Wer Zwei-Faktor-Authentifizierung ernst nimmt, nutzt oft den Microsoft Authenticator – schließlich hängen daran Microsoft-Konten, Firmenlogins und manchmal auch GitHub oder andere Dienste. Sicherheitslücken in der Authentifizierungs-Infrastruktur sind daher besonders heikel, weil sie den Schutz aushebeln können, der eigentlich vor Phishing und Passwort-Diebstahl bewahren soll.
Microsoft hat kürzlich eine Sicherheitslücke in seiner Authentifizierungs-Infrastruktur behoben. Ich erkläre euch, was dran ist, warum das Ganze heikel ist – und wie ihr eure Zwei-Faktor-Authentifizierung bestmöglich absichert.
Wie die Sicherheitslücke im Microsoft Authenticator funktionierte
Nach Informationen von heise online und TechRadar wurde eine Sicherheitslücke in der Microsoft-Authentifizierungs-Infrastruktur bekannt. Die Schwachstelle wird unter der Kennung CVE-2025-55241 geführt und betrifft Microsoft Entra ID (ehemals Azure AD). Laut offizieller Microsoft-Dokumentation handelt es sich um eine Schwachstelle zur Rechteausweitung (Elevation of Privilege) beziehungsweise fehlerhafte Authentifizierung (Improper Authentication).
Microsoft hat die Schwachstelle serverseitig in Microsoft Entra ID behoben. Eine ausführliche Beschreibung des konkreten Angriffsszenarios ist in den öffentlich verfügbaren Quellen nicht detailliert dargelegt. Hinweise, dass die Lücke bereits aktiv ausgenutzt wurde, gibt es laut diesen Quellen bislang nicht.
Warum Zwei-Faktor-Authentifizierung trotz Lücke wichtig bleibt
Schwachstellen in der Authentifizierungs-Infrastruktur sind besonders kritisch, weil sie den Schutz aushebeln können, der eigentlich vor Phishing und Passwort-Diebstahl bewahren soll. Zugriffstoken sind in diesem Spiel besonders wertvoll: Wer sie besitzt, kann sich teils ohne weiteren Login an einem Konto bedienen.
Dazu kommt: Viele Firmen setzen Microsoft Entra ID als Standard-MFA-Lösung für Microsoft 365 und Firmenanwendungen ein. Eine Lücke in dieser Infrastruktur betrifft also nicht nur private Microsoft-Konten, sondern potenziell auch berufliche Zugänge – inklusive E-Mail, Teams, SharePoint und allem, was dranhängt.
Wie schützt ihr euch vor Authenticator-Angriffen?
Auch wenn Microsoft die gemeldete Schwachstelle serverseitig behoben hat, lohnt es sich, die eigene Sicherheitskonfiguration regelmäßig zu überprüfen. Hier einige bewährte Maßnahmen:
- Haltet den Microsoft Authenticator auf dem neuesten Stand. Öffnet dazu den Google Play Store oder App Store und prüft, ob Updates verfügbar sind.
- Aktiviert automatische Updates für alle Sicherheits-Apps in den Store-Einstellungen.
- Installiert Apps nur aus offiziellen Quellen und meidet Sideloading oder dubiose APK-Dateien.
- Prüft regelmäßig die Anmeldeaktivitäten in eurem Microsoft-Konto unter account.microsoft.com/security.
- Nutzt wo möglich passwortlose Anmeldung oder hardwarebasierte Sicherheitsschlüssel als zusätzliche Absicherung.
Sicherheit ist kein einmaliger Vorgang, sondern ein fortlaufender Prozess. Wer seine Authentifizierungs-Apps und -Methoden aktuell hält und verdächtige Aktivitäten im Blick behält, ist auf der sicheren Seite.
Quellen und Prüfstand
- Bericht: Microsoft Authenticator flaw let malicious apps steal access tokens | heise online (heise.de)
- Bericht: Critical Microsoft Authenticator flaw let malicious Android apps steal access to your prec… (techradar.com)
- Bericht: Microsoft Fixed a Major Authenticator Security Flaw – Thurrott.com (thurrott.com)
Hinweis: Zu diesem Thema lag zum Redaktionsschluss keine offizielle Bestätigung der beteiligten Unternehmen vor. Die Angaben stützen sich auf Medienberichte.
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 29.10.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 29.10.2026.
