Pass-the-Passkey: Forscher zeigen Angriffsmethoden auf Windows
Veröffentlicht am: 27.07.2026 um 14:03 Uhr | Redaktion boerse-global.de
Die als sicher geltende Passwort-Alternative hat Schwachstellen. Forscher zeigen, wie Angreifer digitale Schlüssel klauen können.
„Pass-the-Passkey“: Gefahr für Windows-Nutzer
Kurz vor der Sicherheitskonferenz Black Hat USA veröffentlichte der Forscher Michael Grafnetter Details zu neuen Angriffsmethoden. Unter dem Namen „Pass-the-Passkey“ beschreibt er Techniken, mit denen Hacker die angeblich unkopierbaren digitalen Schlüssel kompromittieren können.
Besonders betroffen: Microsoft-Nutzer. Windows 11 speicherte private Schlüssel zeitweise im Klartext in Ereignisprotokollen. Zudem verhinderte der Identitätsdienst Microsoft Entra ID die unzulässige Wiederverwendung von Schlüsseln nicht ausreichend.
Der Konzern reagierte umgehend. Mitte Juli schloss ein Sicherheitsupdate die kritische Lücke (CVE-2026-34348). Ironisch: Ab dem 1. September will Microsoft Passkeys zum Standard-Login für Cloud-Konten machen.
Krypto-Hack trotz Passkey-Schutz
Dass die Technologie keinen absoluten Schutz bietet, zeigt ein aktueller Vorfall. Am 25. Juli wurde der offizielle Account des Krypto-Projekts Bankr X auf X geknackt – obwohl er durch einen On-Device-Passkey gesichert war.
Die Angreifer verbreiteten betrügerische Links für einen gefälschten Airdrop. Wie sie die Sicherheitsbarriere umgingen, blieb zunächst unklar. Nutzergelder seien nach aktuellem Stand nicht betroffen.
Angesichts der komplexen Bedrohungslage bei Windows-Konten ist der richtige Einsatz moderner Sicherheitsfeatures entscheidend. Erfahren Sie in diesem kostenlosen Report, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sicher einrichten und nutzen. Passkey-Ratgeber jetzt kostenlos herunterladen
Die Fachwelt unterscheidet zwischen cloudbasierten und Hardware-Passkeys. Erstere lassen sich zwischen Geräten synchronisieren und sind potenziell über das Cloud-Konto angreifbar. Bei Hardware-Tokens verlassen private Schlüssel den Chip nicht. Allerdings können auch ältere Modelle durch spezialisierte Angriffe wie die EUCLEAK-Methode geklont werden.
GMX und Web.de schalten Passkeys frei
Trotz der Erkenntnisse treiben große Anbieter den Rollout voran. Am 23. Juli aktivierten GMX und Web.de Passkeys für rund 38 Millionen Kunden in Deutschland, Österreich und der Schweiz.
Nutzer loggen sich nun per Fingerabdruck, Gesichtsscan oder Geräte-PIN ein. Das Passwort bleibt als Rückfalloption bestehen – Sicherheitsexperten raten jedoch, es nach erfolgreicher Einrichtung zu deaktivieren.
Auch Google zieht nach: Der Konzern integriert FIDO2-Schlüssel und Telefon-Passkeys in den Google Credential Provider für Windows. Unternehmen können so strengere Richtlinien für die Zwei-Faktor-Authentifizierung durchsetzen.
Während herkömmliche Passwörter ein massives Sicherheitsrisiko darstellen, bietet die neue Generation der Anmeldung einen deutlich besseren Schutz vor Hackern. Dieser Gratis-Ratgeber erklärt die sichere Alternative, mit der Sie sich künftig bequem per Fingerabdruck oder Gesichtserkennung anmelden. Kostenlosen Guide für passwortloses Einloggen sichern
Phishing-Welle: 146 Prozent mehr SMS-Angriffe
Die Dringlichkeit für sichere Verfahren zeigt die aktuelle Bedrohungslage. Im ersten Halbjahr 2026 stieg SMS-Phishing in einzelnen Regionen um 146 Prozent. Besonders Kunden der DKB und Sparkassen standen im Visier koordinierter Kampagnen.
Erfolge gegen die Infrastruktur gelangen dennoch: BKA und FBI schalteten über 200 Server des Phishing-Dienstes „Kratos“ ab. Die Plattform wurde von 1.800 Tätern für monatlich 15.000 Angriffe genutzt.
Neue Bedrohungen tauchen aber kontinuierlich auf. Das Phishing-Kit „CryptoChameleon“ attackiert US-Behörden und Kryptobörsen mit Textnachrichten und Sprachanrufen.
Fachleute betonen: Trotz der neu entdeckten Schwachstellen sind Passkeys sicherer als Passwörter. Die Entwicklung zeigt jedoch: Mit der Evolution der Verteidigung werden auch die Methoden der Angreifer komplexer.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
