Passkeys: Cornell-Studie deckt kritische Sicherheitslücke auf
Veröffentlicht am: 15.08.2026 um 20:01 Uhr | Redaktion boerse-global.de
Eine aktuelle Untersuchung der Cornell University legt erhebliche Sicherheitsmängel bei der Verwendung von Passkeys offen. Die im Rahmen der 35. Ausgabe des USENIX Security Symposiums in Baltimore vorgestellte Studie zeigt, dass die Technologie in bestimmten sozialen Kontexten, insbesondere bei häuslicher Gewalt, missbraucht werden kann. Angreifer mit physischem Zugriff auf Geräte können demnach unbemerkt eigene Zugangsberechtigungen hinterlegen.
In der Mitte August veröffentlichten Studie mit dem Titel „Maybe There's Only One Passkey?“ weisen Forscher der Cornell University und der University of Toronto auf eine kritische Schwachstelle im Umgang mit der FIDO2-Architektur hin.
Die Untersuchung unterstreicht, dass Passkeys, die eigentlich als sichere Alternative zu herkömmlichen Passwörtern konzipiert wurden, ein erhebliches Risiko für Personen in missbräuchlichen Partnerschaften darstellen können.
Missbrauch durch registrierte Biometrie
Den Ergebnissen zufolge erlaubt es die aktuelle Implementierung von Passkeys, dass ein Angreifer mit temporärem Zugriff auf den Computer und das Passwort eines Opfers einen eigenen Passkey registrieren kann.
Ein zentrales Problem der FIDO2-Architektur besteht darin, dass jeder auf einem Gerät registrierte Fingerabdruck sämtliche auf diesem Gerät hinterlegten Passkeys nutzen kann. Dies bedeutet, dass ein Partner, dessen biometrische Daten einmal im System hinterlegt wurden, vollen Zugriff auf alle mit Passkeys gesicherten Konten erhält.
Wer sich mit den Sicherheitsrisiken moderner Login-Verfahren auseinandersetzt, sollte die Hintergründe der passwortlosen Technologie genau kennen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp einrichten und Ihre Konten optimal absichern. Passkey-Ratgeber jetzt kostenlos herunterladen
Besonders kritisch bewerten die Autoren der Studie, dass Passkeys einen Passwort-Reset überdauern. In den durchgeführten Tests mit 31 Teilnehmern – darunter Studenten, Anwohner und medizinisches Personal – war die Mehrheit der Probanden nicht in der Lage, einen unbefugt angelegten Passkey zu identifizieren oder dauerhaft zu entfernen.
Die Untersuchung wurde von Alaa Daffalla und Nicola Dell von der Cornell University sowie Thomas Ristenpart von der University of Toronto geleitet. Unterstützt wurde das Projekt unter anderem durch die National Science Foundation (NSF), den Google Cyber Award und die Clinic to End Tech Abuse (CETA).
Soziale Tragweite und technologischer Kontext
Die Relevanz dieser Sicherheitslücke wird durch statistische Daten verdeutlicht: Jährlich sind laut der Studie etwa 10-12 Millionen Amerikaner von Partnergewalt betroffen. Dabei melden rund 97 Prozent der entsprechenden Hilfsprogramme in den USA Fälle von technologischem Missbrauch.
Die Forscher warnen davor, dass die einfache Handhabung von Passkeys in diesen Fällen zulasten der Sicherheit geht, da die Betroffenen oft keine Kontrolle darüber haben, welche biometrischen Merkmale den Zugriff auf ihre digitalen Identitäten autorisieren.
Parallel auftretende Datenschutzprobleme in der Branche
Da in Deutschland pro Quartal Millionen Online-Konten von Hackerangriffen betroffen sind, wird die Suche nach sicheren Alternativen zum klassischen Passwort immer dringender. Erfahren Sie in diesem kostenlosen Leitfaden, wie die neue Generation der Anmeldung funktioniert und worauf Nutzer achten müssen. Kostenlosen Report zur sicheren Anmeldung anfordern
Zeitgleich zu den Erkenntnissen über Passkeys geraten auch andere Sicherheitsfunktionen großer Technologieanbieter unter Druck. So wurden in der Branche Berichte über Schwachstellen in Apples iCloud Private Relay bekannt.
Sicherheitsforscher entdeckten Lecks, durch die IP-Adressen und DNS-Server trotz aktiver Verschlüsselung einsehbar blieben. Betroffen seien alle Apple-Plattformen sowie verschiedene Browser unter iOS. Ein Patch hierfür wird für den Herbst 2026 erwartet.
In diesem Zusammenhang sieht sich Apple zudem mit Sammelklagen in den USA konfrontiert. Die Kanzlei Clarkson Law Firm wirft dem Unternehmen unter anderem Betrug und irreführende Werbung vor, da Funktionen wie „E-Mail-Adresse verbergen“ die originalen Adressen teilweise preisgegeben hätten. Diese juristischen Auseinandersetzungen folgen auf frühere Verfahren, in denen Apple bereits 250 Millionen US-Dollar im Zusammenhang mit Datenschutzverletzungen bei Siri zahlte.
Die aktuellen Entwicklungen verdeutlichen, dass sowohl hardwarebasierte Authentifizierungsmethoden als auch softwareseitige Privatsphäre-Dienste zunehmend auf ihre Praxistauglichkeit unter realen Bedrohungsszenarien geprüft werden müssen. Experten raten Nutzern in sensiblen Umgebungen vorerst zur Verwendung von System-VPNs und einer strengen Kontrolle hinterlegter biometrischer Daten.
