CoSnitch (CVE-2026-24301): Ein Klick, und Copilot liest Gmail und Drive aus

Am 18. August 2026 hat Microsoft eine Schwachstelle in Copilot Personal geschlossen, die unter CVE-2026-24301 geführt wird. Varonis Threat Labs hatte drei einzelne Schwächen gefunden, die sich zu einer Kette verbinden ließen: ein präparierter Link, ein Klick, und die verbundenen Konten des Opfers geben ihre Inhalte preis.

Betroffen waren Gmail, Google Drive und Kalender, also genau die Dienste, die Nutzer mit Copilot verknüpfen, damit der Assistent nützlich wird. Eine sichtbare Bestätigung gab es nicht. Nach Angaben von Varonis gibt es keine Hinweise darauf, dass die Lücke vor dem Fix ausgenutzt wurde.

Die Lücke ist geschlossen. Die Frage, die sie aufwirft, nicht.

Wie der Angriff funktionierte

Interessant ist weniger die einzelne Schwäche als die Verkettung. Drei Bausteine ließen sich so kombinieren, dass angreiferkontrollierte Anweisungen ausgeführt wurden, verbundene Konten erreichbar waren und Daten abfließen konnten, ohne dass der Nutzer eine sinnvolle Interaktion vornehmen musste. Der Klick auf einen Link war die gesamte erforderliche Beteiligung des Opfers.

Bemerkenswert ist auch, wie die Schwachstelle gefunden wurde. Varonis beschreibt das Vorgehen als Meta-Hacking: Copilots eigene Erklärungen, warum der Angriff angeblich nicht funktionieren könne, legten die interne Architektur offen und nannten am Ende genau den undokumentierten Parameter, den es dafür brauchte. Das Modell hat die Auskunft gegeben, die man ihm sonst hätte abringen müssen.

Es ist die dritte Copilot-Schwachstelle, die Varonis in diesem Jahr veröffentlicht hat, nach Reprompt und SearchLeak. Zwischen Meldung und Fix lagen nach Berichten fast acht Monate.

Warum ausgerechnet die private Version das Unternehmensproblem ist

Der entscheidende Punkt steht im Produktnamen: Copilot Personal. Das ist nicht der Tenant, den die IT verwaltet, nicht die Lizenz, die im Vertrag steht, und nicht die Instanz, auf die Conditional Access, DLP-Regeln und Audit-Logs wirken.

Es ist der Account, den sich Mitarbeitende selbst anlegen, weil er verfügbar ist und funktioniert. Verbunden mit privaten Postfächern, in denen berufliche Nachrichten liegen. Verbunden mit Drive-Ordnern, in denen Dokumente liegen, die jemand am Wochenende noch bearbeiten wollte.

Wie groß dieser Anteil ist, lässt sich beziffern. Cyberhaven hat für den AI Adoption and Risk Report 2026 Milliarden realer Datenbewegungen über 222 Unternehmen ausgewertet. Das Ergebnis: 39,7 Prozent aller KI-Interaktionen enthalten sensible Unternehmensdaten. Bei Anthropic Claude laufen 58,2 Prozent der Interaktionen über private Accounts, bei Perplexity sogar 60,9 Prozent. Vollständig außerhalb der Sichtbarkeit der IT.

IBM beziffert im Cost of a Data Breach Report 2025 die Mehrkosten von Vorfällen mit Schatten-KI auf rund 670.000 US-Dollar gegenüber vergleichbaren Vorfällen ohne.

Für CoSnitch heißt das: Ein Unternehmen konnte betroffen sein, ohne Copilot je eingekauft zu haben.

Warum die vorhandenen Kontrollen hier nicht greifen

Die üblichen Werkzeuge setzen an Stellen an, die in diesem Szenario alle umgangen werden.

Tenant-Kontrollen greifen im Tenant. Ein privater Account ist keiner.

Netzwerkbasierte DLP sieht eine verschlüsselte Verbindung zu einem großen, legitimen Anbieter. Genau dieselbe Verbindung entsteht bei jeder harmlosen Nutzung.

Browser-Erweiterungen decken den Browser ab, in dem sie installiert sind. Nicht die Desktop-App, nicht den zweiten Browser, nicht den Agenten im Terminal.

Audit-Logs entstehen dort, wo das Unternehmen Vertragspartner ist. Beim privaten Konto entstehen sie beim Anbieter, nicht bei Ihnen.

Der gemeinsame Nenner: Alle diese Kontrollen sitzen an einem Punkt, den der Nutzer umgehen kann, indem er das Tool wechselt. Der einzige Ort, an dem jede KI-Interaktion vorbeikommt, ist das Gerät selbst.

Das Architekturprinzip: am Endpunkt, vor der Übertragung

Wenn die Kontrolle wirken soll, muss sie dort sitzen, wo die Daten entstehen, und bevor sie das Gerät verlassen. Daraus folgen drei Anforderungen, die zusammengehören.

Erstens muss die Erkennung anbieterunabhängig sein. Wer nur ChatGPT kennt, sieht den Copilot nicht, und wer beide kennt, sieht das nächste Tool nicht, das in sechs Monaten erscheint. Erkennung am Netzwerkverhalten deckt auch das ab, was noch niemand auf eine Liste gesetzt hat.

Zweitens muss sie lokal laufen. Eine Sicherheitsschicht, die Prompts zur Analyse in ihre eigene Cloud schickt, erzeugt genau den Datenabfluss, den sie verhindern soll. Für regulierte Umgebungen ist das ohnehin keine Option.

Drittens muss sie vor der Übertragung entscheiden. Ein Bericht am nächsten Tag dokumentiert, dass Daten abgeflossen sind. Verhindert hat er nichts.

Wie Patronus das umsetzt

Patronus arbeitet als Sicherheitsschicht direkt auf dem Endgerät und sieht dadurch jede KI-Interaktion, unabhängig davon, ob sie über einen Firmen-Account, einen privaten Account, eine Desktop-App oder einen lokalen Agenten läuft.

Inventar zuerst. Die Discovery zeigt, welche KI-Tools auf welchen Geräten tatsächlich genutzt werden, inklusive derer, für die es nie eine Freigabe gab. In den meisten Organisationen ist allein diese Liste die Überraschung.

Inhalte prüfen, bevor sie das Gerät verlassen. PII und Secrets in Prompts werden erkannt und können geschwärzt werden, bevor die Anfrage rausgeht. Prompt Injection wird auch in dem erkannt, was Tools zurückliefern, nicht nur in dem, was der Nutzer tippt.

Policies statt Verbot. Sie legen fest, welches Tool für welche Art von Daten erlaubt ist. Ein Verbot verlagert die Nutzung nur auf das Privatgerät, wo Sie gar nichts mehr sehen.

Die gesamte Analyse passiert on-device. Keine Prompts, keine Dokumente, keine Metadaten verlassen dabei Ihr Unternehmen.

Was Sie jetzt prüfen können

• Wie viele Mitarbeitende nutzen KI-Assistenten über private Accounts, und wissen Sie es oder vermuten Sie es?
• Welche externen Dienste sind mit diesen Accounts verknüpft, insbesondere Mail und Cloud-Speicher?
• Welche Ihrer Kontrollen würden greifen, wenn die nächste Lücke in einer Consumer-Version eines Tools steckt, das Sie nie eingekauft haben?
• Können Sie für einen konkreten Tag nachweisen, welche Unternehmensdaten in KI-Tools eingegeben wurden?

Die letzte Frage ist die, die im Ernstfall gestellt wird.

Sichtbarkeit bekommen

Patronus Protect erscheint in Kürze als Vollversion. Wer auf der Warteliste steht, bekommt den ersten Monat kostenlos: patronus.studio/download.

Für den Einstieg in die Compliance-Seite gibt es unser kostenloses EU-AI-Act-Assessment: 23 Fragen aus dem Originaltext der Verordnung, ein PDF-Report mit priorisierten Findings, ohne Registrierung. Wenn Sie über einen Rollout im Unternehmen sprechen wollen, schreiben Sie uns.

Quellen

• Varonis Threat Labs: CoSnitch, Microsoft Copilot Personal, CVE-2026-24301, gepatcht am 18. August 2026
• The Hacker News: Microsoft Copilot Personal flaws could let one click exfiltrate data from connected apps
• Cyberhaven: AI Adoption and Risk Report 2026
• IBM: Cost of a Data Breach Report 2025