Passkey-Lücken: Drei Forscherteams knacken Microsoft-Authentifizierung
Veröffentlicht am: 11.08.2026 um 19:13 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben mehrere Methoden gefunden, um Passkey-Authentifizierung zu umgehen – ein Schlag für die Branche, die den Standard als nahezu unknackbar bewarb.
Gleich drei Forschungsteams präsentierten Anfang August Angriffsszenarien auf Passkeys – die vielgepriesene Alternative zu Passwörtern. Die Experten von SpecterOps, Palo Alto Networks und der unabhängige Analyst Dirk-jan Mollema zeigen: Selbst ohne Kompromittierung der kryptografischen Grundlagen lässt sich der Schutz aushebeln. Betroffen sind vor allem Unternehmen, die auf Microsoft-Umgebungen und Cloud-Synchronisierung setzen.
Angriff auf Microsofts Authentifizierungskette
Die Forscher von SpecterOps deckten eine Schwachstellenkette in Windows und Microsoft Entra ID auf. Angreifer können signiertes Authentifizierungsmaterial wiederverwenden, um sich als hochprivilegierte Nutzer auszugeben. Statt den privaten Schlüssel zu stehlen, werden sogenannte Relay-Assertions abgefangen und erneut eingesetzt.
Microsoft hat inzwischen mit Gegenmaßnahmen reagiert. Doch die Migrationsanleitung für Entra ID beschreibt Passkeys weiterhin als resistent gegen klassische Replay-Angriffe. Die Forschungsergebnisse legen nahe, dass bestimmte Konfigurationen anfällig für ausgefeilte Wiederverwendungsangriffe bleiben.
Wer sich mit der Sicherheit moderner Login-Verfahren befasst, sollte die Hintergründe dieser Technologie genau kennen. Dieser kostenlose Report zeigt, wie Passkeys bei Diensten wie Amazon oder Microsoft funktionieren und wie man sie trotz neuer Risiken sicher einrichtet. Was steckt hinter Passkeys? Jetzt gratis Report lesen
„Pass-ta-key": Malware kapert Chrome-Passkeys
Die Sicherheitsexperten von Palo Alto Networks präsentierten mit „Pass-ta-key" eine Angriffsserie auf den Google Password Manager im Chrome-Browser unter Windows. Im Fokus: Geräte mit Trusted Platform Module (TPM). Bereits auf dem System vorhandene Schadsoftware kann demnach den Cloud-synchronisierten Passkey-Dienst missbrauchen.
Besonders brisant: Selbst Schadsoftware ohne Administratorrechte kann ein vertrauenswürdiges Gerät vortäuschen und gültige Authentifizierungsantworten anfordern. Die Forscher identifizierten einen Weg, private Schlüssel synchronisierter Passkeys wiederherzustellen – ohne dass der Nutzer per Biometrie oder PIN eingreifen muss.
Lücke bei Hardware-gebundenen Schlüsseln
Der unabhängige Forscher Dirk-jan Mollema demonstrierte parallel eine Schwachstelle bei hardware-gebundenen Windows Hello for Business-Schlüsseln. Läuft Malware in einer aktiven Windows-Sitzung, kann sie den gespeicherten Schlüssel nutzen, ohne erneut eine PIN oder biometrische Bestätigung anzufordern.
Da Experten monatlich Millionen gehackte Konten registrieren, gewinnt die passwortlose Anmeldung zunehmend an Bedeutung. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie die neue Methode per Fingerabdruck oder Gesichtserkennung sicher für Ihre Konten nutzen können. Passwort-Stress beenden: Kostenlosen PDF-Ratgeber herunterladen
Das offenbart eine grundlegende Schwäche der Sitzungssicherheit: Der Faktor „etwas, das du bist" oder „etwas, das du weißt" wird nach dem initialen Login nicht bei jeder sensiblen Aktion erneut geprüft.
Kritische Lücke im Event-Logging geschlossen
Im Zuge der Untersuchungen entdeckten die Forscher zudem eine kritische Schwachstelle im Windows Event Logging Service (CVE-2026-34348). Microsoft bewertet den Fehler mit einem CVSS-Score von 6,5 und hat ein Sicherheitsupdate veröffentlicht.
Die Korrektur der Logging-Lücke erfolgte separat von den Backend-Updates für die Passkey-Relay-Problematik. Microsoft bedankte sich für die koordinierte Offenlegung der Schwachstellen und versicherte, die Umgebungen von Entra ID und Windows gegen die neuen Umgehungstechniken gehärtet zu haben.
Für Unternehmen bedeutet das: Die Umstellung auf passwortlose Authentifizierung ist kein Selbstläufer. Die neuen Angriffsvektoren zeigen, dass Passkeys allein keine vollständige Sicherheit garantieren – insbesondere in Umgebungen mit Cloud-Synchronisierung und aktiven Benutzersitzungen.
