Google und einige weitere große Plattformbetreiber setzen seit einigen Jahren stark auf Passkeys, die in ihrer aktuellen Umsetzung eine höhere Sicherheit als das klassische Passwort bieten. Jetzt zeigen Sicherheitsforscher, dass auch diese Technologie nicht unfehlbar ist und von Angreifern mit drei skizzierten Szenarien ausgenutzt werden können. Man hat dem Ganzen die scherzhafte Bezeichnung „Pass-ta-key“ gegeben.
Passkeys sind durch ihre Struktur sicherer als die klassische Kombination aus Passwort und Benutzername, daher werden sie von einigen großen Plattformbetreibern stark gepusht – allen voran Google mit Chrome, Android und auch dem Google Password Manager. Jetzt zeigen Sicherheitsforscher, wie sich auch diese Passkeys angreifen lassen – allerdings nur dann, wenn sich auf dem lokalen Rechner des Nutzers bereits Malware befindet. Es ist also weniger eine Lücke in den Passkeys, sondern viel mehr ein Angriff auf die gespeicherten Schlüssel am Rechner des Nutzers.
Die drei entdeckten Angriffsarten:
- Pass-ta-key Attack: Die Malware übernimmt ein durch Passkeys geschütztes Konto. Dies geschieht völlig geräuschlos im Hintergrund – ohne Interaktion des Opfers, ohne dass das Gerät entsperrt werden muss und ohne erweiterte Administratorrechte (Privilege Escalation). Die Malware imitiert dabei lediglich das Verhalten von Chrome, um sich eine gültige Signatur zu erschleichen.
- Silver Pass-ta-key Attack: Der Angreifer täuscht den Google Cloud Authenticator und gaukelt ihm vor, das Opfer habe das Gerät (etwa per Biometrie) entsperrt. Das ermöglicht eine vollständige Kontoübernahme, ohne dass das physische Gerät des Opfers während des eigentlichen Authentifizierungsvorgangs involviert ist.
- Golden Pass-ta-key Attack: Das ist der schwerwiegendste Angriff. Hierbei gelingt es dem Angreifer, alle synchronisierten Passkeys des Opfers zu extrahieren. Dadurch wird die Hardware-Bindung komplett aufgehoben und die Passkeys können kopiert, geteilt oder auf dem Schwarzmarkt für gestohlene Zugangsdaten verkauft werden.
Nähere Details und viele Beispiele sowie ausführliche Beschreibungen, die meinen technischen Horizont übersteigen, findet ihr im Blogpost bei Unit42.
» Google Maps Streetview: Verpixelung von Gebäuden ist jetzt nur noch mit Adressnachweis möglich
[Unit42]
Letzte Aktualisierung am 22.07.2026 / Bilder von der Amazon Product Advertising API / Affiliate Links, vielen Dank für eure Unterstützung! Als Amazon-Partner verdiene ich an qualifizierten Verkäufen.