prompt injections.de
News · Analyse

EchoLeak: Was Betreiber aus dem ersten Zero-Click-Fall lernen

· Gökhan Köse

EchoLeak ist die unter CVE-2025-32711 geführte Schwachstelle in Microsoft 365 Copilot, über die eine einzige präparierte E-Mail genügte, damit der Assistent bei einer späteren, gewöhnlichen Nutzeranfrage Inhalte aus dem Kontext des Opfers nach außen gab. Die National Vulnerability Database bewertet sie mit einem CVSS-Basiswert von 9.3 als kritisch; Microsoft behob sie serverseitig, ein Eingriff durch Kunden war nicht nötig.1 Für Betreiber ist der Fall aus einem Grund weiterhin der wichtigste Referenzpunkt: Er zeigt, welche Schutzannahmen bei indirekter Prompt Injection nicht tragen.

Schaubild: System-Prompt, RAG-Treffer, Verlauf, Dateien und Werkzeug-Ausgaben liegen gemeinsam im Kontextfenster und verlassen es über einen Ausgangskanal.

Der Hergang

Der Angriffsweg war der klassische indirekte: Die Anweisung stand nicht in der Eingabe des Nutzers, sondern in Fremddaten, die der Assistent im Auftrag des Nutzers verarbeitete — hier in einer E-Mail im angebundenen Postfach. Der veröffentlichten Analyse zufolge wurden dabei mehrere Schutzschichten nacheinander umgangen, darunter ein Klassifikator für Injektionsversuche und die Bereinigung ausgehender Links.2 Niemand musste die Mail öffnen oder auf etwas klicken. Deshalb die Bezeichnung Zero-Click.

Drei Lehren

Erstens: Sensibilisierung greift hier nicht. Awareness-Schulungen setzen an einer Nutzerentscheidung an — dem Klick, dem Anhang, der Freigabe. Bei EchoLeak gab es keine. Wo ein Assistent Fremdinhalte automatisch verarbeitet, verschiebt sich die Verantwortung vollständig zum Betreiber des Systems.

Zweitens: Der Ausgangskanal ist die eigentliche Stellschraube. Ein manipuliertes Modell schadet erst, wenn es Daten nach außen tragen kann. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt als typische Kombination genau diese drei Bedingungen: Zugriff auf private Informationen, Verarbeitung von Inhalten aus nicht vertrauenswürdigen Quellen und ein möglicher Abflusspfad, etwa das Nachladen von Bildern aus dem Internet.3 Wer den dritten Punkt schließt, entwertet die ersten beiden. → Tödliche Trias · Datenexfiltration über Markdown-Bilder

Drittens: Gestaffelte Filter erhöhen den Aufwand, sie ersetzen keine Rechtebegrenzung. In EchoLeak lagen mehrere Erkennungsschichten vor dem Ziel, und der Angriff kam trotzdem durch. Ein Klassifikator ist ein Wahrscheinlichkeitsurteil über Text, keine Zugriffskontrolle. → Least Privilege für LLM-Anwendungen · Guardrails: Wirkung und Grenzen

Was 2026 dazugekommen ist

Das Muster wiederholt sich in neueren Produktfällen. Im April 2026 veröffentlichte Capsule Security unter dem Namen ShareLeak eine indirekte Prompt Injection in Microsoft Copilot Studio, geführt als CVE-2026-21520 mit CVSS 7.5. Betroffen war eine verbreitete Konfiguration: Agenten, die durch SharePoint-Formulare ausgelöst werden. Der Inhalt eines Kommentarfelds gelangte ohne Bereinigung direkt neben die Systemanweisung des Agenten. Demonstriert wurde der Abfluss von Kundendaten — Namen, Adressen, Telefonnummern — an eine vom Angreifer kontrollierte Adresse. Microsoft lieferte den Fix am 15. Januar 2026, rund 52 Tage nach der Meldung. Bemerkenswert ist die Beobachtung der Forscher, dass Daten selbst dann abflossen, wenn die Sicherheitsmechanismen die Anfrage bereits als auffällig markiert hatten.4

Ebenfalls bemerkenswert: Dass für eine Prompt Injection in einer Agenten-Plattform überhaupt eine CVE-Kennung vergeben wurde, bezeichnen die Entdecker als ungewöhnlich.4 Genau daran hängt ein praktisches Problem für Betreiber. Ohne Advisory und Kennung erfahren sie von einer Klasse von Schwachstellen, die ihre Datenbestände betrifft, oft nur über Blogbeiträge. Die Cloud Security Alliance empfiehlt deshalb, die Frage nach Offenlegungs- und CVE-Praxis bei Prompt Injection in Lieferanten-Fragebögen aufzunehmen.5

Konsequenz für den Betrieb

Aus EchoLeak folgt keine neue Schutztechnik, sondern eine Priorisierung: Der Assistent bekommt nur die Rechte, die seine Aufgabe verlangt; ausgehende Kanäle — Links, Bild-Rendering, Mailversand, Werkzeugaufrufe — werden eingeschränkt und protokolliert; riskante Aktionen brauchen eine menschliche Freigabe. Das BSI führt diese Maßnahmen unter Model Action Privilege Minimization und Human Action Guardrail, OWASP unter Rechtekontrolle und Freigabe bei risikoreichen Aktionen.36 → Agenten absichern · Vorfall-Chronik: EchoLeak

Quellen

  1. NIST National Vulnerability Database: CVE-2025-32711, veröffentlicht 11.06.2025. https://nvd.nist.gov/vuln/detail/CVE-2025-32711 ↩
  2. Reddy, Gujral: EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System, arXiv:2509.10540. https://arxiv.org/abs/2509.10540 ↩
  3. BSI: Evasion Attacks on LLMs — Countermeasures in Practice, Version 1.0, 06.11.2025. https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/KI/Evasion_Attacks_on_LLMs-Countermeasures.pdf ↩
  4. Capsule Security: ShareLeak: Taking the Wheel of Microsoft's Copilot Studio (CVE-2026-21520), 15.04.2026. https://www.capsulesecurity.io/blog-post/shareleak-taking-the-wheel-of-microsofts-copilot-studio-cve-2026-21520 ↩
  5. Cloud Security Alliance: Indirect Prompt Injection Goes Operational, Forschungsnotiz, 26.04.2026. https://labs.cloudsecurityalliance.org/research/csa-research-note-indirect-prompt-injection-in-the-wild-2026/ ↩
  6. OWASP GenAI Security Project: LLM01:2025 Prompt Injection. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ ↩

Im Zusammenhang