Analyse von Passkey-Angriffen: Malware hat weiterhin ein Wörtchen mitzureden

Passkeys gehören zu den seltenen Sicherheits-Upgrades, die Applaus verdienen. Sie ersetzen gemeinsame Geheimnisse durch Public-Key-Kryptografie, machen Phishing deutlich schwieriger und ersparen Nutzerinnen und Nutzern, sich noch ein Passwort auszudenken, das aussieht, als wäre eine Tastatur die Treppe hinuntergefallen. Dann taucht Malware auf dem Gerät auf, weil sie das natürlich tut, und die ordentliche passwortlose Geschichte wird komplizierter. SecurityWeek berichtet, dass neue Angriffsmethoden Malware ermöglichen können, passkey-geschützte Konten zu kapern. Die nützliche Lektion ist nicht, dass Passkeys kaputt sind. Sie lautet: Authentifizierungsarchitektur endet nicht an der Login-Eingabeaufforderung, besonders dann nicht, wenn Endgerät, Browser und Wiederherstellungsmechanismen weiterhin Teil der Vertrauenskette sind.

Was laut SecurityWeek passiert ist

SecurityWeek beschreibt das Problem unverblümt: Neue Methoden ermöglichen Malware, passkey-geschützte Konten zu kapern. Das ist wichtig, weil Passkeys als der lange erwartete Nachfolger von Passwörtern beworben wurden, und das aus gutem Grund. Wie Neuracybintel erklärt, basieren Passkeys auf phishing-resistenter Authentifizierung mit Public-Key-Kryptografie, gerätegebundenen Anmeldedaten und biometrischer oder PIN-basierter Nutzerverifizierung. Der Haken ist laut Neuracybintel die Voraussetzung: Malware läuft bereits auf einem Windows-Rechner. Das ist kein magischer Bruch des Passkey-Modells aus dem Internet heraus. Es ist der alte Sicherheits-Horrorfilm, in dem das Monster schon im Haus ist, nur dass das Haus jetzt Cloud-Synchronisierung, Browser-Vertrauen und Workflows zur Kontowiederherstellung mit sehr starken Meinungen hat.

Das Pass-ta-key-Trio laut Neuracybintel

Neuracybintel zufolge beschrieben Forschende von Palo Alto Networks Unit 42 drei verwandte Techniken mit dem Spitznamen Pass-ta-key. Die Forschung betrifft in Chrome unter Windows synchronisierte Passkeys des Google Password Manager. Die Methoden können es unprivilegierter Malware mit einem TPM ermöglichen, synchronisierte Passkeys des Google Password Manager zu kapern, indem sie das Gerät imitiert, die Nutzerverifizierung umgeht oder das Master-Secret extrahiert. Diese Formulierung ist wichtig. Neuracybintel betont, dass kein kryptografischer Bruch stattfindet. Der Missbrauch liegt rund um Chrome und das Vertrauen in Cloud-Authentifikatoren sowie in Wiederherstellungsabläufe nach einer Kompromittierung des Endgeräts. Anders gesagt: Die Tresortür mag stabil sein, aber das Gebäude hat immer noch Laderampen, Ausweisleser und einen schläfrigen Wiederherstellungsschalter namens Gary. Die Motivation der Angreifer ist hier deprimierend gewöhnlich: dauerhafter Zugriff. Neuracybintel warnt vor möglichem langfristigem, geräteübergreifendem Kontodiebstahl. Das ist die Art von Persistenz, die Angreifer mögen, weil sie aus einem kompromittierten Rechner einen Weg macht, Konten jenseits dieses Rechners zu erreichen – genau die Art von Handlungsentwicklung, die Verteidiger lieber vor Staffel zwei absetzen würden.

Die Forschung von Unit 42 verschiebt

die Designdiskussion Die eigene Forschungsseite von Unit 42 nennt Arie Olshtein als Autor von „Pass the Passkey: A Novel Attack Surface in Passwordless Authentication“, veröffentlicht am 3. August 2026. Der Titel leistet einiges: Das Risiko ist nicht passwortlose Authentifizierung als gescheiterte Idee, sondern passwortlose Authentifizierung als breitere Angriffsfläche. Genau diesen Teil sollten Produktteams auf ein Whiteboard schreiben, bevor jemand feierlichen Kuchen kauft. Die architektonische Erkenntnis ist: Passkeys reduzieren eine wichtige Klasse von Login-Risiken, besonders Phishing, aber sie beseitigen nicht die Notwendigkeit, das Gerät und den umgebenden Kontolebenszyklus zu schützen. Endgeräteschutz ist wichtig, weil die beschriebenen Techniken nach einer lokalen Kompromittierung beginnen. Browser-Sitzungskontrollen und Browser-Härtung sind wichtig, weil sich die Forschung auf Chrome und das Vertrauen in Cloud-Authentifikatoren konzentriert. Das Design von Wiederherstellungsabläufen ist wichtig, weil Neuracybintel Wiederherstellungsabläufe ausdrücklich als Teil des Missbrauchspfads nennt. Hier wird die Sicherheits-Anzeigetafel unfair, aber nützlich. Anbieter können stärkere Authentifizierung ausliefern und dennoch durch das umgebende Vertrauensgeflecht angreifbar bleiben. Das macht Passkeys nicht zu einer schlechten Investition. Es macht sie zu einer ernsthaften Schutzmaßnahme, die zusammen mit den langweiligen Begleitern eingesetzt werden muss, die uns immer wieder vor uns selbst retten: Patching, Geräte-Gesundheitsprüfungen, Erkennung von Wiederherstellungsmissbrauch und klare Regeln für hochwertige Konten.

Was BleepingComputer und

CSO Verteidigern signalisieren BleepingComputer beschrieb das Problem ebenfalls als neue Pass-ta-key-Angriffe, die Malware ermöglichen, mit Google synchronisierte Passkeys zu kapern. CSO Online charakterisierte die breitere Sorge als Sicherheitsprobleme bei Passkeys, die eine Kontoübernahme ermöglichen könnten. Diese Zusammenfassungen weisen auf dasselbe praktische Ziel hin: Verteidiger sollten die Einführung von Passkeys als Identity Engineering behandeln, nicht als Passwort-Abschaffungszeremonie mit Snacks. Neuracybintel nennt Gegenmaßnahmen wie Patches, starken Endgeräteschutz und Hardware-Sicherheitsschlüssel für hochwertige Konten. Dieser letzte Punkt ist es wert, hervorgehoben zu werden, ohne ihn in einen Talisman zu verwandeln. Hardware-Sicherheitsschlüssel können die Angriffsfläche für besonders wichtige Konten reduzieren, aber sie funktionieren am besten zusammen mit diszipliniertem Endgerätemanagement und Kontowiederherstellungspfaden, die den stärksten Login-Faktor nicht still und leise wieder aushebeln.

Was es laut Neuracybintel und SecurityWeek wirklich für dich bedeutet Wenn du

Nutzerin oder Nutzer bist, verwende Passkeys weiterhin, wo sie verfügbar sind. Sie bleiben ein großes Upgrade gegenüber Passwörtern, besonders gegen Phishing. Behandle sie aber nicht als Erlaubnis, Gerätesicherheit zu ignorieren: Aktualisiere deinen Browser und dein Betriebssystem, achte auf Malware-Warnungen und erwäge Hardware-Sicherheitsschlüssel für Konten, deren Verlust dich richtig unglücklich machen würde. Wenn du Identitätssysteme baust oder verteidigst, sollte der Bericht von SecurityWeek dich dazu bringen, das gesamte Authentifizierungsökosystem zu testen. Frage, was nach einer Endgerätekompromittierung passiert, wie Browser-Vertrauen hergestellt wird, wie Wiederherstellung missbraucht werden kann und ob risikoreiche Kontoereignisse eine stärkere erneute Verifizierung brauchen. Passkeys bewegen das Internet in die richtige Richtung. Die nächste Aufgabe ist sicherzustellen, dass die Straßen um sie herum nicht aus nasser Pappe bestehen.