EchoLeak: Der erste Zero-Click-KI-Angriff auf Microsoft 365 Copilot

Einleitung

Jahrelang waren „Zero-Click“-Exploits das Thema von Skandalen um mobile Spyware. Angreifer konnten ein Telefon ohne einen einzigen Tipp oder Klick kompromittieren, ohne dass die Opfer etwas davon bemerkten. Nun hat dieses Konzept zum ersten Mal auch Einzug in die Welt der künstlichen Intelligenz gehalten.

Forscher von Aim Labs haben eine schwerwiegende Schwachstelle in Microsoft 365 Copilot entdeckt, die sie EchoLeak genannt haben. Der Fehler, der auf der CVSS-Schweregradskala mit 9,3 bewertet wurde, zeigt, wie KI-Assistenten dazu gebracht werden können, heimlich sensible Informationen preiszugeben, ohne dass der Benutzer etwas tun muss.

Was macht EchoLeak so besonders?

Herkömmliche Cyberangriffe erfordern in der Regel eine Aktion des Benutzers: das Öffnen eines Anhangs, das Anklicken eines bösartigen Links oder die Installation einer betrügerischen App. EchoLeak erfordert nichts davon. Stattdessen nutzt es die Art und Weise aus, wie Copilot den ihm zugeführten Kontext interpretiert.

Das Beunruhigende daran: Copilot betrachtet nicht nur Ihre Anfrage. Es ruft auch umgebende Informationen (E-Mails, Dokumente, Teams-Chats, OneDrive-Dateien) ab, um umfassendere Antworten geben zu können. EchoLeak schmuggelt Anweisungen auf eine Weise in diesen Kontext, die Sie niemals bemerken würden: versteckter Text, Metadaten, sogar Formatierungsfehler. Wenn Copilot die Anfrage verarbeitet, befolgt es unwissentlich die eingebetteten Befehle des Angreifers.

Das Ergebnis? Sensible Unternehmensdaten können gepackt und an den Server eines Angreifers gesendet werden, während der Endbenutzer denkt, dass Copilot lediglich ein Dokument zusammenfasst.

Wie sich der Exploit entwickelt

1. Der Angreifer sendet eine scheinbar normale E-Mail, ein Dokument oder eine Teams-Nachricht. Darin versteckt, oft in Metadaten, unsichtbarem Text oder Formatierungstricks, befinden sich Anweisungen, die nur für die KI bestimmt sind. Menschen werden nichts Ungewöhnliches bemerken. Dieser „versteckte Köder” ist der erste Schritt zur Manipulation der KI.
2. Ein Empfänger bittet Copilot, eine Routineaufgabe auszuführen: das Dokument zusammenzufassen, einen Bericht zu erstellen oder nach Informationen zu suchen. Aus menschlicher Sicht ist dies völlig normal. Die KI tut, was sie tun soll, verarbeitet Inhalte und liefert hilfreiche Ergebnisse.
3. Während Copilot die Anfrage des Benutzers ausführt, liest und befolgt es auch die versteckten Befehle. Es ruft sensible Informationen aus E-Mails, Chats, SharePoint, OneDrive oder anderen internen Ressourcen ab. Der Benutzer merkt davon nichts, da die KI still im Hintergrund arbeitet.
4. Copilot sendet die gesammelten Informationen an den Server des Angreifers, während es den Anschein hat, als würde es die ursprüngliche Aufgabe des Benutzers ausführen. Es erscheinen keine Pop-ups, Phishing-Links oder Fehlermeldungen, es gibt nichts, was den menschlichen Bediener alarmieren könnte.
5. KI-Assistenten wie Copilot sind so konzipiert, dass sie Daten aus vertrauenswürdigen internen Quellen beziehen. EchoLeak nutzt dieses Vertrauen gegen das Unternehmen aus und ermöglicht es Angreifern, die KI als unbeabsichtigten Insider zu nutzen, der interne Daten und externen Zugriff miteinander verbindet.

Warum das wichtig ist

Die Auswirkungen gehen weit über Microsoft Copilot hinaus. EchoLeak zeigt, dass genau die Eigenschaften, die KI-Assistenten nützlich machen – ihr Kontextbewusstsein, ihre Fähigkeit, Verbindungen zwischen großen Datensätzen herzustellen – auch Schwachstellen sind.

Für Unternehmen bedeutet dies eine Gefährdung der sensibelsten Datenspeicher:

• Finanzteams könnten mit der Veröffentlichung von Budgetentwürfen oder M&A-Dokumenten konfrontiert werden.
• Gesundheitsorganisationen riskieren, dass Patientendaten durch KI-gestützte Zusammenfassungen nach außen gelangen.
• Anwaltskanzleien könnten vertrauliche Informationen verlieren, ohne jemals einen Verstoß zu vermuten.

Echos vergangener Bedrohungen

Sicherheitsexperten kommt diese Geschichte vielleicht bekannt vor. Vor zwei Jahrzehnten nutzte SQL-Injection das versteckte Vertrauen zwischen Anwendungen und Datenbanken aus. EchoLeak wirkt wie sein geistiger Nachfolger, nur dass das Ziel jetzt nicht mehr eine Datenbank ist, sondern das in Unternehmenstools eingebettete „KI-Gehirn”.

Wie SQL-Injection nutzt EchoLeak weniger fehlerhaften Code als vielmehr falsche Annahmen aus: dass Eingaben harmlos sind und dass unsichtbare Anweisungen ignoriert werden.

Die Reaktion von Microsoft

Microsoft hat die Sicherheitslücke gepatcht und meldet keine Hinweise auf eine aktive Ausnutzung. Die bestehenden Abwehrmaßnahmen des Unternehmens, Redaktionen, Inhaltsfilter und Klassifizierungssysteme, reichten in diesem Fall nicht aus, was unterstreicht, dass KI eine eigene Ebene von Sicherheitskontrollen erfordert.

Unternehmen werden dringend aufgefordert, ihre Regeln zur Verhinderung von Datenverlusten (DLP) zu verschärfen, die Arten von Inhalten, auf die Copilot zugreifen kann, zu begrenzen und sensible Dokumente zu kennzeichnen, damit sie von der KI-Verarbeitung ausgeschlossen werden.

Lehren für die Zukunft

Bei EchoLeak geht es weniger um einen einzelnen Fehler als vielmehr um eine neue Kategorie von Risiken. KI-Systeme sind nicht nur passive Werkzeuge, sondern aktive Interpreten von Kontexten. Das macht sie unglaublich leistungsfähig, aber auch einzigartig anfällig.

Sicherheitsteams müssen sich Gedanken machen über:

• KI braucht Leitplanken, die nicht nur bösartigen Code, sondern auch bösartige Eingaben erkennen.
• Begrenzen Sie die Reichweite der KI, damit eine einzige Interaktion nicht alles offenlegen kann.
• Erweitern Sie Zero Trust auf die KI-Ebene und behandeln Sie alle Eingaben als potenziell feindlich.

Kurz gesagt: Bei der Sicherung von KI geht es nicht nur um das Modell, sondern auch darum, die Interaktion zwischen Menschen, Daten und maschineller Intelligenz zu schützen.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-32711

https://www.aim.security/lp/aim-labs-echoleak-m365

https://www.aim.security/aim-labs/aim-labs-echoleak-blogpost

https://www.varonis.com/blog/echoleak

https://socprime.com/blog/cve-2025-32711-zero-click-ai-vulnerability/

https://www.adminbyrequest.com/en/blogs/echoleak-first-known-zero-click-ai-attack-targets-microsoft-copilot

https://www.cybersecuritydive.com/news/flaw-microsoft-copilot-zero-click-attack/750456/

https://securiti.ai/blog/echoleak-how-indirect-prompt-injections-exploit-ai-layer/

https://www.hackthebox.com/blog/cve-2025-32711-echoleak-copilot-vulnerability

https://www.trendmicro.com/en_us/research/25/g/preventing-zero-click-ai-threats-insights-from-echoleak.html