EchoLeak: Zero-Click-Datenabfluss aus Microsoft 365 Copilot (CVE-2025-32711)
EchoLeak gilt als erster öffentlich dokumentierter Zero-Click-Prompt-Injection-Angriff auf ein produktives KI-System: Eine einzige präparierte E-Mail genügte, damit Microsoft 365 Copilot bei einer späteren, völlig normalen Nutzeranfrage Inhalte aus dem Kontext des Opfers nach außen gab — ohne dass jemand die Mail öffnen oder auf etwas klicken musste.
- Zeitpunkt
- Juni 2025
- Betroffenes System
- Microsoft 365 Copilot
- Wirkung
- Abfluss von Inhalten aus dem Kontext des Opfers ohne jede Nutzerinteraktion
- Kennung
- CVE-2025-32711, CVSS-Basiswert 9.3 (kritisch)
- Stand der Behebung
- Serverseitig durch Microsoft behoben
- Primärquelle
- nvd.nist.gov
Der Fall ist ein belegtes Beispiel für Prompt Injection in produktiven Systemen. Die Darstellung ist sachlich und erklärend; sie enthält keine Reproduktionsanleitung. Weitere Fälle stehen in der Vorfall-Übersicht.
Was passiert ist
Die Schwachstelle wurde vom Forschungsteam von Aim Security veröffentlicht und in der National Vulnerability Database als CVE-2025-32711 mit einem CVSS-Basiswert von 9.3 als kritisch geführt.
Der Angriffsweg ist der klassische indirekte: Die Anweisung steckt nicht in der Nutzereingabe, sondern in Fremddaten, die der Assistent im Auftrag des Nutzers verarbeitet — hier in einer E-Mail im angebundenen Postfach.
Der veröffentlichten Analyse zufolge wurden dabei mehrere Schutzschichten nacheinander umgangen, darunter ein Klassifikator für Injektionsversuche und die Bereinigung ausgehender Links.
Microsoft behob die Lücke serverseitig; ein Eingriff durch Kunden war nicht erforderlich.
Was der Fall zeigt
- Zero-Click bedeutet: Es gibt kein Nutzerverhalten, das den Angriff verhindert hätte. Sensibilisierung von Mitarbeitenden greift hier nicht.
- Je mehr Quellen ein Assistent lesen darf — Postfächer, Dateien, Chats —, desto mehr Kanäle stehen als Injektionsvektor offen.
- Gestaffelte Filter erhöhen den Aufwand, ersetzen aber keine Begrenzung dessen, was das System nach außen senden darf.
Verwendete Technik
-
Zero-Click-Injektion
Angriffsklasse, die ganz ohne Zutun des Opfers auskommt: Das Zustellen eines Inhalts in ein vom Assistenten durchsuchtes System genügt, um Injektion und Datenabfluss auszulösen.
Risiko hoch -
Injektion über E-Mail
Eine präparierte E-Mail genügt: Sobald ein Assistent das Postfach durchsucht oder zusammenfasst, gelangen die eingebetteten Anweisungen in seinen Kontext — ohne dass der Nutzer die Mail öffnen muss.
Risiko hoch -
Datenabfluss über präparierte Links
Die Antwort des Assistenten enthält einen scheinbar hilfreichen Link, in dessen Parametern vertrauliche Daten stecken — ein Klick des Nutzers genügt für den Abfluss.
Risiko hoch
Quellen
- NIST National Vulnerability Database: CVE-2025-32711: https://nvd.nist.gov/vuln/detail/CVE-2025-32711
- Reddy, Gujral: EchoLeak — The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System (arXiv:2509.10540): https://arxiv.org/abs/2509.10540