Kritische Schwachstelle in Microsoft 365 Copilot setzt vertrauliche Daten der KI-Zusammenfassung aus

Eine erhebliche Sicherheitsnachlässigkeit in Microsoft 365 Copilot wurde aufgedeckt, die zeigt, dass der KI-Assistent seit Ende Januar 2026 vertrauliche E-Mails zusammenfasst. Dieser Fehler, der etablierte Richtlinien zur Vermeidung von Datenverlust (Data Loss Prevention, DLP) und Vertraulichkeitsbezeichnungen (Sensitivity Labels) umging, ermöglichte es der KI, auf eingeschränkte Informationen zuzugreifen und diese zu verarbeiten, die in den Ordnern „Gesendete Elemente“ und „Entwürfe“ der Benutzer gespeichert waren.

Für Unternehmen, die auf das Ökosystem von Microsoft angewiesen sind, um eine strikte Datenverwaltung (Data Governance) aufrechtzuerhalten, verdeutlicht dieser Vorfall die wachsende Komplexität der Integration von Generativer KI (Generative AI) in sichere Unternehmensumgebungen. Microsoft hat das Problem anerkannt, es auf einen Codefehler zurückgeführt und mit der Bereitstellung einer Korrektur begonnen, obwohl der volle Umfang der Auswirkungen noch untersucht wird.

Die Mechanik der Sicherheitsverletzung

Die Schwachstelle, die unter der Advisory-ID CW1226324 geführt wird, betrifft speziell die Chat-Funktion des Copilot-„Work-Tabs“. Unter normalen Betriebsbedingungen ist Microsoft 365 Copilot so konzipiert, dass er die Compliance-Grenzen der Organisation respektiert, was bedeutet, dass er keine Inhalte abrufen oder zusammenfassen sollte, die durch DLP-Richtlinien als vertraulich oder eingeschränkt gekennzeichnet sind.

Ein „nicht näher spezifizierter Codefehler“ setzte diese Schutzmaßnahmen jedoch für bestimmte E-Mail-Kategorien effektiv außer Kraft. Wenn ein Benutzer mit Copilot interagierte, war die KI in der Lage, Daten aus E-Mails zu ziehen, die explizit als sensibel gekennzeichnet waren, sofern sich diese E-Mails im Ordner für gesendete Objekte oder in den Entwürfen des Benutzers befanden.

Die folgende Tabelle skizziert die Diskrepanz zwischen den beabsichtigten Sicherheitsprotokollen und dem während dieses Vorfalls gezeigten Verhalten:

Tabelle: Analyse des Versagens der Sicherheitsprotokolle

Dieses Versagen ist besonders besorgniserregend, da „Gesendete Elemente“ und „Entwürfe“ oft die sensibelsten Versionen interner Kommunikation enthalten – ungeschliffene strategische Dokumente, interne Finanzdiskussionen oder Personalangelegenheiten –, die noch nicht für eine breitere Verteilung bereit sind oder zur Aktenführung archiviert wurden.

Zeitplan der Entdeckung und Reaktion

Das Problem wurde erstmals am 21. Januar 2026 entdeckt, blieb jedoch mehrere Wochen bestehen, bevor ein umfassender Sanierungsplan umgesetzt wurde. Microsoft bestätigte den Fehler öffentlich Mitte Februar und gab an, dass der Fehler es der KI ermöglichte, die Vertraulichkeitsbezeichnungen zu ignorieren, auf die sich IT-Administratoren verlassen, um ihre digitalen Perimeter zu sichern.

Berichten zufolge begann der Rollout der Korrektur Anfang Februar. Microsoft kontaktiert derzeit eine Untergruppe der betroffenen Benutzer, um die Wirksamkeit des Patches zu überprüfen, hat jedoch keinen definitiven Zeitplan vorgelegt, wann das Problem weltweit vollständig behoben sein wird. Der Vorfall wird derzeit als Advisory eingestuft, eine Klassifizierung, die oft Problemen mit begrenztem Umfang vorbehalten ist, obwohl das Potenzial für Datenlecks in Branchen mit hoher Compliance darauf hindeutet, dass die Auswirkungen eher qualitativ als nur quantitativ sein könnten.

Auswirkungen auf die Einführung von KI in Unternehmen

Dieser Vorfall dient als eindringliche Erinnerung an die „Black Box“-Natur der KI-Integration in bestehende IT-Infrastrukturen. Während Unternehmen herbeieilen, um Tools wie Microsoft 365 Copilot einzuführen, um die Produktivität zu steigern, muss sich die Sicherheitsarchitektur, die diese Tools steuert, weiterentwickeln, um mit nicht-deterministischem Verhalten umzugehen.

Wichtige Sicherheitsbedenken:

• Erosion des Vertrauens: Wenn Sicherheitskennzeichnungen von der zugrunde liegenden Infrastruktur ignoriert werden, schwindet das Vertrauen in automatisierte Compliance-Tools. IT-Leiter könnten zögern, weitere KI-Funktionen ohne stärkere Zusicherungen bereitzustellen.
• Schattenzugriff (Shadow Access): Der Fehler illustriert, dass KI-Agenten oft mit anderen Berechtigungen oder Zugriffswegen operieren als Standardbenutzer oder herkömmliche Suchwerkzeuge, wodurch „Schattenzugriffspunkte“ entstehen, die bei traditionellen Audits übersehen werden könnten.
• Compliance-Verstöße: Für Sektoren wie das Gesundheitswesen und das Finanzwesen könnte selbst eine vorübergehende Offenlegung vertraulicher Entwürfe gegenüber einem KI-Summarizer eine meldepflichtige Datenverletzung gemäß Vorschriften wie der DSGVO (GDPR) oder HIPAA darstellen.

Empfehlungen für IT-Administratoren

Angesichts dieses Advisories empfiehlt Creati.ai, dass IT-Administratoren und Security Operations Centers (SOCs) sofortige proaktive Schritte unternehmen. Während Microsoft eine Korrektur bereitstellt, reicht es in Hochsicherheitsumgebungen nicht aus, sich allein auf die Patches des Anbieters zu verlassen.

• Prüfen Sie das Advisory CW1226324: Administratoren sollten den Status dieses spezifischen Advisories im Microsoft 365 Admin Center kontinuierlich überwachen, um zu bestätigen, wann ihr Mandant (Tenant) den Patch erhält.
• Auditieren Sie KI-Interaktionen: Überprüfen Sie nach Möglichkeit die Audit-Protokolle für Copilot-Interaktionen, die zwischen Ende Januar und Mitte Februar stattgefunden haben, und suchen Sie gezielt nach Abfragen im Zusammenhang mit sensiblen Schlüsselwörtern.
• Verstärken Sie die Mitarbeiterschulung: Erinnern Sie die Mitarbeiter daran, dass KI-Tools zwar leistungsstark sind, sie jedoch die Eingabe oder Bezugnahme auf streng geheime Informationen in KI-Chat-Schnittstellen vermeiden sollten, bis die Stabilität dieser Tools garantiert ist.

Während sich die Branche weiterentwickelt, wird erwartet, dass Anbieter wie Microsoft strengere „Fail-Closed“-Mechanismen implementieren – bei denen eine KI standardmäßig den Zugriff verweigert, wenn eine Sicherheitsrichtlinie nicht verifiziert werden kann – anstatt „Fail-Open“-Fehler zuzulassen, die sensible Daten preisgeben. Dieser Fehler wird wahrscheinlich einen neuen Standard für die Validierung von KI-Berechtigungen innerhalb von Unternehmens-Suites vorantreiben.