Passkey-Sicherheit: Unit 42 entdeckt drei kritische Angriffsvektoren
Veröffentlicht am: 05.08.2026 um 17:21 Uhr | Redaktion boerse-global.de
Sicherheitsforscher der Unit 42 von Palo Alto Networks haben Anfang August Forschungsergebnisse zu drei neuen Angriffsvektoren veröffentlicht, die passkey-geschützte Konten über den Google Password Manager gefährden können. Die Untersuchungen zeigen, dass trotz der fortschrittlichen Sicherheitsarchitektur von Passkeys Schwachstellen in der Implementierung unter Windows existieren. Betroffen ist demnach die Nutzung von Google Chrome auf Windows-Systemen, die mit spezieller Malware infiziert sind.
Drei dokumentierte Post-Compromise-Angriffsmethoden
Die Experten der Unit 42 identifizierten drei spezifische Techniken, um den Schutz des Google Password Managers zu umgehen. Diese wurden unter den Bezeichnungen Pass-ta-key, Silver und Golden dokumentiert. Die Angriffe setzen voraus, dass ein Windows-PC bereits durch Malware kompromittiert wurde, erfordern jedoch laut den Forschern keine Ausweitung von Benutzerprivilegien auf dem System.
Bei der Basis-Methode „Pass-ta-key“ wird der Identitätsschlüssel exportiert. In Tests der Sicherheitsforscher funktionierte dieses Verfahren beispielsweise auf der Handelsplattform eBay, da dort eine spezifische Prüfung der sogenannten UV-Flags (User Verification) fehlte. In der Folge hat eBay diese Schwachstelle, welche die Basis-Methode ermöglichte, bereits durch einen Patch behoben.
Die zweite Methode mit dem Namen „Silver“ zielt auf die biometrische Verifizierung ab. Hierbei wird der Password Manager dahingehend getäuscht, dass er eine erfolgreiche biometrische Entsperrung annimmt, obwohl diese tatsächlich nicht stattgefunden hat.
Während Forscher die Implementierung auf PCs untersuchen, bleibt die Technologie hinter Passkeys der wichtigste Schritt, um Passwörter für immer abzulösen. Dieser kostenlose Report zeigt, wie Sie die sichere Anmeldung bei Amazon, Microsoft und WhatsApp jetzt einrichten. Was steckt hinter Passkeys? Jetzt gratis Report sichern
Die „Golden“-Methode und das Risiko dauerhafter Entschlüsselung
Als besonders schwerwiegend stufen die Analysten die „Golden“-Methode ein. Hierbei gelingt es der Malware, den 32-Byte-SDS-Masterschlüssel direkt aus dem Speicher von Chrome zu entwenden. Mit diesem Schlüssel lassen sich sämtliche synchronisierten Passkeys entschlüsseln. Ein besonderes Sicherheitsrisiko besteht laut Unit 42 darin, dass dieser Angriff sowohl bereits existierende als auch zukünftig angelegte Passkeys kompromittiert, da Google keine Rotation für die SDS-Schlüssel (Sensitive Data Storage) vorsieht.
Google hat auf diese Erkenntnisse reagiert, indem das Unternehmen den SDS-Schlüssel aus den System-Logs entfernt hat. Dennoch merken die Forscher an, dass der Schlüssel weiterhin im Arbeitsspeicher verbleibt und somit für die beschriebene Methode zugänglich ist.
Eingrenzung der Betroffenheit und aktuelle Sicherheitslage
Die Untersuchungen von Palo Alto Networks ergaben, dass die Schwachstellen spezifisch für die Windows-Version von Chrome in Verbindung mit dem Trusted Platform Module (TPM) gelten. Systeme mit Android oder macOS sind von diesen speziellen Angriffsvektoren nach derzeitigem Kenntnisstand nicht betroffen.
Angesichts von Millionen gehackten Konten pro Quartal in Deutschland ist der Wechsel zu modernen Authentifizierungsverfahren für den persönlichen Datenschutz unumgänglich. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie sich per Fingerabdruck oder Gesichtserkennung sicher und stressfrei einloggen. Kostenlosen Passkey-Ratgeber hier herunterladen
Obwohl die dokumentierten Methoden zeigen, dass Endpunkt-Malware ein ernsthaftes Risiko darstellt, betonen die Sicherheitsexperten, dass Passkeys grundsätzlich weiterhin als sicherer einzustufen sind als herkömmliche Passwörter. Die Angriffe wurden bereits vor der Veröffentlichung an Google gemeldet. Bisher wurden laut Unit 42 keine Fälle beobachtet, in denen diese Schwachstellen in freier Wildbahn aktiv von Angreifern ausgenutzt wurden.
Google selbst hat die Ergebnisse der Forscher bisher nicht öffentlich kommentiert. Fachleute weisen darauf hin, dass die Sicherheit von Passkeys maßgeblich von der Integrität des verwendeten Endgeräts abhängt und Malware-Infektionen die Wirksamkeit moderner Authentifizierungsverfahren untergraben können.
