Copilot-Lücke CoSnitch: KI-Assistenten als Firmenrisiko

Copilot-Lücke CoSnitch: Warum private KI-Assistenten Firmendaten gefährden

Ein einziger Klick auf einen präparierten Link genügte, um aus einem Copilot-Konto E-Mails, Kalendereinträge und Dateien auszulesen. Varonis Threat Labs hat die Kette aus drei Schwachstellen am 3. November 2026 veröffentlicht; sie läuft als CVE-2026-24301 und trägt den Namen CoSnitch. Microsoft hat die Lücken bereits am 18. August 2026 serverseitig geschlossen, ohne dass Kunden einen Patch einspielen mussten.

Für IT-Verantwortliche bleibt der Fall relevant. Betroffen war ausschließlich der kostenlose Assistent Copilot Personal, nicht Microsoft 365 Copilot. Genau diese Trennung verleitet zu dem Fehlschluss, das Thema sei erledigt. Denn die Personen, die private KI-Konten mit Firmendaten füttern, sind dieselben, die montags ins Büro kommen.

Was technisch passiert ist

Auf der Seite von Copilot griffen zwei URL-Parameter ineinander: ein dokumentierter, der eine Eingabe vorausfüllte, und ein undokumentierter, der diese Eingabe beim Laden der Seite automatisch ausführte. Der Klick auf den Link startete damit eine Anfrage mit allen Rechten der angemeldeten Sitzung, ohne weitere Bestätigung. Laut Varonis lief die Anfrage sogar dann zu Ende, wenn das Opfer den Tab sofort wieder schloss.

Ausgeleitet wurden die Daten über eine normale Funktion des Assistenten: das Abrufen und Zusammenfassen externer Webseiten. Die gesammelten Inhalte gingen Base64-kodiert an einen fremden Server und waren auf Netzwerkebene nicht von einem Routineabruf zu unterscheiden.

Der dritte Baustein wirkte dauerhaft. Über indirekte Prompt Injection schrieben präparierte Seiten Anweisungen in das gespeicherte Gedächtnis des Assistenten. Diese Einträge überstanden nach Angaben der Forscher Passwortänderungen, den Widerruf von Sitzungen und sogar die Neuregistrierung des Geräts – bis der Nutzer sie selbst entfernte.

Warum die Consumer-Lücke Unternehmen trifft

Microsoft bewertet CVE-2026-24301 mit CVSS 8.8 und der Einstufung kritisch, die NVD mit 7.5. Hinweise auf eine Ausnutzung in freier Wildbahn gibt es nach Herstellerangaben nicht.

Mehrere deutsche Medien ordneten die Lücke dennoch Microsoft 365 Copilot zu – das ist falsch und führt bei der Risikobewertung in die Irre. Die Brücke zum Unternehmen entsteht über die Person: Firmenmails, die an ein privates Postfach weitergeleitet werden, Arbeitsdokumente im privaten Cloud-Speicher, geteilte Zugangsdaten. Wer aus einem privaten Konto ausliest, erbeutet oft Unternehmensdaten. Ein gestohlenes Passwort aus dem Privatkonto wird zum Einstieg in den Firmen-Tenant.

Ein Muster, kein Einzelfall

CoSnitch ist der jüngste Eintrag einer Reihe von Lücken rund um Copilot. EchoLeak (CVE-2025-32711) traf im Juni 2025 Microsoft 365 Copilot und kam ohne jede Nutzerinteraktion aus, Microsoft bewertete sie mit CVSS 9.3. Im Januar 2026 folgte Reprompt gegen Copilot Personal, im Juni 2026 SearchLeak (CVE-2026-42824) gegen die Enterprise-Suche.

Gemeinsam ist allen Fällen, dass der Datenabfluss über legitime Funktionen des Assistenten lief. Nicht OAuth war fehlerhaft, sondern die Annahme, ein Aufruf eines verbundenen Dienstes gehe immer vom Nutzer aus.

1. KI-Assistenten wie privilegierte Konten behandeln

Ein Assistent, der Mails, Kalender und Ablagen liest, hat mehr Sicht als die meisten Mitarbeitenden. Er braucht dieselbe Zugriffskontrolle, Protokollierung und Anomalieerkennung wie ein Konto mit weitreichenden Rechten. Prüfen Sie, welche Konten welche Dienste verbunden haben, und begrenzen Sie den Zugriff auf das Notwendige – ein Dienst, der nicht verbunden ist, kann nicht ausgelesen werden.

2. Schatten-KI regeln statt pauschal verbieten

Ein Verbot privater Assistenten wird umgangen, eine klare Regel nicht. Legen Sie fest, welche Datenkategorien in private KI-Tools dürfen und welche nicht, und benennen Sie einen freigegebenen Weg für den Rest. Die Regel gehört in die Sicherheits- und Datenschutzrichtlinie, samt Verantwortlichkeiten und Meldeweg – nicht in eine Rundmail.

3. Ausgehenden Verkehr von Assistenten baselinen

Weil die Ausleitung wie eine Zusammenfassung aussieht, hilft kein Signaturvergleich. Nötig ist eine Verhaltensbasislinie pro Assistent und Nutzer: Welche Ziele werden normalerweise abgerufen, in welchem Volumen, zu welchen Zeiten? Erst damit lassen sich Abweichungen im Nachhinein bewerten. Wer keine Protokolle auf Proxy- oder Firewall-Ebene aufbewahrt, kann einen Abfluss weder erkennen noch belegen.

4. Gespeicherte Erinnerungen prüfen lassen

Das Gedächtnis von Copilot Personal lässt sich unter Einstellungen, Personalisierung, Gespeicherte Erinnerungen verwalten. Unbekannte oder unsinnige Einträge sind ein Warnsignal und sollten gelöscht werden. Für Microsoft 365 Copilot nennt Microsoft seit Juni 2026 zusätzliche Prüfungen beim Schreiben, eigene Prompt-Injection-Klassifikatoren und das Feld MemoryUpdated in Defender Advanced Hunting und Sentinel. Diese Schutzmaßnahmen gelten nicht für das Consumer-Produkt.

5. Awareness auf Links mit vorbefüllten Prompts erweitern

Der Übertragungsweg war ein unauffälliger Link, kein Anhang. Ins Phishing-Training gehört deshalb der Satz: Öffnet ein Link einen KI-Assistenten mit bereits eingetragener Eingabe, lesen Sie diese zuerst, bevor Sie etwas abschicken.

Was tun, wenn ein Link angeklickt wurde

Trennen Sie die verbundenen Dienste im Assistenten und prüfen Sie das Gedächtnis auf fremde Einträge. Ändern Sie anschließend die Passwörter der beteiligten Konten und widerrufen Sie aktive Sitzungen. Prüfen Sie die Anmelde- und Zugriffsprotokolle der verbundenen Dienste auf ungewöhnliche Abrufe.

Dokumentieren Sie den Vorfall mit Zeitstempel, Link und betroffenen Konten. Wurden Firmendaten berührt, greift der interne Meldeweg bis hin zur Datenschutzaufsicht. Ob eine Meldung nach DSGVO erforderlich ist, hängt von Art und Umfang der Daten ab und lässt sich nur mit den Protokollen entscheiden.

Empfehlung für die nächsten 30 Tage

Woche 1: Bestandsaufnahme, welche KI-Assistenten im Unternehmen genutzt werden – freigegeben oder privat – und welche Dienste sie verbunden haben. Woche 2: Regelung für Schatten-KI verabschieden und kommunizieren, inklusive freigegebener Alternativen.

Woche 3: Protokollierung und Basislinie für ausgehenden Assistenten-Verkehr aufsetzen. Woche 4: Awareness-Inhalt zu vorbefüllten Prompts ausrollen und den Fall CoSnitch als Beispiel in Risiko- und Prüfprozesse aufnehmen.

Quellen

ADVISORI: CoSnitch (CVE-2026-24301): Wie Microsoft Copilot seine eigene Sicherheitslücke verriet – 3. November 2026.

Microsoft Security Update Guide: CVE-2026-24301 – Bewertung CVSS 8.8, Status behoben.

NIST NVD: CVE-2026-24301 – Basiswert 7.5, abgerufen 4. November 2026.

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.