Pass-the-Passkey: SpecterOps enthüllt Identitätsübernahme in Windows
Veröffentlicht am: 10.08.2026 um 20:02 Uhr | Redaktion boerse-global.de
Passkeys gelten in der IT-Sicherheitsbranche als wegweisende Technologie für die passwortlose Authentifizierung und als robustes Mittel gegen Phishing-Angriffe. Neue Forschungsergebnisse, die im August 2026 veröffentlicht wurden, zeigen jedoch, dass auch diese Systeme spezifische Angriffsflächen bieten. Drei voneinander unabhängige Analysen belegen Sicherheitslücken in den Implementierungen von Microsoft und Google, die unter anderem die Übernahme privilegierter Identitäten und die Extraktion kryptografischer Schlüssel ermöglichen.
SpecterOps identifiziert Schwachstelle in Windows-Umgebungen
Im Rahmen der Fachkonferenz Black Hat USA stellten Experten des Sicherheitsunternehmens SpecterOps am 5. August eine neue Angriffsmethode namens „Pass-the-Passkey“ vor. Dieser Exploit nutzt eine spezifische Sicherheitslücke im Windows-Betriebssystem aus, die unter der Kennung CVE-2026-34348 geführt wird. Die Schwachstelle wurde mit einem CVSS-Score von 6.5 bewertet, was eine mittlere bis hohe Kritikalität signalisiert.
Trotz neuer Forschungsergebnisse zu Schwachstellen bleibt die Abkehr von klassischen Passwörtern ein zentraler Baustein für moderne IT-Sicherheit. Was genau hinter der Technologie steckt, die Passwörter langfristig ablösen soll, erfahren Sie in diesem kostenlosen Report. Die Technologie hinter Passkeys jetzt gratis verstehen
Nach Angaben der Forscher erlaube dieser Mechanismus die Identitätsübernahme von Nutzern mit erweiterten Berechtigungen. Damit wird ein zentrales Sicherheitsversprechen von Passkeys in Unternehmensnetzwerken herausgefordert. Die Analyse verdeutlicht, dass die technische Umsetzung innerhalb des Betriebssystems Angreifern unter bestimmten Bedingungen Zugriff auf eigentlich geschützte Authentifizierungsdaten gewähren könne.
Schwachstellen bei der Synchronisierung und biometrischen Anmeldung
Parallel zu den Erkenntnissen von SpecterOps veröffentlichte die Forschungsgruppe Unit 42 Ergebnisse zu einer Technik mit der Bezeichnung „Golden Pass-ta-key“. Diese Untersuchung konzentriert sich auf den Google Password Manager und dessen Synchronisierungsfunktionen. Den Analysen zufolge sei es möglich, private Schlüssel aus Passkeys wiederherzustellen, die über den Google-Dienst zwischen verschiedenen Geräten abgeglichen werden. Da das Sicherheitskonzept von Passkeys darauf basiert, dass private Schlüssel das ursprüngliche Gerät idealerweise nie verlassen sollten, stellt die Wiederherstellbarkeit durch Dritte ein erhebliches Risiko dar.
Ein weiterer Forschungsbeitrag des Experten Mollema befasst sich mit der Sicherheit von Windows Hello for Business. Die Untersuchung zeigt auf, dass Malware in der Lage sein könne, dort hinterlegte kryptografische Schlüssel zu verwenden, ohne dass eine erneute Authentifizierung durch den rechtmäßigen Anwender erforderlich sei. Dies würde bedeuten, dass ein bereits infiziertes System die Sicherheitsvorteile der biometrischen Sperre umgehen könnte, um im Namen des Nutzers auf geschützte Ressourcen zuzugreifen.
Da allein in Deutschland pro Quartal Millionen von Online-Konten durch klassische Angriffe kompromittiert werden, ist der Wechsel auf sicherere Anmeldeverfahren trotz neuer Herausforderungen wichtiger denn je. Dieser Ratgeber zeigt Ihnen, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp für mehr Sicherheit einrichten. Kostenlosen Passkey-Leitfaden hier herunterladen
Microsoft implementiert erste Gegenmaßnahmen
Die betroffenen Softwarehersteller wurden über die Forschungsergebnisse informiert. Microsoft hat nach vorliegenden Berichten bereits reagiert und entsprechende Gegenmaßnahmen angewendet, um die identifizierten Schwachstellen in seinen Systemen zu schließen. Die Veröffentlichungen unterstreichen die Notwendigkeit einer kontinuierlichen Überprüfung von Authentifizierungsstandards, selbst wenn diese als inhärent sicher gegenüber klassischen Angriffsszenarien wie Passwort-Diebstahl gelten. Experten weisen darauf hin, dass insbesondere die Synchronisierung über Cloud-Dienste und die lokale Schlüsselverwaltung in den Betriebssystemen kritische Punkte in der Sicherheitsarchitektur bleiben.
