Pass-ta-key: Malware kann Google-Passkeys unter Windows kapern
Veröffentlicht am: 05.08.2026 um 17:43 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben Schwachstellen in FIDO2-Passkeys entdeckt, die lokale Malware ausnutzen kann. Betroffen sind vor allem Google-Synchronisierte Zugangsdaten im Chrome-Browser unter Windows.
Pass-ta-key: Drei Angriffsvektoren aufgedeckt
Die Experten von Palo Alto Networks Unit 42 präsentierten am 5. August ihre Forschungsergebnisse. Sie zeigen: Passkeys, die über den Google Password Manager synchronisiert werden, lassen sich unter bestimmten Bedingungen kapern. Dafür sind keine Administratorrechte, keine Nutzerinteraktion und keine biometrische Verifikation nötig – einzig lokale Malware auf dem Windows-Rechner muss bereits vorhanden sein.
Die Forscher identifizierten drei Angriffsklassen, die sie unter dem Namen Pass-ta-key zusammenfassen. Die Basisvariante extrahiert den Geräteidentitätsschlüssel aus dem Trusted Platform Module (TPM). Damit kann Schadsoftware die Gerätevertrauensstellung missbrauchen, um auf synchronisierte Zugangsdaten zuzugreifen.
Goldener Angriff: Master-Schlüssel im Visier
Eine zweite Methode, als Silver-Angriff kategorisiert, manipuliert den sogenannten User-Verification-Schlüssel während des Re-Enrollment-Prozesses. Das Password Manager wird so getäuscht, dass es auf PIN- oder Biometrie-Abfragen verzichtet.
Am schwerwiegendsten ist jedoch der Golden-Angriff: Er extrahiert einen 32-Byte-Masterschlüssel aus dem Chrome-Speicher oder den Logdateien. Mit diesem Schlüssel können Angreifer sämtliche Passkeys entschlüsseln, die mit dem betroffenen Google-Konto synchronisiert wurden. Das hebelt den Schutz aller verknüpften Dienste aus.
Wer sich mit der Sicherheit seiner Online-Konten befasst, sollte die Hintergründe der neuen passwortlosen Technologien genau kennen. Dieser kostenlose Report zeigt, wie man Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sicher einrichtet und nutzt. Was hinter der neuen Passkey-Technologie steckt – jetzt gratis lesen
eBay als Einfallstor
Besonders brisant: Die Forscher fanden konkrete Schwachstellen bei Drittanbietern. eBay war nach Angaben der Experten anfällig für Kontenübernahmen, weil das System das User-Verification-Flag nicht korrekt validierte. Dadurch konnten unverifizierte Anmeldedaten als legitim durchgehen.
Branchenbeobachter betonen: Passkeys schützen zwar wirksam gegen Remote-Phishing-Angriffe. Die neuen Erkenntnisse zeigen jedoch eine erhebliche Angriffsfläche, sobald Malware bereits auf einem Windows-PC aktiv ist.
Reaktionen: Google und eBay reagieren
Nach der Offenlegung haben Google und betroffene Partner Maßnahmen ergriffen. Google entfernte den Masterschlüssel aus seinen Logdateien, um die Extraktion über diesen Kanal zu unterbinden. eBay schloss die Validierungslücke beim User-Verification-Flag mit einem Patch.
Pro Quartal werden in Deutschland Millionen Online-Konten gehackt, was die Relevanz moderner Sicherheitsverfahren unterstreicht. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie die sichere Alternative zum Passwort nutzen und Hackern keine Chance mehr lassen. Warum immer mehr Nutzer ihre Passwörter komplett abschaffen
Hardware-Schlüssel bleiben sicher
Entwarnung gibt es für Nutzer physischer Sicherheitsschlüssel: Hardware-basierte Sicherheitsschlüssel sind von den spezifischen Hijacking-Methoden nicht betroffen. Die Angriffe zielen ausschließlich auf Software-Implementierungen in Browsern und Passwort-Managern.
Die Forscher betonen, dass die Angriffe eine bereits kompromittierte Umgebung voraussetzen. Der Konsens in der Sicherheitsbranche bleibt daher bestehen: Passkeys bieten weiterhin besseren Schutz vor klassischem Diebstahl von Zugangsdaten als herkömmliche Passwörter.
