Passkeys: 67 Prozent der Systeme anfällig für Spoofing
Veröffentlicht am: 18.08.2026 um 05:18 Uhr | Redaktion boerse-global.de
In der IT-Sicherheitsbranche gelten Passkeys als die vielversprechendste Lösung, um das klassische Passwort abzulösen. Eine aktuelle Untersuchung der Cornell University, die Mitte August auf dem 35. USENIX Security Symposium in Baltimore vorgestellt wurde, zeichnet jedoch ein kritisches Bild der derzeitigen Implementierungen.
Die Forscher unter der Leitung von Alaa Daffalla sowie den Senior-Autoren Nicola Dell und Thomas Ristenpart identifizierten signante Defizite bei der Benutzerführung und der technischen Absicherung von Passkey-Schnittstellen.
Usability-Hürden und Sicherheitsrisiken durch Spoofing
Die von der National Science Foundation (NSF) und durch den Google Cyber Award geförderte Studie untersuchte unter anderem die Interaktion von 31 Probanden mit Passkey-Systemen. Dabei zeigte sich, dass die Teilnehmer häufig nicht nachvollziehen konnten, wer die Kontrolle über die kryptografischen Schlüssel ausübt. Diese mangelnde Transparenz in den Benutzeroberflächen führt zu erheblichen Unsicherheiten in der praktischen Anwendung.
Noch schwerwiegender wiegen die technischen Befunde der Forscher: Bei einer Prüfung von 100 verschiedenen Schnittstellen stellten sie fest, dass 67,2 % der untersuchten Implementierungen anfällig für Spoofing-Angriffe waren. Solche Schwachstellen ermöglichen es Angreifern, legitime Anmeldevorgänge zu manipulieren oder vorzutäuschen, was den eigentlichen Sicherheitsvorteil der Technologie untergräbt.
Sicherheitslücken in WebKit und Cloud-Diensten
Parallel zur Cornell-Studie machten die Sicherheitsforscher Talal Haj Bakry und Tommy Mysk auf weitere technische Schwachstellen aufmerksam. Sie entdeckten drei Lücken innerhalb der WebKit-Engine, die unter anderem die Bereiche DNS-Prefetching, WebAuthn und WebTransport betreffen.
Diese Schwachstellen ermöglichen es, das Sicherheits-Feature iCloud Private Relay zu umgehen. In der Folge können die IP-Adresse oder DNS-Informationen des Nutzers offengelegt werden.
Betroffen von diesem Risiko sind Geräte mit iOS 26.0 oder höher sowie aktuelle macOS-Versionen. Während herkömmliche VPN-Dienste laut den Forschern nicht von diesen spezifischen WebKit-Lücken betroffen sind, bietet das Tool Psylo in der Version 1.3.1 bereits einen Schutz gegen diese Ausspähversuche. Berichten zufolge steht eine offizielle Reaktion des Herstellers Apple auf diese Meldungen derzeit noch aus.
Wer sich mit der neuen Technologie befasst, sollte die Hintergründe der passwortlosen Anmeldung genau kennen. Ein kostenloser Report zeigt, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sicher einrichten und nutzen. Kostenlosen Passkey-Ratgeber jetzt herunterladen
Bedrohung durch spezialisierte Malware
Auch die Sicherheitsanalysten von Unit 42 (Palo Alto Networks) warnten Anfang August vor neuen Angriffstechniken. Unter den Bezeichnungen Pass-ta-key, Silver und Golden beschreiben sie Methoden, mit denen auf Google-Konten synchronisierte Passkeys kompromittiert werden können. Voraussetzung für diese Angriffe ist jedoch die Präsenz von Malware auf dem Endgerät des Opfers.
Die Experten wiesen darauf hin, dass Google das sogenannte Security Domain Secret zwar aus den Protokolldateien entfernt habe, dieses jedoch während des Onboarding-Prozesses weiterhin im Arbeitsspeicher verbleibe.
Als zusätzliche Absicherung für besonders kritische Konten empfiehlt Unit 42 den Einsatz von dedizierten Hardware-Sicherheitsschlüsseln. Dennoch betont das Unternehmen, dass Passkeys grundsätzlich weiterhin ein höheres Sicherheitsniveau bieten als klassische Passwörter.
Branchentrends und regulatorische Einordnung
Trotz der aufgezeigten Mängel forcieren große Technologiekonzerne den Umstieg auf passwortlose Verfahren. Microsoft kündigte an, die SMS- und Sprachauthentifizierung für Entra ID schrittweise einzustellen. Ab dem 1. September 2026 sollen Passkeys dort zum Standard werden.
Angesichts von Millionen gehackter Konten pro Quartal ist ein moderner Schutz für die eigene digitale Identität unverzichtbar. Erfahren Sie in diesem Gratis-Leitfaden, wie die passwortlose Alternative Hackern keine Chance mehr lässt. Jetzt gratis Report zur sicheren Anmeldung sichern
Nutzer haben bereits seit Anfang August die Möglichkeit, sich über Microsoft Graph gegen diese voreinstellung zu entscheiden. Die endgültige Einstellung der Microsoft-basierten SMS- und Sprachauthentifizierung ist für den 1. Februar 2027 geplant.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft herkömmliche Passwort-Logins als veraltet ein. Passkeys nutzen Kryptografie statt geheimer Zeichenfolgen, wobei der private Schlüssel lokal auf dem Gerät verbleibt und meist durch ein biometrisches Merkmal geschützt wird. Dies mache das Verfahren weitgehend resistent gegen Phishing. Als Nachteil wird jedoch angeführt, dass ein Verlust des Geräts ohne entsprechendes Backup den Verlust des Zugangs bedeutet.
Marktdaten von Bitwarden unterstreichen das ambivalente Bild der Technologie: Während 56 % der Befragten sich begeistert von passwortlosen Lösungen zeigen, haben 50 % der IT-Entscheidungsträger bisher keine entsprechenden Anwendungen in ihrem Unternehmen implementiert. Um diese Lücke zu schließen, stellt das Unternehmen mit Passwordless.dev nun ein Toolkit zur Integration von FIDO2-WebAuthn-Passkeys bereit.
