Passkey-Angriffe: Unit 42 knackt Google Password Manager

Sicherheitsforscher haben drei spezifische Angriffsvektoren identifiziert, die eine erfolgreiche Umgehung von Passkey-Authentifizierungsprotokollen ermöglichen. Obwohl die Technologie grundsätzlich als resistent gegen klassische Phishing-Versuche gilt, belegen aktuelle Analysen von Mitte August 2026, dass die Sicherheit unter bestimmten Bedingungen gefährdet sein kann. Dies betrifft insbesondere Szenarien, in denen Endgeräte bereits durch Schadsoftware kompromittiert wurden.

Neue Angriffstechniken gegen den Google Password Manager

Anfang August veröffentlichte das Sicherheitsteam Unit 42 Details zu drei neuen Angriffstechniken namens „Pass-ta-key“, „Silver“ und „Golden“. Diese richten sich gezielt gegen Passkeys, die im Google Password Manager innerhalb des Chrome-Browsers auf Windows-Systemen mit einem Trusted Platform Module (TPM) verwaltet werden.

Besonderes Augenmerk liegt dabei auf der „Golden“-Variante. Nach Angaben der Forscher ist es bei diesem Verfahren möglich, ein 32-Byte großes „Security Domain Secret“ aus dem Chrome-Speicher zu extrahieren. Mit diesem Geheimnis lassen sich sämtliche synchronisierten Passkeys entschlüsseln. Ein kritischer Aspekt dieser Schwachstelle ist das Fehlen eines Rotationsmechanismus für das betroffene Sicherheitsmerkmal. Google reagierte auf den Bericht, indem das entsprechende Geheimnis aus den Protokolldateien entfernt wurde. Zudem schloss das Unternehmen eBay im gleichen Kontext eine bestehende Validierungslücke. Für die bei Google identifizierten Schwachstellen wurde jedoch keine spezifische CVE-Nummer vergeben.

Fokus auf kompromittierte Geräte und Betriebssystem-Berechtigungen

Die Experten von Unit 42 betonten, dass diese Angriffe eine bereits auf dem Zielgerät vorhandene Malware voraussetzen. Bis zum 10. August 2026 konnten laut den Analysten keine aktiven Ausnutzungen der „Pass-ta-key“-Angriffe in freier Wildbahn beobachtet werden. Dennoch verdeutlichen die Erkenntnisse eine konzeptionelle Herausforderung: Während Passkeys effektiv vor Phishing schützen, bieten sie keinen vollständigen Schutz, wenn das zugrunde liegende Gerät bereits infiziert ist.

Angesichts von rund 4,7 Millionen gehackten Online-Konten pro Quartal in Deutschland suchen viele Nutzer nach sichereren Alternativen zum klassischen Passwort. Dieser kostenlose Report zeigt Ihnen, wie Sie die neue Technologie bei Amazon, Microsoft oder WhatsApp korrekt einrichten. Passkey-Technologie verstehen und sofort einrichten

Ein wesentlicher Faktor unter Windows ist, dass Anwendungen häufig mit umfassenden Berechtigungen ausgeführt werden. Dies kann es Schadsoftware ermöglichen, auf Passkey-Daten zuzugreifen. Zudem weisen Branchenbeobachter darauf hin, dass die FIDO2-Spezifikationen keine obligatorische Speicherung im TPM vorschreiben, weshalb die meisten Plattformen Passkeys lokal sichern.

Weitere Forschungsergebnisse auf Branchenkonferenzen

Das Thema der Passkey-Sicherheit stand auch im Zentrum internationaler Sicherheitskonferenzen im August 2026. Auf der Black Hat USA präsentierte Michael Grafnetter über 20 verschiedene Techniken, die Auswirkungen auf Windows 11, Microsoft Entra ID sowie gängige Browser haben. Bereits im Juli hatte Microsoft mit einem Update auf eine Schwachstelle reagiert und den Protokollierungsfehler CVE-2026-34348 behoben.

Wer sich mit moderner Kontensicherheit befasst, erkennt schnell, dass veraltete Login-Verfahren ein unnötiges Risiko darstellen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie sich per Fingerabdruck oder Gesichtserkennung anmelden und Hackern damit keine Chance mehr lassen. Kostenlosen Passkey-Ratgeber jetzt herunterladen

Parallel dazu wurden auf dem USENIX Security Symposium Forschungsergebnisse der Cornell University vorgestellt. Eine Studie mit 31 Teilnehmern untersuchte die Auswirkungen der Technologie im Kontext von häuslicher Gewalt. Die Ergebnisse deuten darauf hin, dass die Mehrheit der Betroffenen Schwierigkeiten hatte, unbefugte Logins durch Angreifer zu identifizieren oder fremde Passkeys aus ihren Konten zu entfernen.

Diese Entwicklungen unterstreichen, dass die Implementierung und Verwaltung von Passkeys trotz ihrer technologischen Vorteile gegenüber klassischen Passwörtern weiterhin kontinuierliche Sicherheitsanpassungen erfordert, um auch gegen komplexe Bedrohungsszenarien und den Missbrauch von Zugriffsrechten bestehen zu können.

de | wissenschaft | 69946107 |