CoSnitch: Was die Copilot-Sicherheitslücke über KI-Tools von der Stange verrät

Ein Klick auf einen präparierten Link. Mehr brauchte es nicht, damit Microsofts KI-Assistent Copilot vollständige E-Mail-Inhalte, Kalendereinträge, Datei-Metadaten und die komplette Chat-Historie an einen fremden Server sendet – ohne dass im Netzwerkverkehr irgendetwas auffällig aussah. Die Sicherheitslücke trägt den Namen CoSnitch, offiziell geführt als CVE-2026-24301, und sie ist deshalb bemerkenswert, weil Copilot sie den Forschern quasi selbst verraten hat. Für Unternehmen, die überlegen, ob ein KI-Tool von der Stange die richtige Wahl ist, lohnt sich ein genauer Blick auf diesen Fall – nicht wegen der Schlagzeile, sondern wegen des Musters dahinter.

Auf den ersten Blick ist der Vorfall eine technische Fußnote aus der IT-Sicherheitswelt. Auf den zweiten Blick ist er ein Lehrstück darüber, was passiert, wenn ein einzelnes Software-Produkt eine sehr breite, heterogene Nutzerbasis mit völlig unterschiedlichen Anforderungen gleichzeitig bedienen soll – und dabei zwangsläufig so viele Funktionen, Schnittstellen und Sonderfälle ansammelt, dass niemand mehr die vollständige Angriffsfläche im Kopf hat. Genau dieses Spannungsfeld zwischen Reichweite und Überschaubarkeit steht im Zentrum dieses Artikels.

Was genau ist passiert

Microsoft klassifiziert CVE-2026-24301 offiziell als „Microsoft Copilot Information Disclosure Vulnerability" und ordnet sie technisch als Command-Injection ein – konkret als unsachgemäße Neutralisierung von Sonderzeichen in einem Befehl. Der CVSS-Score liegt bei 8,8 und damit im kritischen Bereich. Entdeckt wurde die Lücke von den Varonis Threat Labs, namentlich von Forscher Lior Adar, der sie im Dezember 2025 an Microsoft meldete. Der Patch folgte am 18. August 2026 – rund acht Monate nach der Meldung, serverseitig ausgerollt, ohne dass Nutzerinnen und Nutzer selbst etwas installieren mussten.

Acht Monate zwischen Meldung und Patch klingen zunächst nach einer langen Zeit. Bei einem Produkt dieser Größenordnung ist das jedoch keine Nachlässigkeit, sondern eine realistische Größenordnung für sogenannte Responsible Disclosure: Der meldende Forscher hält die Lücke geheim, das Unternehmen analysiert, entwickelt einen Fix, testet ihn gegen alle bestehenden Funktionen und rollt ihn kontrolliert aus, ohne dabei andere Teile des Systems zu beschädigen. Genau diese Komplexität – viele parallel bediente Nutzungsszenarien, zahlreiche verknüpfte Dienste, unzählige Funktionskombinationen – ist der eigentliche rote Faden dieser Geschichte.

Wichtig für die Einordnung, bevor es ins Detail geht: Laut The Hacker News betraf CoSnitch primär Microsoft Copilot Personal – also das Verbraucherprodukt auf copilot.microsoft.com mit OAuth-Verbindungen zu privaten Diensten wie Gmail, Google Drive und Google Calendar. Nicht direkt betroffen war laut dieser Quelle Microsoft 365 Copilot, das Business-Produkt mit Anbindung an Outlook, SharePoint und OneDrive, das viele mittelständische Betriebe im Arbeitsalltag einsetzen. Wer CoSnitch unreflektiert als Beleg für unsichere Business-KI zitiert, macht es sich zu einfach. Warum das trotzdem keine Entwarnung für den Unternehmenseinsatz ist, zeigt sich weiter unten.

Die Anatomie eines Drei-Stufen-Angriffs

Was den Fall technisch interessant macht, ist die Verkettung dreier eigentlich harmloser Bausteine zu einem funktionierenden Angriff. Erstens: ein undokumentierter URL-Parameter namens „autorun=1", der in Kombination mit dem regulären Such-Parameter „q=" beim Laden der Seite einen Prompt automatisch ausführte – ganz ohne weitere Bestätigung durch die Nutzerin oder den Nutzer. Wer auf einen Link mit diesem Parameter klickte, löste damit unwissentlich eine Aktion im eigenen Copilot-Konto aus, ohne je auf „Senden" oder „Bestätigen" geklickt zu haben.

Zweitens: die eigentliche Datenexfiltration lief über bereits verbundene Dienste. Weil Copilot Personal per OAuth an Gmail, Google Drive und Google Calendar angebunden war, konnte der automatisch ausgeführte Prompt auf vollständige E-Mail-Inhalte, Kalendereinträge, Datei-Metadaten und die komplette Chat-Historie zugreifen. Diese Daten wurden base64-kodiert an URLs angehängt und über Copilots eigene Web-Zusammenfassungsfunktion an vom Angreifer kontrollierte Webhooks geschickt. Der Trick dabei: Für das Netzwerk sah das wie eine ganz normale HTTPS-GET-Anfrage aus, wie sie beim Aufruf und Zusammenfassen einer Webseite ständig vorkommt. Laut Varonis erzeugte der Angriff „keine anomalen Signale" – klassische Erkennungsmechanismen liefen damit ins Leere, weil es schlicht nichts gab, das nach Angriff aussah.

Drittens, und das macht den Angriff besonders hartnäckig: Über präparierte externe Webseiten ließ sich per Indirect Prompt Injection – ausgelöst durch die URL-Zusammenfassungsfunktion – ein dauerhafter Eintrag in Copilots persönlichem Memory-Speicher schreiben. Ein solcher Eintrag überdauerte selbst Passwortänderungen, den Widerruf aktiver Sitzungen und die Neuregistrierung von Geräten. Wer einmal betroffen war, wurde die Kompromittierung also nicht mit den üblichen Sofortmaßnahmen wieder los – die Standard-Checkliste nach einem Sicherheitsvorfall griff hier schlicht nicht.

Ein einziger Klick genügte zur vollständigen Kompromittierung – und der Angriff hinterließ dabei keine anomalen Signale im Netzwerkverkehr, die auf klassische Weise aufgefallen wären.

Meta-Hacking: Wie Copilot sich selbst verriet

Der ungewöhnlichste Teil der Geschichte ist die Art, wie die Lücke überhaupt gefunden wurde. Die Forscherinnen und Forscher von Varonis stellten Copilot nicht in erster Linie technische Exploit-Versuche, sondern wiederholt einfache Fragen zu seinen eigenen Sicherheitsschranken und den Gründen, warum bestimmte Anfragen abgelehnt wurden. Mitten in einer solchen Ablehnung erklärte Copilot quasi unaufgefordert den undokumentierten URL-Parameter, sein früheres Verhalten und sämtliche dagegen eingebauten Schutzmaßnahmen. Die KI verriet damit selbst den Weg, sie zu umgehen – daher der Name CoSnitch, abgeleitet von „Snitch", umgangssprachlich für Verräter oder Informant.

Dieses „Meta-Hacking" – ein System über gezielte Nachfragen an das System selbst zu kartieren – funktioniert nur bei Assistenten, die intern so viel Wissen über ihre eigene Architektur, ihre Ausnahmeregeln und ihre historischen Verhaltensweisen mit sich tragen, dass sie darüber Auskunft geben, wenn man geschickt genug fragt. Genau das ist die Kehrseite eines Produkts, das über Jahre für sehr unterschiedliche Nutzungsszenarien gleichzeitig weiterentwickelt wurde: Es sammelt Sonderfälle, Altlasten und dokumentierte wie undokumentierte Ausnahmen an, bis das System selbst zur Informationsquelle für Angreifer wird – gewissermaßen ein System, das seine eigene Angriffsfläche kommentiert, wenn man nur lange genug nachfragt.

Kein Einzelfall: Reprompt, SearchLeak – und die Frage Personal versus Enterprise

CoSnitch ist bereits die dritte von Varonis in diesem Jahr aufgedeckte Copilot-Schwachstelle. Im Januar 2026 wurde „Reprompt" offengelegt und am 13. Januar 2026 gepatcht – ebenfalls in Copilot Personal, mit einem ähnlichen Ein-Klick-Muster zum stillen Abgreifen persönlicher Daten. Anfang August 2026 folgte „SearchLeak" (CVE-2026-42824), diesmal in Microsoft 365 Copilot Enterprise, also dem Business-Produkt. SearchLeak ermöglichte unter anderem das Auslesen von Zwei-Faktor-Codes, E-Mails sowie SharePoint- und OneDrive-Dateien und wurde ebenfalls als kritisch eingestuft.

Drei strukturell ähnliche Lücken innerhalb weniger Monate, entdeckt von demselben Forschungsteam, sind kein Zufall und keine Serie unabhängiger Einzelfehler. Sie zeigen ein wiederkehrendes Muster: Ein einzelner Link oder URL-Parameter reicht aus, um eine KI mit bereits bestehenden, autorisierten Verbindungen – OAuth-Konnektoren zu E-Mail, Kalender, Speicherdiensten – zum stillen Daten-Abgreifen zu bewegen. Die Angriffsfläche entsteht dabei nicht durch einen einzelnen Programmierfehler, sondern durch das Zusammenspiel aus weitreichenden, vorkonfigurierten Zugriffsrechten und Funktionen, die ursprünglich für Komfort gedacht waren – automatische Prompt-Ausführung, automatische Web-Zusammenfassung, persistenter Speicher über Sitzungen hinweg.

Das ist auch der Grund, warum die Unterscheidung zwischen Copilot Personal und Microsoft 365 Copilot Enterprise wichtig, aber nicht beruhigend ist. CoSnitch selbst traf primär das Consumer-Produkt. Doch SearchLeak, die zweite Lücke aus derselben Forschungsreihe, betraf explizit die Enterprise-Variante mit Zugriff auf Zwei-Faktor-Codes, E-Mails und Unternehmens-Dateispeicher – und zeigte damit, dass dasselbe strukturelle Muster auch dort auftritt, wo Betriebe ihre sensibelsten Geschäftsdaten ablegen. Die relevante Lehre ist also nicht „Copilot Personal ist unsicher, M365 Copilot ist sicher", sondern: Breit angebundene, funktionsreiche KI-Assistenten mit vielen Konnektoren tragen ein strukturelles Risiko in sich, unabhängig davon, ob es sich um die Consumer- oder die Business-Variante handelt.

Was das strukturell über KI-Tools von der Stange aussagt

Der eigentliche Kern der Geschichte ist nicht die einzelne Sicherheitslücke, sondern das, was ihre Entstehung über die Bauweise generischer KI-Assistenten verrät. Ein Produkt, das für eine sehr breite und heterogene Nutzerbasis mit vielen unterschiedlichen Anwendungsfällen gleichzeitig entwickelt wird, sammelt zwangsläufig Funktionen an: automatische Prompt-Ausführung für Komfort, Web-Zusammenfassung für Recherche, persistenten Speicher für Kontinuität über Sitzungen hinweg, breite OAuth-Anbindungen für Reichweite. Jede dieser Funktionen ist für sich genommen sinnvoll und aus Produktsicht nachvollziehbar. In der Summe entsteht daraus jedoch eine Angriffsfläche, die so groß und so verschachtelt ist, dass selbst das entwickelnde Unternehmen sie erst durch aufwendiges, iteratives Nachfragen beim eigenen System vollständig kartieren konnte.

Für einen schlanken, zweckgebundenen Agenten mit klar definiertem Aufgabenbereich stellt sich diese Frage anders. Ein Agent, der beispielsweise ausschließlich Rechnungen prüft oder Terminanfragen beantwortet, braucht keinen undokumentierten Auto-Run-Parameter, keine allgemeine Web-Zusammenfassungsfunktion für beliebige fremde Seiten und keinen dauerhaften, sitzungsübergreifenden Speicher für beliebige externe Eingaben. Er hat naturgemäß eine kleinere, überschaubarere Angriffsfläche – nicht weil er von grundsätzlich besseren Entwicklerinnen und Entwicklern gebaut wurde, sondern weil er strukturell weniger Funktionen und weniger versteckte Sonderfälle in sich trägt, die erst mühsam entdeckt werden müssen, bevor sie missbraucht werden können.

Das ist keine Garantie gegen jede erdenkliche Sicherheitslücke – auch maßgeschneiderte Software kann Fehler enthalten, und niemand sollte Individualentwicklung als automatisch immun gegen Angriffe verkaufen. Es ist aber ein Unterschied im Ausgangsrisiko: Ein System mit weniger Funktionen, weniger Konnektoren und einem klar umrissenen Zugriffsbereich hat schlicht weniger Stellen, an denen sich Angriffsketten wie die von CoSnitch überhaupt zusammensetzen lassen. Weniger bewegliche Teile bedeuten weniger Kombinationen, die jemand erst finden und dann ausnutzen muss.

Was Sie jetzt konkret prüfen sollten

Unabhängig davon, ob Ihr Unternehmen Copilot, einen anderen KI-Assistenten von der Stange oder bereits eigene Agenten einsetzt, lassen sich aus dem CoSnitch-Fall handfeste, produktübergreifende Empfehlungen ableiten, die sich mit wenig Aufwand umsetzen lassen:

Verbundene Apps regelmäßig prüfen. Sehen Sie sich in ruhigen Abständen an, welche OAuth-Verbindungen und Connector-Apps Ihr KI-Assistent tatsächlich hat, und kappen Sie alle, die nicht mehr aktiv gebraucht werden. Jede zusätzliche Verbindung ist ein zusätzlicher potenzieller Angriffspfad, auch wenn sie im Alltag praktisch nie zum Problem wird.

KI-Assistenten wie privilegierte Insider behandeln. Ein Assistent mit Zugriff auf E-Mail, Kalender und Dateispeicher hat faktisch ähnliche Rechte wie eine Mitarbeiterin oder ein Mitarbeiter mit weitreichendem Zugang. Entsprechend sollte auch das Zugriffsmuster überwacht werden – nicht anders, als Sie es bei einem neuen, weitreichenden Systemzugang tun würden.

Vorsicht bei Links mit vorausgefüllten Prompts. URLs, die Parameter wie „?q=" enthalten und damit einen Prompt bereits mitliefern, verdienen besondere Aufmerksamkeit. Genau dieses Muster war der Ausgangspunkt für CoSnitch, und es lässt sich leicht in Schulungen für Mitarbeitende thematisieren.

Ungewöhnliche automatische Aktionen ernst nehmen. Wenn ein KI-Assistent unerwartet URLs abruft oder Ausgaben produziert, die nicht zur gestellten Aufgabe passen, ist das ein Warnsignal, das nicht ignoriert werden sollte – auch wenn es auf den ersten Blick harmlos wirkt.

Keine dieser vier Maßnahmen erfordert ein eigenes Sicherheitsteam oder ein großes Budget. Sie erfordern vor allem eines: die bewusste Entscheidung, KI-Assistenten nicht als reines Komfort-Tool zu behandeln, sondern als das, was sie technisch tatsächlich sind – ein System mit weitreichenden Zugriffsrechten auf geschäftskritische Daten, das entsprechend behandelt werden sollte. Wer diese vier Punkte einmal durchgeht und danach als festen Termin im Kalender verankert, hat bereits einen großen Teil des Risikos abgedeckt, das Fälle wie CoSnitch strukturell aufzeigen.

Wichtig zur Einordnung: Varonis fand keine Hinweise darauf, dass CoSnitch vor dem Patch aktiv ausgenutzt wurde. Es handelte sich um eine verantwortungsvoll gemeldete und rechtzeitig geschlossene Lücke, keinen bekannten Schadensfall. Das nimmt der Geschichte nichts von ihrer Relevanz – im Gegenteil, es zeigt, dass ein funktionierendes Responsible-Disclosure-Verfahren genau das leisten kann, wofür es gedacht ist, solange jemand mit dem nötigen Zeitaufwand hinschaut.

CoSnitch ist am Ende keine Geschichte über einen einzelnen fehlerhaften Parameter, sondern über die Bauweise generischer KI-Assistenten, die möglichst viele Nutzungsszenarien gleichzeitig abdecken sollen. Automatische Prompt-Ausführung, breite OAuth-Anbindungen, persistenter Speicher und Web-Zusammenfassung sind für sich genommen nützliche Funktionen – zusammengenommen entsteht daraus eine Angriffsfläche, die so komplex ist, dass sie selbst dem Hersteller erst durch systematisches Nachfragen beim eigenen System vollständig sichtbar wurde. Reprompt, SearchLeak und CoSnitch zeigen dasselbe Muster in drei Varianten innerhalb weniger Monate. Für Unternehmen, die überlegen, wie sie KI produktiv und zugleich verantwortungsvoll einsetzen, lohnt sich deshalb die Frage, ob ein möglichst breites Werkzeug wirklich die beste Wahl ist – oder ob ein schlanker, zweckgebundener Agent mit klar begrenztem Zugriff nicht von vornherein die robustere Grundlage bietet.