Schwachstelle in Microsoft Copilot Personal: Datenabfluss über „Reprompt“

Sicherheitsforscher haben eine Angriffsmethode mit dem Namen „Reprompt“ beschrieben, mit der sich Schutzmechanismen in Microsoft Copilot Personal umgehen ließen. In der Folge konnten Angreifer unter bestimmten Umständen sensible Nutzerdaten ausleiten. Besonders kritisch: Für den Angriff reichte es aus, wenn Betroffene auf einen präparierten Link klickten – ohne weitere Eingaben oder zusätzliche Interaktionen. Microsoft hat die Schwachstelle inzwischen geschlossen.

So funktionierte der Angriff: drei Techniken, die ineinandergreifen

Die „Reprompt“-Methode basierte auf einer Kette aus drei aufeinander aufbauenden Ansätzen:

1. Parameter-to-Prompt-Injection (P2P): Über den URL-Parameter „q“ konnten Angreifer Copilot Anweisungen übergeben. Dieser Parameter ist eigentlich dafür gedacht, Suchanfragen in Links vorzufüllen. Durch einen speziell gestalteten Link konnte Copilot Befehle so verarbeiten, als wären sie vom Nutzer selbst eingegeben worden.

2. Double-Request-Technik: Die Schutzmechanismen von Copilot griffen demnach nur beim ersten Durchlauf einer Anfrage zuverlässig. Die Forscher umgingen das, indem sie Copilot anwiesen, Aktionen zweimal auszuführen. Während im ersten Durchlauf Inhalte noch gefiltert wurden, war die Datenübertragung im zweiten Durchlauf möglich.

3. Chain-Request-Technik: Nach dem initialen Aufruf konnte ein Angreifer-Server schrittweise weitere Befehle nachliefern. Copilot führte diese nacheinander aus und übermittelte dabei nach und nach verschiedene Informationen – beispielsweise Zeitzone und Standort, aber auch Gesprächsverläufe und persönliche Daten.

Ein Klick genügte – und die Session konnte im Hintergrund weiterlaufen

Nach Angaben von Varonis benötigte die Angriffskette lediglich den Klick auf einen legitimen Microsoft-Link. Zusätzliche Plugins, Konnektoren oder weitere Nutzeraktionen waren nicht erforderlich. Problematisch war außerdem, dass die Session selbst nach dem Schließen des Copilot-Tabs aktiv bleiben konnte, sodass eine Datenübertragung im Hintergrund weiterlief.

Da die eigentlichen Befehle nicht komplett im Link steckten, sondern dynamisch vom Angreifer-Server nachgeladen wurden, ließ sich der bösartige Zweck nicht einfach durch einen kurzen Blick auf den Link erkennen. Auch clientseitige Sicherheitslösungen hatten es schwer, diesen dynamischen Austausch zuverlässig zu erfassen.

Wer war betroffen – und was ist der aktuelle Stand?

Betroffen war ausschließlich Microsoft Copilot Personal. Laut Microsoft waren Enterprise-Kunden von Microsoft 365 Copilot nicht gefährdet. Microsoft hat die Schwachstelle nach eigenen Angaben geschlossen; als behoben gilt sie seit dem 14. Januar 2026.

Empfehlungen: worauf Anbieter und Nutzer achten sollten

Sicherheitsexperten raten KI-Anbietern, externe Eingaben grundsätzlich als nicht vertrauenswürdig zu behandeln und Schutzmechanismen über die gesamte Ausführungskette hinweg konsequent aufrechtzuerhalten – nicht nur beim ersten Request.

Für Nutzer gilt weiterhin: Links nur aus vertrauenswürdigen Quellen öffnen und – wo möglich – vorausgefüllte Prompts prüfen, bevor sie ausgeführt werden.