Copilot Sicherheitslücke CoSnitch: Ein Klick, und die Daten sind weg

Die Copilot Sicherheitslücke CoSnitch ist aus zwei Gründen bemerkenswert: Ein einziger Klick auf einen präparierten Link genügte, um Daten aus verbundenen Konten abzugreifen – und gefunden haben die Forscher die Lücke nicht durch Reverse Engineering, sondern indem Copilot sie selbst verraten hat. Microsoft hat die Kette am 18. August 2026 vollständig geschlossen. Ein Teil des Problems bleibt trotzdem bestehen.

Was hinter der Copilot Sicherheitslücke CoSnitch steckt

Varonis Threat Labs hat drei Schwachstellen in Copilot Personal gefunden – der Consumer-Variante unter copilot.microsoft.com. Microsoft führt sie gesammelt als CVE-2026-24301 und stuft sie als kritisch ein. Zusammengesetzt ergeben sie eine Kette:

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

• Automatische Prompt-Ausführung. Der bekannte Parameter ?q= füllt das Eingabefeld nur vor. Erst in Kombination mit einem undokumentierten zweiten Parameter lief der Prompt beim Laden der Seite los – ohne Klick, ohne Bestätigung, in der angemeldeten Sitzung des Opfers. Laut Varonis lief er sogar zu Ende, wenn der Tab sofort wieder geschlossen wurde.
• Abfluss über verbundene Dienste. Der eingeschleuste Prompt konnte Dienste abfragen, die der Nutzer selbst per OAuth freigegeben hatte – etwa Gmail, Drive, Kalender oder OneDrive –, die Treffer base64-kodieren und über Copilots eigene URL-Abruf-Funktion an einen fremden Webhook schicken. Im Test kamen Mailinhalte samt Klartext-Passwörtern zurück, dazu Kalendereinträge, Dateinamen aus Drive und der gesamte Chat-Verlauf.
• Manipulation des Langzeitspeichers. Eine präparierte Webseite konnte beim Zusammenfassen durch Copilot Anweisungen in den persistenten Memory-Store des Nutzers schreiben.

Meta-Hacking: Der Assistent als eigener Kronzeuge

Der Weg zur Lücke ist die eigentliche Geschichte. Die Forscher fragten Copilot wiederholt, warum sich ein Prompt nicht ohne Nutzerinteraktion ausführen lasse. Jede Ablehnung kam mit einer technischen Begründung – und jede Begründung verkleinerte den Suchraum. Irgendwann nannte der Assistent den undokumentierten Parameter selbst, inklusive seines früheren Verhaltens und der Schutzmaßnahmen, die ihn eigentlich deaktiviert haben sollten. Gebaut wie beschrieben, funktionierte er.

Varonis nennt das „Meta-Hacking”: nicht das Modell brechen, sondern es zur Kooperation überreden. „Copilot wasn’t breached; it was played”, schreibt das Team – Copilot wurde nicht gehackt, sondern überlistet (Übersetzung von mir). Es ist dieselbe Gruppe, die knapp zwei Wochen zuvor RovoBlast bei Atlassians Rovo gezeigt hat – dort über den Parameter rovoChatPrompt. Das Muster wiederholt sich.

Was das für dich bedeutet

Aus Sicherheitssicht ist hier nichts „gehackt” worden. Kein Exploit, kein Speicherfehler, keine Rechteausweitung. Der Angriff nutzt ausschließlich Berechtigungen, die der Nutzer selbst erteilt hat. Genau das macht ihn im Betrieb so unangenehm: Der Datenabfluss sieht auf Netzwerkebene aus wie ein ganz normaler Seitenabruf des Assistenten. Wer nach ungewöhnlichen Ports, auffälligen Headern oder Malware-Signaturen sucht, findet nichts.

Praktisch heißt das: Ein KI-Assistent mit OAuth-Verbindungen zu Mail, Kalender und Dateiablage ist kein Werkzeug mehr, sondern ein Konto mit weitreichenden Leserechten. Man sollte ihn behandeln wie einen internen Mitarbeiter mit breitem Zugriff – mit Zugriffsprüfung, Rezertifizierung und Verhaltensüberwachung. Die meisten Organisationen tun das nicht, weil der Assistent als Feature verbucht wird und nicht als Identität. Denselben blinden Fleck habe ich zuletzt bei MCP-Servern und KI-Agenten beschrieben.

Zur Abgrenzung, weil sie in Unternehmen gerne falsch gezogen wird: Microsoft erklärte gegenüber CSO Online, Kunden von Microsoft 365 Copilot seien nicht betroffen. CSO hält diese Aussage für nicht ganz belastbar – in Firmenumgebungen laufen regelmäßig auch private Copilot-Konten der Belegschaft mit, und Microsoft will beide Varianten künftig zusammenführen. „Nur die Consumer-Version” ist in einer realen Umgebung also keine saubere Grenze.

Der unangenehmste Teil ist der dritte Punkt. Der Patch schließt den Weg in den Speicher – aber Varonis sagt ausdrücklich, dass einmal geschriebene Einträge bestehen bleiben, bis der Nutzer sie selbst in den Speichereinstellungen löscht. Sie überstehen Passwortwechsel, Session-Widerruf und die Neuanmeldung des Geräts. Wer den klassischen Incident-Response-Reflex abspult (Passwort neu, Sessions killen, Gerät neu aufsetzen), räumt genau diesen Rückstand nicht weg. Ob Microsoft Altbestände nachträglich entfernt hat, geht aus der Veröffentlichung nicht hervor – das ist nicht verifiziert.

Vier Dinge, die du jetzt tun solltest

• Copilot-Memory durchsehen. Öffne die Speicher-Einstellungen deines Assistenten und lies die Einträge tatsächlich durch. Alles, was du dort nicht selbst hinterlegt hast, gehört gelöscht. Das ist der einzige Schritt, den ein Patch dir nicht abnimmt.
• Verbindungen ausmisten. Trenne jeden verbundenen Dienst, den du nicht aktiv nutzt. Jede OAuth-Verbindung vergrößert den Radius, den ein einziger Klick erreicht.
• Links auf KI-Assistenten misstrauisch behandeln. Eine URL, die einen Assistenten öffnet und bereits einen Prompt mitbringt, ist kein Komfort-Feature, sondern eine Eingabe von außen. Vor dem Absenden lesen, was da steht.
• Sichtbarkeit prüfen. Wenn du im Unternehmen für Monitoring zuständig bist: Prüf, ob dein Tooling ungewöhnliche Datenzugriffe eines KI-Assistenten überhaupt sichtbar machen würde. In den meisten Stacks ist das ein blinder Fleck.

Wer sich systematisch in das Thema einarbeiten will – von Prompt Injection bis zum Umgang mit KI im Unternehmen –, findet in meiner Übersicht zu Fachbüchern rund um KI und Cybersecurity passende Einstiege.

Warum der Zeitablauf trotzdem stört

Varonis meldete CoSnitch am 31. Dezember 2025. Die automatische Prompt-Ausführung – das eigentliche Einfallstor – hat Microsoft schon am 1. Februar 2026 geschlossen; das senkte laut Varonis-Forscher Lior Adar auch das Risiko der beiden übrigen Schwachstellen deutlich. Vollständig behoben war die Kette aber erst am 18. August, also knapp acht Monate nach der Meldung. Hinweise auf Angriffe in freier Wildbahn hat Varonis nicht gefunden – was nicht dasselbe ist wie der Beweis, dass es keine gab. Microsoft erklärte, Kundinnen und Kunden seien bereits geschützt und müssten nichts unternehmen. Für den Memory-Teil stimmt das, wie oben beschrieben, nur eingeschränkt.

Quellen

• Varonis Threat Labs: CoSnitch – When Your AI Assistant Becomes Its Own Whistleblower
• CVE Record: CVE-2026-24301
• Microsoft Security Update Guide: CVE-2026-24301
• The Hacker News: Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data
• CSO Online: Microsoft finally patches critical one-click Copilot vulnerability