EchoLeak-Schwachstelle: Zero-Click-Prompt-Injection führt zu stillem Datenleck bei Microsoft 365 Copilot.

Ereignisübersicht

Im Juni 2026 enthüllte ein Sicherheitsforschungsteam eine Zero-Click-Schwachstelle mit der Nummer CVE-2025-32711, die unter dem Namen EchoLeak bekannt wurde und Microsoft 365 Copilot betrifft. Die Schwachstelle ermöglicht es Angreifern, durch eine sorgfältig konstruierte E-Mail ohne Wissen des Benutzers sensible Daten aus der unternehmensinternen Copilot-Umgebung zu extrahieren. Microsoft hat im Mai 2026 einen serverseitigen Patch veröffentlicht, aber zum Zeitpunkt dieser Veröffentlichung wurden noch keine Fälle einer Ausnutzung in freier Wildbahn bestätigt. Dennoch ist die technische Komplexität und die potenzielle Auswirkung dieser Schwachstelle enorm, sodass sie für alle Unternehmen, die KI-Assistenten einsetzen, von großer Bedeutung ist.

Technische und Risikoanalyse

EchoLeak ist eine indirekte Prompt-Injection-Attacke, die den Kontextvererbungsmechanismus von Retrieval Augmented Generation (RAG)-Systemen ausnutzt. Die Angriffskette ist wie folgt:

1. Injektionsphase: Der Angreifer sendet eine äußerlich normale E-Mail an das Ziel, bettet jedoch in HTML-Kommentaren oder mit weißer Schrift bösartige Prompts ein. Diese Prompts sind für den Benutzer unsichtbar, werden jedoch von der LLM-Engine von Copilot geparst und gespeichert. 2. Auslösephase: Wenn der Benutzer Copilot normal verwendet (z. B. in Word, Outlook oder Teams, um Zusammenfassungen, Analysen oder Informationsabrufe anzufordern), nimmt die RAG-Engine von Copilot historische E-Mails (einschließlich derjenigen mit versteckten Prompts) in das Kontextfenster auf. 3. Ausführungsphase: Der versteckte Prompt wird von der LLM ausgeführt und weist Copilot an, sensible Unternehmensdaten wie E-Mail-Inhalte, Dokumentzusammenfassungen, Teams-Nachrichten usw. zurückzugeben, die dann als normale Antworten an den Benutzer ausgegeben werden. Die Daten können auch über Markdown-Links oder Bilder extern ausgegeben werden, wobei Standard-Korrekturmaßnahmen umgangen werden.

Angreifer können durch „RAG-Spraying“ die Trefferwahrscheinlichkeit erhöhen: Sie senden mehrere E-Mails mit Prompts an mehrere Benutzer; es reicht aus, dass eine dieser E-Mails in den Kontext aufgenommen wird, damit ein Erfolg möglich ist.

• Die Schwachstelle umgeht mehrere Sicherheitsmechanismen von Microsoft:
• XPIA-Umgehung: Umgehung der Erkennung durch den Cross-Prompt-Injection-Angriffs-Klassifikator.
• Link-/Bild-Korrekturumgehung: Nutzung von referenziellem Markdown, um die Inhaltsfilterung zu umgehen.
• CSP-Umgehung: Nutzung erlaubter Domänen (z. B. SharePoint, Teams), um die Content Security Policy zu umgehen.

Gemäß der MITRE ATT&CK-Matrix sind die folgenden Techniken betroffen: T1566.001 (Spear-Phishing-Anhang), T1056 (Eingabeerfassung durch Kontextmanipulation) und T1567 (Exfiltration über Webdienste).

Auswirkungsanalyse für UnternehmenEchoLeak stellt für Unternehmen ein全方位es Risiko dar: - Betriebsrisiko: Angreifer können unbemerkt strategische Dokumente, interne Meeting-Protokolle, Kundendaten usw. stehlen und geschäftliche Entscheidungsprozesse stören. - Datenrisiko: Alle Daten, auf die Copilot zugreifen kann – einschließlich OneDrive, SharePoint, Exchange, Teams – könnten offengelegt werden. - Compliance-Risiko: Unter Regelwerken wie GDPR, CCPA können Datenlecks zu hohen Geldstrafen und behördlichen Überprüfungen führen. - Markenrisiko: Selbst wenn sie nicht öffentlich ausgenutzt werden, können potenzielle Schwachstellen das Vertrauen von Kunden und Partnern untergraben. - Finanzielles Risiko: Die durchschnittlichen Kosten eines Datenlecks werden laut IBM auf über 4 Millionen US-Dollar geschätzt, bei KI-bezogenen Angriffen könnten sie noch höher sein.

Insbesondere für Finanz-, Rechts-, Gesundheits-, Regierungs- und Hightech-Branchen sollte die Risikostufe aufgrund der Verarbeitung hochsensibler Informationen als schwerwiegend eingestuft werden.

Branchentrends

EchoLeak ist kein Einzelfall, sondern ein Symptom der neuen Sicherheitsherausforderungen durch KI. Mit der breiten Einführung RAG-basierter KI-Assistenten (wie Copilot, ChatGPT Enterprise usw.) werden Prompt-Injection-Angriffe von der Theorie zur Realität. Ähnliche Angriffe wurden bereits auf anderen Plattformen als durchführbar nachgewiesen, darunter PDF-Injection, Document Poisoning usw.

• Dieser Trend zeigt:
• Traditionelle Sicherheitsgrenzen versagen: Die Kontextvererbung von LLMs durchbricht die Isolation zwischen E-Mails, Dokumenten und Abfragen.
• Zero-Click-Angriffe werden zum neuen Paradigma: Benutzer können angegriffen werden, ohne auf Links zu klicken oder Anhänge zu öffnen.
• Lieferkettenrisiken erstrecken sich auf das KI-Ökosystem: Die Sicherheit von KI-Plugins von Drittanbietern wirkt sich direkt auf die Unternehmensumgebung aus.

Unternehmen müssen KI-Sicherheit in ihre gesamte Sicherheitsarchitektur integrieren und jeden Modellinteraktionspunkt mit einem Zero-Trust-Ansatz behandeln.

Abwehr- und Handlungsempfehlungen

Auf Unternehmensebene - Patches sofort einspielen: Stellen Sie sicher, dass Microsoft 365 Copilot auf den Server-Patch vom Mai 2026 oder höher aktualisiert wurde. - Kontextquellen einschränken: Verhindern Sie über Verwaltungseinstellungen, dass Copilot auf externe E-Mails zugreift, oder schränken Sie den Dokumentumfang ein. - Prinzip der geringsten Privilegien umsetzen: Stellen Sie sicher, dass Copilot nur auf die minimal notwendigen Daten für die Aufgabenerfüllung zugreifen kann.

Auf technischer Ebene - KI-Sicherheits-Gateway bereitstellen: Überwachen und blockieren Sie verdächtige KI-Ausgaben auf Netzwerkebene und erkennen Sie anomale Datenexfiltration. - E-Mail-Sicherheit verstärken: Nutzen Sie KI-gesteuerte E-Mail-Sicherheitslösungen, um versteckte Prompts (wie HTML-Kommentare, weiße Schrift) zu identifizieren. - Protokollierung aktivieren: Zeichnen Sie Anfragen und Antworten von Copilot auf, um eine spätere forensische Analyse zu ermöglichen.### Managementebene - Erstellung eines KI-Vorfallreaktionsplans: Integrieren Sie Prompt-Injection-Angriffe in IR-Playbooks und legen Sie klare Schritte zur Erkennung, Eindämmung und Wiederherstellung fest. - Durchführung von Sicherheitsschulungen: Informieren Sie Mitarbeiter über verdächtige Copilot-Antworten, wie z. B. unaufgeforderte Datenzusammenfassungen. - Regelmäßige Risikobewertung: Führen Sie spezifische Risikobewertungen für KI-Assets durch, mit besonderem Fokus auf Drittanbieter-Integrationen.

SecurityPost Insight

Die EchoLeak-Schwachstelle offenbart einen grundlegenden Mangel in der Sicherheitsarchitektur aktueller KI-Assistenten: RAG-Systeme vertrauen Kontextinhalten unterschiedslos. Obwohl Microsoft schnell reagiert hat, werden ähnliche Risiken auch in anderen LLM-Anwendungen auftreten. Unternehmensentscheider müssen erkennen, dass KI-Sicherheit kein technisches Problem ist, das mit Patches gelöst werden kann, sondern ein strategisches Thema, das ein neu gestaltetes Vertrauensmodell und eine angepasste Datenflussarchitektur erfordert.

In Zukunft erwarten wir weitere Angriffsmethoden auf RAG-Systeme, einschließlich multimodaler Prompt-Injection, kontextübergreifender Kontamination von Anwendungen usw. Organisationen wird empfohlen, sofort ihre KI-Lieferkette zu bewerten, eine kontinuierliche Bedrohungsüberwachung einzurichten und sich aktiv am Informationsaustausch in Sicherheits-Communities zu beteiligen. Nur wenn KI-Sicherheit in die Geschäftskontinuitätsplanung eingebettet wird, kann die Widerstandsfähigkeit gegenüber der nächsten Generation von Bedrohungen gewährleistet werden.

---

• Quellen:
• Offenlegung durch Rescana Security Research Team: https://www.rescana.com/post/cve-2025-32711-zero-click-echoleak-vulnerability-in-microsoft-365-copilot-enables-stealth-data-exfiltration-via-prompt-i
• Microsoft Security Response Center: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-32711
• NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2025-32711