch nicht geschlossen hat, riskiert den Zugriff auf E-Mails und Dokumente durch fremde Apps. Unser Report zeigt, wie Sie solche Schwachstellen systematisch erkennen und schließen. Jetzt kostenlosen Sicherheits-Report anfordern

Ursache war ein versehentlich aktiviertes Debug-Flag namens „setIsDebugMode“. Es steckte in einem gemeinsam genutzten SDK und machte die Authentifizierungstoken der Microsoft-Konten für andere Apps lesbar.

Die Forscher von Enclave erstellten einen Machbarkeitsnachweis. Damit ließen sich E-Mails, Kontakte und gespeicherte Dokumente auslesen.

Patch am Mai-Update-Tag veröffentlicht

Microsoft reagierte schnell und schloss die Lücke am 12. Mai 2026. Nutzer müssen die betroffenen Apps über den Google Play Store aktualisieren.

Ohne das Update bleibt die Lücke ein gefährliches Einfallstor für Datendiebstahl, warnten die Sicherheitsforscher.

Hoher Druck auf Cybersicherheit in Unternehmen

Anzeige: 97 Prozent der Großunternehmen meldeten im letzten Jahr mindestens einen Cybervorfall. Die FlagLeft-Lücke ist ein weiteres Einfallstor – doch mit dem richtigen Mobile-Device-Management schützen Sie Ihre Microsoft-365-Umgebung. Leitfaden: MDM für Android jetzt sichern

Der Vorfall trifft auf eine angespannte Bedrohungslage im DACH-Raum. Laut einer Deloitte-Umfrage meldeten 97 Prozent der Großunternehmen mit über 1.000 Mitarbeitern mindestens einen Cybervorfall im vergangenen Jahr. Mehr als 60 Prozent der betroffenen Firmen zählten sechs oder mehr Angriffe.

Die Konsequenz: Zwei Drittel der Unternehmen planen höhere Budgets für Cybersicherheit. Aktuell geben Organisationen im Schnitt 19 Prozent ihrer IT-Ausgaben für Sicherheit aus – bei Gesamtkosten zwischen 171 und 267 Millionen US-Dollar.

Neben technischen Schwachstellen in mobilen Apps bleiben Phishing, Malware und Ransomware die größten Sorgen der IT-Verantwortlichen.