Die Schwachstellenkette von Copilot SearchLeak zeigt, wie sich KI-Assistenten von reinen Produktivitätsfunktionen zu neuen Datenzugriffsmethoden entwickeln können, die die Reichweite der Nutzer ausnutzen. Welche Lehren können Verantwortliche für Sicherheit und Compliance daraus ziehen?

Im Juni haben Forscher der Varonis Threat Labs enthüllt Eine kritische Sicherheitslücke in Microsoft 365 Copilot Enterprise mit dem Namen „SearchLeak“. (Verfolgt als …) CVE-2026-42824Angreifer könnten die Schwachstelle ausnutzen, um mit einem einzigen Klick sensible Daten zu stehlen – darunter E-Mails, Multifaktor-Authentifizierungscodes (MFA) und indizierte Dateien.

SearchLeak wurde von Microsoft schnell behoben, bevor es zu realen Angriffen kommen konnte. Der Copilot-Vorfall hat jedoch gezeigt, wie sich KI-Assistenten von reinen Produktivitätsfunktionen zu neuen Datenzugriffsmethoden entwickeln können, die die Reichweite der Nutzer nutzen.

Welche Lehren können Verantwortliche für Sicherheit und Compliance daraus ziehen?

Ein Klick, keine Malware

Die SearchLeak-Schwachstelle zeigt, dass die Sicherheit eines vernetzten KI-Assistenten nur durch die Berechtigungen des Benutzers begrenzt ist. Wird er manipuliert, kann er auf alle Daten zugreifen und diese weitergeben, auf die auch ein Benutzer Zugriff hat.

SearchLeak kombiniert eine relativ neue Klasse von KI-spezifischen Schwachstellen, die als Parameter-zu-prompte Injektion mit zwei klassischen Web-Sicherheitslücken: Einem Race-Condition-Fehler bei HTML-Injection und einem Serverseitige Anforderungsfälschung Problem.

„Jede einzelne Schwachstelle mag beherrschbar erscheinen“, schrieb der Sicherheitsforscher Dolev Taler in einem blog„In Kombination ermöglichen sie einem Angreifer, unbemerkt E-Mails, Sicherheitscodes und andere sensible Inhalte aus dem Postfach, Kalender, SharePoint und OneDrive eines Opfers zu extrahieren – und das alles mit nur einem Klick auf einen harmlos wirkenden Link.“

Experten zufolge war der SearchLeak-Vorfall aufgrund seiner Einfachheit besorgniserregend. „Ein Klick, keine Malware, keine gestohlenen Zugangsdaten“, kommentiert Tim Freestone, Chief Strategy Officer von Kiteworks. „Copilot interpretierte den Inhalt der URL als Anweisung, fand die E-Mail-Adressen oder MFA-Codes und übermittelte sie über ein Bild-Tag an Bing, noch bevor die Antwort vollständig geladen war.“

Risiken der Daten-Governance

SearchLeak hebt die Risiken für die Daten-Governance hervor, die KI mit sich bringt. Vielen Organisationen fehlt nach wie vor ein umfassendes Verständnis darüber, wer Zugriff auf sensible Informationen hat, wie weit diese Informationen geteilt werden oder wie Berechtigungen über verschiedene Geschäftssysteme hinweg zusammenwirken.

Das Problem lag nicht einmal in zu weit gefassten Berechtigungen: Copilot griff lediglich auf die Ressourcen zu, auf die der Nutzer ohnehin Zugriff hatte, erklärt Tristan Shortland, CTO der Infinity Group. „Das Problem ist, wie dieser Zugriff ausgelöst und automatisiert werden kann. Selbst klar definierte Berechtigungen können ausgenutzt werden, wenn die Kontrollmechanismen der KI unzureichend sind.“

AI „Das bewirkt, dass fragmentierte Berechtigungen sich wie ein einheitliches Berechtigungsmodell verhalten“, erklärt Jared Atkinson, Chief Technology Officer bei SpecterOps. IO„Ein Benutzer mag scheinbar harmlosen Zugriff auf Outlook, Teams, SharePoint, GitHub, Salesforce, ServiceNow und Cloud-Plattformen haben. Sobald ein KI-Assistent in der Lage ist, über all diese Plattformen hinweg zu analysieren, könnte die Kombination wesentlich mehr Informationen liefern als jede einzelne Anwendung.“

Mit der Einführung von KI in Unternehmen rückt die Frage nach dem Speicherort von Informationen in den Hintergrund, während es vielmehr darum geht, die Identitäten und Berechtigungsbeziehungen zu verstehen, die deren Kombination ermöglichen, so Atkinson.

KI beseitigt die „Sicherheit durch Verschleierung“, auf die sich viele Organisationen unabsichtlich verlassen, so Dray Agha, Senior Manager für Sicherheitsoperationen bei Huntress. „Ohne strenge Datenverwaltung ermöglichen KI-Tools es Mitarbeitern – oder kompromittierten Konten – auf kinderleichte Weise, sensible Informationen, die zuvor im Datenrauschen von Unternehmensnetzwerken verborgen waren, sofort zu finden und zusammenzufassen.“

Wachsende Angriffsfläche

Da Agenten immer mehr Anwendungen umfassen, wächst die Angriffsfläche aufgrund der zunehmenden Anzahl von Datenquellen, Aktionen und komplexen Angriffsketten. Vor diesem Hintergrund prognostiziert Shortland von der Infinity Group, dass es künftig weniger einzelne, schwerwiegende Schwachstellen und mehr mehrstufige Angriffe in den Bereichen KI, Identität und APIs geben wird.

Heutige KI-Assistenten rufen Informationen ab. Die nächste Generation von KI-Agenten wird laut Atkinson von SpecterOps „Aufgaben über mehrere Geschäftsanwendungen hinweg ausführen und Aktionen in E-Mails, Quellcode-Repositories, Cloud-Plattformen, Ticketsystemen, CRM-Plattformen, Identitätsanbietern und anderen Unternehmensdiensten koordinieren“.

Diese Autonomie wird laut seiner Aussage zu einer breiteren Nutzung delegierter Befugnisse führen. „Agenten erhalten delegierte Anmeldeinformationen, Dienstidentitäten oder anwendungsspezifische Berechtigungen, die es ihnen ermöglichen, Aktionen auszuführen, die der Benutzer nicht direkt ausführen könnte. Dies birgt neue Risiken für unbeabsichtigte Datenoffenlegung, Rechteausweitung oder Missbrauch, wenn delegierte Berechtigungen nicht sorgfältig verwaltet werden.“

Gewinnen Sie die Kontrolle zurück

Da KI-Agenten weiterhin Risiken für Unternehmen darstellen, können Sicherheits- und Compliance-Verantwortliche einige einfache Schritte unternehmen, um die Kontrolle zurückzugewinnen und den Wirkungsbereich zu begrenzen, falls ähnliche Probleme wie bei SearchLeak auftreten.

Es ist wichtig zu beachten, dass eine einfache Zugriffssperre nicht ausreicht. „Ein Verbot lenkt die Nutzung lediglich auf private Konten aus, wo man noch weniger Einblick hat“, sagt Freestone von Kiteworks.

Statt sich bei KI zurückzuhalten, rät Shortland von der Infinity Group dazu, die Technologie „wie eine Abstraktionsschicht mit hohen Privilegien“ zu behandeln.

„In der Praxis bedeutet das eine strenge Einschränkung dessen, was Copilot indizieren und abrufen kann: Nicht nur Benutzerberechtigungen, sondern auch der Umfang der KI-Abfrage.“

Shortland rät außerdem zur Segmentierung sensibler Datenquellen. „Gehen Sie nicht davon aus, dass alles über Graph auffindbar sein muss.“

Unternehmen können unterdessen ungewöhnliche Suchmuster überwachen und das implizite Vertrauen in interne Bereiche reduzieren, rät er. „SearchLeak funktionierte, weil der Link legitim aussah. Kurz gesagt: Gehen Sie davon aus, dass KI irgendwann getäuscht werden kann, und berücksichtigen Sie dies bei Ihrer Entwicklung.“

KI-Zugriffsverwaltung

Wie der SearchLeak-Vorfall zeigt, lässt sich ein KI-Assistent nicht vollständig vor Manipulationen schützen. Daher ist die wichtigste Kontrollmaßnahme die Beschränkung seines Zugriffs. Transparenz spielt dabei eine entscheidende Rolle.

Sicherheitsverantwortliche sollten laut Atkinson von SpecterOps erfassen, wo KI-Agenten eingesetzt werden, unter welchen Identitäten sie agieren und welche delegierten Anmeldeinformationen oder Dienstidentitäten sie erhalten. „Menschliche Benutzer, Dienstkonten, Anwendungsidentitäten und KI-Agenten sollten alle als Teil desselben Identitätsökosystems betrachtet werden.“

Während ISO 27001 Es wurde nicht für KI entwickelt, seine Steuerungselemente lassen sich laut Freestone von Kiteworks „direkt auf die SearchLeak-Angriffskette abbilden“. Zum Beispiel: Anhang A.9 Zugangskontrolle hätte ausgelotet, was Copilot erreichen kann.A.12.4 Protokollierung und Überwachung „das hätte den Exfiltrationsversuch in Echtzeit sichtbar gemacht“, betont er. „Und A.8.2 Informationsklassifizierung hätte verhindert, dass regulierte Inhalte eine festgelegte Grenze überschreiten.“

Der Standard bietet zwar die Kontrollmechanismen, aber es fehlt der Rahmen, um festzulegen, was KI-Systeme überhaupt tun dürfen, erklärt er. Genau da liegt das Problem. ISO 42001 , der internationale Standard für KI-Managementsysteme, kommt ins Spiel.

Dies erfordert Folgenabschätzungen vor dem Einsatz, menschliche Kontrollmechanismen und eine explizite Behandlung KI-spezifischer Risiken, einschließlich unmittelbarer Manipulation und unbeabsichtigtem Modellverhalten.

„Das ist genau die Bedrohungskategorie, die SearchLeak darstellt“, sagt Freestone. „ISO 27001 deckt die Sicherheitskontrollen und die Prüfnachweise ab. ISO 42001 deckt die Governance-Entscheidungen ab, die diesen Kontrollen vorgelagert sind. Die Aufsichtsbehörden erwarten zunehmend beides.“

Erweitern Sie Ihr Wissen

Guide: Sicherung der KI-Angriffsfläche

Blog: Die Suspendierung von Anthropic ist ein Weckruf für das Risiko von KI-Lieferanten.

Blog: Das Cyberrisikomanagement ist fragmentiert – so lässt es sich beheben.