Passkey-Sicherheit: Malware kann Google-Konten ohne PIN übernehmen
Veröffentlicht am: 03.08.2026 um 22:11 Uhr | Redaktion boerse-global.de
Drei neue Angriffspfade gefährden passwortloses Login – Malware kann Passkeys kapern.
Sicherheitsforscher von Unit 42, der Bedrohungsanalyse-Abteilung von Palo Alto Networks, haben am heutigen Montag Schwachstellen im Google Password Manager offengelegt. Die Angriffsmethoden zielen auf die Synchronisierung von Passkeys in Chrome unter Windows ab – insbesondere auf Systeme mit Trusted Platform Module (TPM)-Hardware. Für deutsche Nutzer ist das relevant: Passkeys gelten als Zukunft des sicheren Logins, doch die neuen Erkenntnisse zeigen: Auch passwortlose Verfahren sind nicht unangreifbar.
Drei Angriffspfade, ein Ziel: Die Passkey-Übernahme
Die Forscher identifizierten drei Methoden – „Pass-ta-key", „Silver Pass-ta-key" und „Golden Pass-ta-key" – mit denen Schadsoftware Passkey-geschützte Konten übernehmen könnte. Das Besondere: Ein Angriff wäre ohne jegliche Nutzerinteraktion möglich. Weder Fingerabdruck-Scan noch PIN-Eingabe würden benötigt, um die Sicherheitsmechanismen der passwortlosen Authentifizierung auszuhebeln.
Die Angriffspfade setzen allerdings voraus, dass sich bereits Malware auf dem Gerät des Opfers befindet. Ist das der Fall, erlaubt „Pass-ta-key" das Extrahieren gerätespezischer Schlüssel aus dem TPM. Die „Silver"-Variante registriert einen Angreifer-kontrollierten Verifikationsschlüssel, während „Golden Pass-ta-key" auf das Auslesen eines 32-Byte langen Security Domain Secret aus dem Arbeitsspeicher abzielt.
Wer sich mit der Sicherheit seiner digitalen Konten befasst, sollte die Hintergründe der neuen Login-Technologien genau verstehen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sicher einrichten. Was hinter Passkeys steckt jetzt gratis nachlesen
Ungeschützte Daten auf der Festplatte
Ein Kernproblem: Chrome speichert bestimmte Passkey-Metadaten derzeit unverschlüsselt lokal. Mit Zugriff auf das Security Domain Secret könnten Angreifer sämtliche synchronisierten Passkey-Privatkeys extrahieren. Unit 42 betont, dass dies eine neuartige Angriffsfläche für passwortlose Systeme darstellt – ausgerechnet in einer Phase, in der die Branche verstärkt auf FIDO2-Standards und Passkeys setzt.
Erste Gegenmaßnahmen, offene Baustellen
Bislang wurden keine CVE-Identifikatoren vergeben, und es gibt keine Hinweise auf Angriffe in freier Wildbahn. Dennoch haben mehrere Anbieter bereits reagiert: Google hat seine FIDO-Logs angepasst und das Security Domain Secret entfernt. GitHub verschärfte die Nutzerverifikation, eBay schloss eine im Forschungsprozess entdeckte Validierungslücke.
Ein wunder Punkt bleibt: Der Master-Schlüssel der Sicherheitsdomäne kann derzeit nicht rotiert werden. Sicherheitsexperten sehen darin ein langfristiges Risiko für die Integrität der Zugangsdaten.
Angesichts von Millionen gehackten Konten pro Quartal in Deutschland suchen viele Nutzer nach einer sichereren Alternative zum klassischen Passwort. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie die neue Technologie für maximale Sicherheit und stressfreie Anmeldung auf allen Geräten nutzen. Kostenlosen Passkey-Ratgeber herunterladen
Passkeys im Höhenflug – und unter Beschuss
Die Entdeckung kommt in einer Zeit rasanter Verbreitung: Rund 11 Millionen Workspace-Nutzer haben inzwischen Zugang zu Passkey-Funktionen. Parallel führt Google mit Device Bound Session Credentials (DBSC) eine offene Beta für Chrome unter Windows ein, um Session-Cookie-Diebstahl zu verhindern.
Deepfakes knacken biometrische Hürden
Nur wenige Tage zuvor sorgte ein anderes Experiment für Aufsehen: Ein Red Team von Reality Defender schaffte es Ende Juli, synthetische, KI-generierte Gesichter in Googles biometrischen Kontoschutz einzuschleusen. Kommerziell verfübe Face-Swapping-Software genügte demnach, um die Lebenderkennung in zwei Fällen zu überwinden. Zwar handelte es sich nicht um echten Identitätsdiebstahl, doch die Erkenntnis ist brisant: Die Erkennung von Deepfakes bei der biometrischen Registrierung muss dringend verbessert werden.
Branchenweite Baustellen
Auch andere Passwort-Manager stehen in der Kritik. Forscher der ETH Zürich und der Universität Lugano (USI) identifizierten mehrere Schwachstellen in Zero-Knowledge-Verschlüsselungsmodellen von Anbietern wie Bitwarden, LastPass und Dashlane. Während Dashlane die kritischste Lücke bereits geschlossen hat, fordern die Forscher die konsequente Einführung neuester kryptografischer Standards für alle Nutzer.
Die Entwicklungen zeigen: Passkeys bieten zwar starken Schutz gegen klassisches Phishing, doch die zugrunde liegenden Synchronisierungs- und Registrierungsmechanismen bleiben ein lohnendes Ziel für fortgeschrittene Malware – und die biometrischen Hürden sind offenbar niedriger als gedacht.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
