Copilot verrät eigene Sicherheitslücke: CoSnitch-Schwachstelle CVE-2026-24301

Was ist passiert?

Sicherheitsforscher von Varonis Threat Labs haben sich mit sogenanntem "Meta-Hacking" von KI-Assistenten befasst: Kann ein KI-System wie Microsoft Copilot dazu gebracht werden, dem Angreifer selbst zu verraten, wie es kompromittiert und als Werkzeug für weitere Angriffe missbraucht werden kann? Die Antwort war ja. Die Forscher nannten die von ihnen gefundene 0-Click-Schwachstelle CoSnitch, offiziell registriert als CVE-2026-24301. Microsoft stufte die Lücke als kritisch ein und schloss sie am 18. August 2026, wie unter anderem BornCity und The Hacker News berichten.

Besonders brisant: Copilot Personal war laut Varonis über drei zusammenhängende Schwachstellen angreifbar, die es einem Angreifer erlaubten, mit einem einzigen präparierten Link Daten aus verbundenen Anwendungen abzuziehen – ganz ohne dass das Opfer aktiv etwas ausführen musste. Das Muster ist damit klassisch für sogenannte 0-Click-Angriffe: Ein Klick auf einen Link genügt, der eigentliche Schaden entsteht im Hintergrund.

Warum Copilot ein attraktives Ziel ist

Microsoft Copilot ist in vielen Unternehmen inzwischen tief in den Arbeitsalltag integriert: Er liest E-Mails, durchsucht Kalendereinträge, wertet Chats aus und hat oft Zugriff auf Dateien in OneDrive und SharePoint. Genau das macht ihn zu einem lohnenden Ziel – wer Copilot manipulieren kann, bekommt potenziell Zugriff auf einen großen Teil der digitalen Kommunikation eines Unternehmens, ohne dass klassische Data-Loss-Prevention-Lösungen (DLP) Alarm schlagen. Die Copilot-KI agiert schließlich mit den Rechten des angemeldeten Nutzers und wirkt für Monitoring-Systeme wie regulärer Anwendungs-Traffic.

Die Varonis-Forscher wollten genau diese Grauzone testen: Lässt sich Copilot per Prompt-Manipulation dazu bringen, aktiv bei der eigenen Kompromittierung zu helfen? Das Ergebnis zeigt, dass generative KI-Assistenten nicht nur ein neues Werkzeug für Admins sind, sondern auch eine neue Angriffsfläche mit eigenen Regeln.

Wie der Angriff technisch funktionierte

Laut den Berichten von BornCity und The Hacker News nutzten die Forscher eine Kombination aus Prompt-Injection und der Fähigkeit von Copilot, auf verbundene Datenquellen wie E-Mail, Kalender und Chatverläufe zuzugreifen. Ein präparierter Link oder Inhalt konnte Copilot dazu veranlassen, ohne weitere Nutzerinteraktion Informationen preiszugeben oder eigenständig Aktionen auszuführen, die eigentlich eine explizite Bestätigung erfordern sollten.

Der Name CoSnitch spielt darauf an, dass Copilot in diesem Szenario quasi zum "Verräter" der eigenen Sicherheitsarchitektur wurde: Statt Angriffsversuche zu blockieren, halfen die Antworten des Assistenten den Forschern dabei, den Angriffsweg zu verfeinern. Für produktive Angriffe bedeutet das ein reales Risiko, weil klassische Sicherheitswerkzeuge KI-Interaktionen oft nicht in gleicher Tiefe überwachen wie klassische Dateizugriffe oder Netzwerkverbindungen.

Einordnung für KMU und Admins

Für kleine und mittlere Unternehmen, die Microsoft 365 mit Copilot einsetzen, ist die gute Nachricht: Microsoft hat die konkrete Lücke bereits serverseitig geschlossen, ein manuelles Patchen einzelner Clients ist nicht nötig. Die schlechte Nachricht ist grundsätzlicherer Natur: CoSnitch ist nicht der erste und vermutlich nicht der letzte Fall, in dem KI-Assistenten mit weitreichenden Datenzugriffen zur neuen Schwachstelle werden. Wer Copilot in sensiblen Abteilungen wie Personal, Finanzen oder Rechtsberatung einsetzt, sollte die Zugriffsrechte des Assistenten regelmäßig überprüfen.

1. Prüfen, welche Datenquellen (E-Mail, SharePoint, Teams-Chats, Kalender) Copilot pro Nutzer tatsächlich einsehen darf
2. Least-Privilege-Prinzip auch für KI-Assistenten konsequent anwenden
3. Sensible Postfächer und Ordner explizit von der Copilot-Indexierung ausnehmen, wenn möglich
4. Microsoft-Sicherheitsupdates und Advisories zu Copilot aktiv verfolgen, nicht nur klassische Windows-Patches
5. Mitarbeitende dafür sensibilisieren, dass auch scheinbar harmlose Links in Chat oder Mail KI-gestützte Angriffe auslösen können
6. DLP- und Monitoring-Lösungen daraufhin prüfen, ob sie Copilot-Interaktionen überhaupt erfassen
7. Interne Richtlinien für den Umgang mit KI-Assistenten und Unternehmensdaten aktualisieren
8. Bei Copilot-Einsatz in regulierten Branchen (Finanzen, Gesundheitswesen) den Datenschutzbeauftragten einbeziehen

Was Admins jetzt konkret tun sollten

Auch wenn CVE-2026-24301 bereits geschlossen ist, lohnt sich ein struktureller Blick auf den eigenen Copilot-Einsatz. Die folgenden Schritte helfen dabei, das Risiko künftiger, ähnlich gelagerter Schwachstellen zu senken:

1. Copilot-Berechtigungen im Microsoft 365 Admin Center pro Abteilung durchgehen
2. Audit-Logs für Copilot-Aktivitäten aktivieren, sofern noch nicht geschehen
3. Testweise prüfen, welche internen Dokumente Copilot für einen Test-Account tatsächlich zusammenfassen kann
4. Regelmäßige Reviews der Copilot-Konfiguration in den Sicherheitsprozess integrieren, ähnlich wie bei klassischen Patchzyklen

Der Fall zeigt exemplarisch, dass KI-Sicherheit kein einmaliges Projekt ist, sondern ein fortlaufender Prozess – genau wie das Patchmanagement für klassische Server- und Client-Systeme.

Passende Anleitungen auf S-EDV

1. Microsoft 365 Copilot im KMU einführen: Readiness-Check, Lizenz-Entscheidung und Datenschutz-Härtung
2. KI-Nutzungsrichtlinie im Unternehmen erstellen (Copilot, ChatGPT & Co.)

Quellen

1. BornCity: CoSnitch – Microsoft Copilot verrät eigene 0-Click-Schwachstelle (CVE-2026-24301)
2. The Hacker News: Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps
3. WinFuture: Microsoft Copilot verrät Hackern selbst eine eigene Schwachstelle