Google Password Manager: Drei kritische Angriffspfade auf Passkeys
Veröffentlicht am: 05.08.2026 um 07:32 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten von Unit 42, der Forschungseinheit von Palo Alto Networks, haben Anfang August neue Erkenntnisse zu Sicherheitslücken im Google Password Manager veröffentlicht. Die Untersuchungen zeigen drei spezifische Angriffspfade auf, die es Angreifern ermöglichen könnten, Cloud-synchronisierte Passkeys zu kompromittieren. Laut den Experten betreffen diese Schwachstellen insbesondere Nutzer, die ihre Zugangsdaten über verschiedene Geräte hinweg synchronisieren.
Drei spezialisierte Angriffsmethoden identifiziert
Die Forscher dokumentierten in ihren Berichten vom 3. und 4. August drei unterschiedliche Techniken, mit denen die Sicherheitsmechanismen von Google umgangen werden können. Diese Methoden wurden als Pass-ta-key, Silver und Golden bezeichnet.
Die Pass-ta-key-Methode ermöglicht es Schadsoftware auf Windows-Systemen, eine sogenannte stille Assertion durchzuführen. Dabei können synchronisierte Passkeys entwendet werden, ohne dass der Nutzer eine biometrische Verifikation per Fingerabdruck oder die Eingabe einer PIN vornehmen muss.
Bei der Silver-Technik wird ein vom Angreifer kontrollierter Verifikationsschlüssel eingesetzt, um Zugriff auf die geschützten Konten zu erhalten. Die weitreichendste Methode stellt der Golden-Angriff dar. Hierbei extrahieren die Angreifer das sogenannte 32-Byte Security Domain Secret. Dieser geheime Schlüssel bildet die Grundlage für die Sicherheit der synchronisierten Datenumgebung und ermöglicht im Falle eines Diebstahls den Zugriff auf sämtliche darin gespeicherten Geheimnisse.
Cloud-Synchronisierung als zentraler Angriffsvektor
Die Analysen von Unit 42 verdeutlichen, dass das Risiko primär für Passkeys besteht, die in der Cloud synchronisiert werden. Lokal auf einem Gerät gebundene Passkeys seien von diesen spezifischen Angriffspfaden nach derzeitigem Kenntnisstand nicht betroffen. Dennoch warnen die Experten, dass Malware auf einem Windows-Rechner ausreicht, um passkey-geschützte Konten vollständig zu übernehmen, sofern die Synchronisierungsfunktion aktiv ist.
Wer seine digitalen Konten vor solch komplexen Angriffen schützen möchte, findet in der neuen Passkey-Technologie eine hochsichere Alternative zum klassischen Passwort. Dieser kostenlose Report zeigt, wie Sie Passkeys bei großen Diensten wie Amazon oder WhatsApp sofort einrichten und nutzen können. Gratis-Report: Sicher und passwortlos anmelden
In der praktischen Anwendung zeigten sich die Auswirkungen unter anderem bei dem Handelsplatz eBay. Dort existierte eine Verifikationslücke, die im Zuge der Untersuchungen identifiziert und laut Unit 42 inzwischen behoben wurde. Google selbst hat auf die Erkenntnisse reagiert, indem das Unternehmen das Security Domain Secret aus den Log-Dateien entfernte, um die Angriffsfläche zu verringern.
Aktueller Status und Handlungsempfehlungen
Obwohl die Schwachstellen detailliert beschrieben wurden, liegen derzeit keine Berichte über eine aktive Ausnutzung dieser Lücken in freier Wildbahn vor. Dennoch wiesen Berichte vom 4. August darauf hin, dass Google noch nicht alle identifizierten Schwachstellen durch umfassende Patches vollständig geschlossen habe.
Angesichts von Millionen gehackten Konten pro Quartal ist ein fundiertes Wissen über moderne Absicherungsmethoden für jeden Internetnutzer unerlässlich. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie die Kontrolle über Ihre digitalen Zugänge zurückgewinnen und Hackern keine Chance mehr lassen. Kostenlosen Passkey-Ratgeber jetzt herunterladen
Branchenexperten raten Nutzern des Google Password Managers zu erhöhter Wachsamkeit. Um das Risiko einer Kontoübernahme zu minimieren, werden verschiedene Sicherheitsmaßnahmen empfohlen. Dazu gehört die regelmäßige Überprüfung der Aktivitäten im Google-Konto sowie der Einsatz aktueller Antiviren-Software, um Malware-Infektionen auf Windows-Systemen frühzeitig zu erkennen.
Darüber hinaus wird empfohlen, die Zwei-Faktor-Authentisierung (2FA) zu aktivieren. Für Nutzer mit besonders hohem Sicherheitsbedürfnis könne es zudem ratsam sein, die Synchronisierungsfunktion für Passkeys vorübergehend zu deaktivieren, bis umfassende Sicherheitsupdates des Herstellers zur Verfügung stehen. Die Erkenntnisse unterstreichen die anhaltende Debatte über die Sicherheit von passwortlosen Authentifizierungsverfahren, wenn diese für den Nutzungskomfort über Cloud-Dienste verteilt werden.
