Ein Klick auf einen präparierten Link genügte laut der Sicherheitsfirma Varonis, um Microsofts KI-Assistenten Copilot Personal fremde Anweisungen ausführen zu lassen, ohne dass der Nutzer davon etwas mitbekam.

Drei Schwächen, eine Kette

Varonis beschreibt die Lücke als Verkettung von drei Schwächen. Am Anfang stand die automatische Ausführung: Eine präparierte Copilot-URL konnte über ihre Parameter Anweisungen anstoßen, die der Assistent ohne Rückfrage ausführte. Daran schloss der stille Datenabfluss über die verknüpften Konten an, also über Dienste wie Gmail oder Google Drive, die Nutzer per OAuth mit dem Assistenten verbunden hatten. Das dritte Glied zielte auf Dauer: Präparierte Webinhalte konnten das Gedächtnis von Copilot so vergiften, dass die Manipulation laut Varonis auch Passwortänderungen und Neuanmeldungen überdauerte. Keine der drei Schwächen hätte für sich allein diese Wirkung entfaltet, erst die Verkettung machte den Angriff über einen einzigen Klick möglich.

Abfließen konnten laut Varonis unter anderem E-Mail-Inhalte, Kalendereinträge, Dateien aus verbundenen Cloud-Speichern und der Copilot-Chatverlauf. Die Exfiltration lief über Copilots eigene URL-Abruf-Funktion und sah damit aus wie normaler Verkehr.

Varonis hat keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Ein Datenabfluss bei echten Nutzern ist nicht dokumentiert.

Siebeneinhalb Monate bis zum vollständigen Patch

Die Zeitleiste stammt von CSO Online. Gemeldet wurde die Lücke am 31. Dezember 2025 an Microsoft. Am 1. Februar 2026 folgte ein Teilpatch, der die automatische Ausführung entschärfte; der vollständige Patch kam am 18. August 2026, rund siebeneinhalb Monate nach der Meldung. Ob diese Spanne angemessen war, mögen andere bewerten; für Nutzer zählt, dass die Lücke seit dem 18. August vollständig geschlossen ist.

Bemerkenswert ist auch der Weg zur Entdeckung. Varonis nennt das Vorgehen Meta-Hacking: hartnäckiges Nachfragen und Umformulieren, bis der Assistent Details über die eigene Architektur preisgab. Der Name der Lücke spielt genau darauf an: Varonis überschreibt seinen Bericht sinngemäß damit, dass der Assistent zum Whistleblower in eigener Sache wird. Nach Angaben von CSO Online ist es bereits die dritte Copilot-Lücke, die Varonis in diesem Jahr gemeldet hat.

Was Microsoft sagt und was CSO Online ergänzt

Microsoft erklärt laut CSO Online, Kunden seien geschützt und müssten nichts weiter tun; Enterprise-Versionen seien nicht betroffen. CSO Online merkt dazu an, dass private Copilot-Konten auch in Firmenumgebungen genutzt werden. Beide Aussagen zusammen ergeben erst das Bild, das für Betriebe zählt.

Die Grenze zwischen privat und dienstlich verläuft in kleinen Firmen selten sauber. Wer die Enterprise-Zusage für sich verbuchen will, müsste erst wissen, ob im Haus überhaupt ausschließlich Enterprise-Konten arbeiten. Ein Blick in die eigene Kontenlandschaft liefert diese Antwort schneller als jede Herstellerauskunft.

Unsere Einschätzung

Der eigentliche Lernwert steckt in den verknüpften Konten. Ein KI-Assistent mit OAuth-Zugriff auf Postfach und Cloud-Speicher ist faktisch ein privilegierter Mitarbeiter, und zwar einer, der auf Zuruf von Webseiten handelt. Genau diese Rolle bekommt er in kleinen Betrieben oft nebenbei: Ein Mitarbeiter verbindet sein privates KI-Konto mit dem Firmenpostfach, weil es die Arbeit erleichtert, niemand schreibt es auf, und ein halbes Jahr später weiß keiner mehr, welche Dienste auf welche Daten zugreifen können. Die Stunde Arbeit, die sich nach dieser Woche lohnt, sieht deshalb so aus: einmal erfassen, wer welchem KI-Dienst Zugriff auf welche Konten gegeben hat, die Liste an einem festen Ort ablegen und alle Verknüpfungen aufräumen, die niemand mehr braucht. In größeren Firmen übernimmt so eine Erhebung die IT-Abteilung, im kleinen Betrieb bleibt sie Chefsache, und genau deshalb unterbleibt sie oft. Panisches Abschalten ist dafür nicht nötig, die Lücke ist geschlossen und eine Ausnutzung nicht dokumentiert. Prüfen schon. Wer die Inventur einmal hat, aktualisiert sie beim nächsten Vorfall in Minuten.

Assistenten, die Webinhalte lesen und zugleich auf Konten zugreifen dürfen, bleiben als Bauart angreifbar, bei jedem Hersteller. Die Inventur von heute ist deshalb keine einmalige Übung.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 19. August 2026):

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Häufige Fragen

Was ist die CoSnitch-Lücke in Microsoft Copilot?

CoSnitch, geführt als CVE-2026-24301, ist eine von der Sicherheitsfirma Varonis offengelegte kritische Lücke in Microsoft Copilot Personal. Drei verkettete Schwächen erlaubten es, über einen präparierten Link Anweisungen ohne Bestätigung auszuführen, Daten aus per OAuth verknüpften Konten abzuziehen und das Gedächtnis des Assistenten dauerhaft zu manipulieren.

Wurde die Lücke ausgenutzt und sind Daten abgeflossen?

Varonis hat keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden, ein Datenabfluss bei echten Nutzern ist nicht dokumentiert. Seit dem 18. August 2026 ist die Lücke laut CSO Online vollständig gepatcht, rund siebeneinhalb Monate nach der Meldung an Microsoft.

Sind Firmenversionen von Copilot betroffen?

Microsoft erklärt laut CSO Online, Enterprise-Versionen seien nicht betroffen und Kunden müssten nichts tun. CSO Online merkt allerdings an, dass private Copilot-Konten auch in Firmenumgebungen genutzt werden. Ob im eigenen Haus ausschließlich Firmenkonten arbeiten, weiß nur der Betrieb selbst.

Was sollte ein Betrieb jetzt konkret prüfen?

Einmal erfassen, welcher Mitarbeiter welchem KI-Dienst per OAuth Zugriff auf Postfach oder Cloud-Speicher gegeben hat, und Verknüpfungen entfernen, die niemand mehr braucht. Panisches Abschalten ist nicht nötig, die Lücke ist geschlossen und eine Ausnutzung nicht dokumentiert.

Wer im eigenen Betrieb hat welchem KI-Dienst Zugriff auf Postfach und Ablage gegeben?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 19. August 2026. Stand der Recherche: 19. August 2026.