Google Passkeys: Masterschlüssel im Chrome-Speicher kompromittiert
Veröffentlicht am: 05.08.2026 um 18:32 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben mehrere Schwachstellen in Googles Passwort-Manager unter Windows entdeckt. Angreifer könnten demnach an nicht widerrufbare Master-Schlüssel für synchronisierte Passkeys gelangen.
Das Forschungsteam Unit 42 von Palo Alto Networks hat drei verschiedene Angriffsmethoden identifiziert, die gemeinsam als „Pass-ta-key" bezeichnet werden. Sie zielen auf die Sicherheitsarchitektur der passwortlosen Authentifizierung im Chrome-Browser ab. Besonders betroffen: Nutzer von Windows-Systemen.
Der „Golden Attack": Ein Schlüssel, der nicht getauscht werden kann
Die schwerwiegendste der entdeckten Schwachstellen trägt den Namen „Golden" Pass-ta-key-Angriff. Sie richtet sich gegen das sogenannte Security Domain Secret (SDS) – einen 32-Byte-Masterschlüssel, mit dem Google Passkeys schützt und zwischen Geräten synchronisiert. Die Forscher fanden heraus, dass dieser Schlüssel in den Prozessspeicher von Chrome gelangt, wo ihn Schadsoftware auslesen kann.
Wer sich mit den neuen Standards der passwortlosen Anmeldung befasst, sollte die Sicherheitsmechanismen hinter der Technologie genau kennen. Dieser kostenlose Report zeigt, wie Passkeys bei Diensten wie Amazon oder Microsoft funktionieren und worauf bei der Einrichtung zu achten ist. Was steckt hinter Passkeys? Jetzt gratis Report lesen
Gelingt Angreifern der Zugriff auf den SDS, können sie sämtliche synchronisierten Passkeys des Nutzers entschlüsseln. Besonders heikel: Der Master-Schlüssel lässt sich aktuell weder rotieren noch widerrufen. Ist er einmal kompromittiert, bleiben alle bestehenden – und möglicherweise auch künftige – synchronisierte Passkeys dauerhaft gefährdet.
Zwei weitere Angriffswege entdeckt
Neben dem Speicherleck beschreibt das Forschungsteam zwei weitere Szenarien:
- Pass-ta-key (Basic): Hierbei nutzt Schadsoftware stillschweigend einen im Trusted Platform Module (TPM) gespeicherten Identitätsschlüssel, um Logins durchzuführen – ohne dass eine Biometrie-Abfrage ausgelöst wird.
- Silver Attack: Diese Methode ist komplexer. Angreifer versuchen, benutzerverifizierte Schlüssel neu zu registrieren oder zu fälschen, indem sie den Passwort-Manager dazu bringen, eine unbefugte Verifizierung zu akzeptieren.
Bei ihren Untersuchungen stießen die Forscher zudem auf ein Implementierungsproblem bei eBay: Die Passkey-Authentifizierung des Online-Marktplatzes prüfte das User-Verified-Flag nicht korrekt. Dadurch war der Basic-Angriff gegen eBay-Konten erfolgreich. Laut den am 5. August 2026 veröffentlichten Erkenntnissen hat eBay den Validierungsfehler inzwischen behoben.
Angesichts von Millionen gehackter Konten pro Quartal suchen viele Nutzer nach Wegen, ihre digitale Identität ohne klassischen Passwort-Stress abzusichern. Erfahren Sie in diesem Ratgeber, wie Sie die neue Generation der Anmeldung sicher auf Ihren Geräten nutzen. Kostenlosen Passkey-Ratgeber herunterladen
Googles Reaktion: Härtung, aber Kernrisiko bleibt
Google hat auf die Ergebnisse reagiert und den Passwort-Manager angepasst: Das Security Domain Secret wurde aus den Diagnoselogs entfernt. Branchenbeobachter merken jedoch an, dass das Kernrisiko bestehen bleibt – der Schlüssel muss für die Synchronisierungsfunktion weiterhin im Systemspeicher vorhanden sein.
Die Schwachstellen betreffen ausschließlich Googles Passwort-Manager auf Windows-Systemen mit TPM-Schlüsselspeicher. Android-Geräte sind den Forschungsergebnissen zufolge nicht betroffen. Auch physische Hardware-Sicherheitsschlüssel bleiben von den speicherbasierten Extraktionsmethoden verschont.
Was Nutzer jetzt tun sollten
Da alle drei Pass-ta-key-Methoden Schadsoftware auf dem Zielgerät voraussetzen, empfehlen Sicherheitsexperten einen soliden Endpoint-Schutz und aktuelle Anti-Malware-Lösungen. Unternehmen sollten zudem sicherstellen, dass ihre Webanwendungen das User-Verified-Flag bei der Passkey-Authentifizierung strikt validieren.
