Chrome-Passkeys: Palo Alto warnt vor drei neuen Angriffsmethoden
Veröffentlicht am: 07.08.2026 um 11:30 Uhr | Redaktion boerse-global.de
Der Cybersecurity-Spezialist Palo Alto Networks hat am 6. August 2026 vor neuen, hochentwickelten Angriffsvektoren auf die Passkey-Authentifizierungsprotokolle in Google Chrome gewarnt. Die Experten wiesen darauf hin, dass diese Techniken es Angreifern ermöglichen könnten, digitale Identitäten zu übernehmen, sofern bereits eine Infektion mit Schadsoftware auf dem Zielsystem vorliegt. Die Sicherheitsforscher der Unternehmenseinheit Unit 42 veröffentlichten hierzu detaillierte Berichte, die Schwachstellen in der Art und Weise aufzeigen, wie der Webbrowser Passkeys unter Windows verwaltet.
Drei Techniken zur Umgehung der Authentifizierung
In den ersten Augusttagen präsentierten die Analysten von Unit 42 drei spezifische Angriffsmethoden, die unter dem Oberbegriff „Pass the Passkey“ zusammengefasst werden. Diese Techniken zielen darauf ab, die Synchronisationsmechanismen von Google Chrome auszunutzen. Die Forscher demonstrierten Anfang August, dass diese Angriffe eine Kontoübernahme ermöglichen, ohne dass eine Ausweitung von Benutzerrechten oder eine direkte Interaktion durch den Anwender erforderlich ist.
Die erste Methode, bezeichnet als „Pass-ta-key“, imitiert ein autorisiertes Gerät und nutzt dabei ein gesetztes Flag für die Benutzerverifizierung mit dem Wert Null. Eine zweite Variante mit dem Namen „Silver“ zielt auf die Registrierung eines eigenen Schlüssels durch den Angreifer ab. Die dritte und weitreichendste Methode trägt den Namen „Golden“. Hierbei wird der zentrale Master-Schlüssel extrahiert, um Zugriff auf alle synchronisierten Passkeys zu erhalten.
Der kritische Master-Key im Speicher
Ein zentraler Aspekt der Untersuchung betrifft den sogenannten SDS-Master-Key. Laut Berichten vom 3. August 2026 ist dieser 32-Byte große Schlüssel für die Verschlüsselung aller Google-Passkeys verantwortlich. Die Sicherheitsforscher stellten fest, dass dieser Master-Key im Klartext durch den Speicher von Chrome läuft und somit von Malware extrahiert werden kann.
Was hinter der neuen Technologie steckt, die herkömmliche Passwörter ablösen soll, und wie man sie bei Diensten wie Amazon oder WhatsApp sicher nutzt, erfahren Sie in diesem Ratgeber. Kostenlosen PDF-Report zu Passkeys jetzt anfordern
Besonders kritisch bewerten die Experten den Umstand, dass für diesen SDS-Schlüssel derzeit weder ein Mechanismus zur Rotation noch zum Widerruf vorgesehen ist. Dies erschwert es betroffenen Nutzern erheblich, die Sicherheit ihres Kontos nach einer potenziellen Kompromittierung wiederherzustellen. Die Angriffe betreffen primär die Windows-Version von Chrome auf Systemen, die ein Trusted Platform Module (TPM) verwenden. Trotz der Nutzung dieser Hardware-Sicherheitsfunktionen könne die Schadsoftware die Vaults der Benutzer ohne erhöhte Rechte oder Multi-Faktor-Authentifizierung übernehmen.
Reaktionen der betroffenen Plattformen und Reichweite
Die Untersuchungen zeigten auch Auswirkungen auf große Online-Plattformen. So wurde im Rahmen der Analyse festgestellt, dass eBay Assertions ohne das notwendige Flag für die Benutzerverifizierung (UV-Flag) akzeptierte. Nach der Offenlegung der Schwachstelle durch die Forscher habe das Unternehmen diesen Validierungsfehler behoben. Im Gegensatz dazu habe die Plattform GitHub bereits vor den Veröffentlichungen eine korrekte Validierung durchgeführt.
Wer sich für die Sicherheit seiner digitalen Identität interessiert, erhält in diesem Experten-Bericht eine fundierte Anleitung für die Einrichtung passwortloser Logins. Hier gratis nachlesen, wie Sie Passkeys richtig einsetzen
Google wurde über die Entdeckungen informiert und hat laut Unit 42 bereits Maßnahmen ergriffen, wie etwa die Behebung einer Exposition in den FIDO-Protokollen. Ein Mechanismus zur Schlüsselrotation für den SDS-Master-Key stehe jedoch noch aus. Die Analysten betonten zur Einordnung der Gefahr, dass die Kryptografie der Passkeys selbst nicht gebrochen wurde; stattdessen würden Verfahren rund um die Implementierung und Speicherung ausgenutzt. Ein wichtiger Sicherheitshinweis der Forscher lautet zudem, dass physische Hardware-Sicherheitsschlüssel von diesen spezifischen Angriffsszenarien nicht betroffen sind. Bisher gebe es keine Belege dafür, dass die beschriebenen Methoden bereits aktiv für Angriffe im Internet ausgenutzt wurden.
