Microsoft Authenticator könnte Login-Codes preisgeben

Eine Sicherheitslücke in Microsoft Authenticator für iOS und Android (CVE-2026-26123) könnte Ihre einmaligen Login-Codes oder Autentifizierungs-Deep-Links an eine bösartige App auf demselben Gerät weitergeben. 

Deep Links sind vordefinierte URIs (Uniform Resource Identifiers), die beim Anklicken den direkten Zugriff auf eine Aktivität in einer Web- oder Mobilanwendung ermöglichen. Einfach ausgedrückt handelt es sich um speziell konstruierte Links, die zum Öffnen einer App und zum Ausführen von Aktionen wie der Anmeldung verwendet werden.

Microsoft Authenticator ist eine mobile App, die zeitbasierte Einmalcodes generiert und Anmeldelinks und QR-basierte Anmeldungen für Microsoft- und andere Konten verarbeitet. Sie wird häufig für die Multi-Faktor-Authentifizierung (MFA) auf privaten Smartphones verwendet, darunter auch BYOD-Geräte (Bring Your Own Device), die den Zugriff auf Unternehmens- und Produktionsdienste schützen.

Diese Sicherheitslücke betrifft Benutzer, die Microsoft Authenticator auf einem iOS- oder Android-Gerät installiert haben. Damit die Sicherheitslücke ausgenutzt werden kann, muss der Benutzer zunächst eine bösartige App auf seinem Gerät installieren und dann versehentlich diese App auswählen, um einen Deep Link für die Anmeldung zu verarbeiten.

In diesem Fall erhält die bösartige App den Einmalcode oder die Anmeldeinformationen und kann diese möglicherweise zur Authentifizierung als Opfer verwenden.

Bei Erfolg könnte ein Angreifer:

  • Anmeldevorgänge für Dienste abschließen, die Ihren Microsoft Authenticator-Codes vertrauen.
  • Auf die Informationen und Dienste zugreifen, die für das kompromittierte Konto verfügbar sind (E-Mails, Dateien, Cloud-Apps oder Produktionssysteme in einem BYOD-Kontext).

Möglicherweise auf weitere Konten zugreifen, wenn diese ebenfalls durch Codes geschützt sind, die über Authenticator auf demselben Gerät bereitgestellt werden.

So bleiben Sie sicher

Der Fix für CVE-2026-26123 ist bereits in den aktuellen Versionen enthalten, daher ist die Installation von Updates die effektivste Abhilfemaßnahme.

Wenn Sie die App vorübergehend nicht aktualisieren können, vermeiden Sie die Installation neuer Apps, die die Verarbeitung von Authentifizierungslinks, QR-basierten Anmeldungen oder Web-zu-App-Anmeldeabläufen erfordern.

Wenn Sie QR-Codes scannen oder auf Anmeldelinks tippen, vergewissern Sie sich, dass der Handler Microsoft Authenticator oder eine andere vertrauenswürdige App ist und keine unbekannte, kürzlich installierte oder anderweitig verdächtige App.

Verwenden Sie nach Möglichkeit alternative MFA-Optionen, denen Sie bereits vertrauen (z. B. die integrierte Authentifizierung in Ihrem Passwort-Manager oder plattformspezifische Lösungen wie die Passwortfunktionen von Apple), bis Sie das Update anwenden können.

Verwenden Sie für Ihre Mobilgeräte einen Malware-Schutz, der Ihnen dabei helfen kann, bösartige Apps zu erkennen.