Sicherheitslücke bei OneDrive & SharePoint: Wenn eine Datei-Freigabe zum Datenleck wird
🎯 Schon mal einer App Zugriff auf eine Datei gegeben – und gedacht, das war´s?
„Du hast einer App Zugriff auf eine Datei in OneDrive gegeben – und plötzlich kann sie deine ganze Ordnerstruktur durchschnüffeln?“
Klingt wie ein Albtraum? Genau das war bis vor Kurzem durch eine bisher kaum beachtete Sicherheitslücke in Microsofts OneDrive und SharePoint Online möglich.
Und das Risiko betrifft mehr Menschen, als man denkt – besonders, wenn du moderne Tools wie ChatGPT mit Cloudzugriff nutzt.
🔍 Was genau ist passiert?
Die Sicherheitsforscher von Oasis Security haben eine gefährliche Schwachstelle in Microsofts sogenanntem File Picker entdeckt. Das ist die Schnittstelle, über die Drittanbieter-Apps – also z. B. KI-Tools, Automatisierungen oder Webdienste – Zugriff auf deine Dateien bekommen.
Normalerweise sieht das so aus:
👉 Du klickst in der App auf „Datei aus OneDrive auswählen“, wählst gezielt eine Datei aus, und die App bekommt Zugriff – nur auf diese Datei. So die Theorie.
Aber hier liegt der Haken:
🧨 In der Praxis können Apps darüber oft auf deutlich mehr Inhalte zugreifen, als du freigegeben hast.
Das bedeutet konkret:
- Die App kann auch andere Dateien im selben Ordner sehen
- Sie bekommt Metadaten wie Dateinamen, Änderungsdatum oder Ordnerstruktur
- Und in bestimmten Fällen kann sie sogar Dateien verändern oder löschen
Ohne dass du davon etwas bemerkst.
🏢 Warum auch SharePoint betroffen ist
Viele Unternehmen nutzen nicht nur OneDrive, sondern auch SharePoint Online – z. B. für geteilte Teamlaufwerke, Projektordner oder zentrale Dokumentenspeicher.
Was viele nicht wissen:
OneDrive und SharePoint teilen sich die gleiche technische Basis (Microsoft Graph API).
➡️ Das heißt: Wenn du eine Datei über OneDrive freigibst, kann diese Datei tatsächlich auf einer SharePoint-Teamseite liegen – etwa in einem Projektordner.
Die Folge:
Eine App, der du Zugriff auf eine Datei gibst, kann im schlimmsten Fall das ganze SharePoint-Teamlaufwerk einsehen.
🤖 Was hat das mit ChatGPT zu tun?
Nehmen wir an, du nutzt ChatGPT oder ein KI-Plugin, um ein OneDrive-Dokument analysieren zu lassen. Vielleicht sogar mit automatischer Verbindung zu deinem Microsoft-Konto.
Klingt praktisch, oder?
Aber:
➡️ Sobald du ChatGPT (oder einer angebundenen App) Zugriff über den File Picker gibst, kann sie in bestimmten Fällen auf mehr als nur dieses Dokument zugreifen.
Beispielsweise auf andere Dateien, interne Notizen, alte Versionen – alles, was im gleichen Ordner oder SharePoint-Bereich liegt.
✅ Was kannst du tun?
Hier sind konkrete Tipps, wie du dich schützt:
- Gib nur Apps Zugriff, denen du 100 % vertraust.Achte genau darauf, welche Berechtigungen du erteilst – und hinterfrage, was im Hintergrund passiert.
- Verwalte deine Freigaben aktiv.In den Einstellungen deines Microsoft-365-Kontos kannst du App-Zugriffe verwalten und entfernen.
- Vermeide OneDrive-Verknüpfungen in sensiblen KI-Tools.Besonders wenn du berufliche oder persönliche Daten speicherst.
- Nutze „Least Privilege“-Richtlinien in der Admin-Konsole.Wenn du Administrator bist, setze Grenzen für API-Zugriffe auf Organisationsebene.
💬 Fazit: Weniger ist manchmal mehr – beim Teilen
Die File-Picker-Lücke zeigt: Was wie eine gezielte Freigabe aussieht, kann im Hintergrund zu einem massiven Sicherheitsproblem werden.
Gerade in Zeiten von KI-Tools wie ChatGPT ist Transparenz über Datenzugriffe wichtiger denn je.
Wenn du Apps Zugriff gibst, dann am besten nur bewusst, gezielt – und regelmäßig geprüft.
🔐 Du brauchst Hilfe beim Absichern deiner Cloud-Anwendungen oder möchtest deine Microsoft-365 Umgebung fit für KI machen?
👉 Sprich mit uns bei DIGITELLI – wir helfen dir verständlich, praxisnah und sicher.
Quellen: https://www.oasis.security/blog/onedrive-file-picker-security-flaw-oasis-research
