Passkeys gelten für viele Menschen als das nächste Sicherheitsniveau: Sie sind weit verbreitet und werden besonders empfohlen, weil sie Phishing deutlich erschweren. Doch neue Erkenntnisse aus der Sicherheitsforschung zeigen, dass es auch Passkey-Angriffe geben kann, bei denen Malware passwortlose Anmeldungen ausnutzt — ohne dass Anwender aktiv eingreifen müssen.
Konkret beschreiben Forschende von Palo Alto Networks mehrere Angriffsvarianten, mit denen ein bereits kompromittierter Windows-Rechner die Kontrolle über Passkey-geschützte Konten übernehmen kann. Im Fokus stehen dabei vor allem Google-synchronisierte Passkeys und die Rolle, die der Chrome-Browser sowie die Cloud-Authentifizierungslogik spielen.
Warum Passkeys eigentlich als phishing-resistent gelten
Passkeys ersetzen Passwörter durch kryptografische Nachweise. Dadurch fällt ein typischer Angriffsweg — Phishing — deutlich schwerer, weil Nutzer nicht einfach einen gefälschten Dialog mit Credentials füttern. Stattdessen geht die Anmeldung auf eine kryptografische Prüfung zurück, bei der der korrekte Nachweis erbracht werden muss.
Das bedeutet: Passkeys schließen nicht jede Art von Risiko aus. Wenn Angreifer jedoch den Geräte- oder Browserkontext kompromittieren und die Kommunikation in eine gültige Form bringen können, entstehen neue Möglichkeiten.
Die Grundidee hinter den Passkey-Angriffen
Die in der Forschung beschriebenen Methoden setzen voraus, dass auf einer Windows-Maschine bereits Malware läuft — etwa zusammen mit dem normalen Chrome-Betrieb. Diese Schadsoftware kann dann lokale Informationen im Browser auswerten, ohne dass ein Privilegienaufstieg oder eine Nutzerinteraktion zwingend erforderlich ist.
Im Kern geht es darum, welche Konten der Nutzer bereits mit Passkeys geschützt hat, und um die Frage, wie diese Informationen so verarbeitet werden können, dass am Ende eine gültige Anmeldung zustande kommt.
Pass-ta-key: Kontoübernahme ohne Nutzeraktion
Die erste beschriebene Technik trägt den Namen Pass-ta-key. Dabei kann die Malware die lokale Synchronisationsdatenbank von Chrome untersuchen. So erkennt sie, welche Online-Konten mit Passkeys abgesichert sind — einschließlich der zugehörigen Benutzernamen und des verschlüsselten Geheimmaterials.
Anschließend versucht die Schadsoftware eine Geräteidentitätsschlüssel-Komponente wiederherzustellen, die Chrome auf dem System speichert oder im Speicher bereithält. Mit Hilfe der Windows-kryptografischen Schnittstellen erzeugt die Malware anschließend eine Signatur über eine Challenge, die von der Google-Cloud-Authenticator-Schicht bereitgestellt wird.
Wichtig ist: In dieser Variante entsteht keine Notwendigkeit für eine Biometrie-Eingabe, kein Geräte-Entsperrprozess und auch keine erhöhten Rechte. Der Cloud-Dienst wertet die signierte Anfrage anschließend als vertrauenswürdig aus und liefert eine gültige Authentifizierungsantwort. Diese wird dann an die Zielseite weitergeleitet, um den Login abzuschließen.
Silver Pass-ta-key: Angriff über eine erneute Geräte-Registrierung
Eine weiterentwickelte Variante heißt Silver Pass-ta-key. Hier ist das Ziel nicht nur, eine Anmeldung vom selben Rechner aus zu ermöglichen, sondern die Kontrolle auf einen späteren Zeitpunkt und auch auf ein anderes Gerät zu erweitern.
Dazu zwingt die Malware Chrome in einen Geräte-Neuregistrierungsprozess. In dem kurzen Zeitfenster, das dabei entsteht, registriert die Schadsoftware eine eigene User-Verification-Key-Komponente beim Cloud-Authenticator.
Ist diese Registrierung einmal erfolgt, kann der Angreifer später auch von einer völlig anderen Maschine authentifizieren. Für Betroffene ist das besonders kritisch, weil die spätere Anmeldung dann nicht mehr zwangsläufig über denselben kompromittierten Host läuft.
Golden Pass-ta-key: Entschlüsselung synchronisierter Passkeys
Am schwersten ist die Technik namens Golden Pass-ta-key. In dieser Variante versucht die Malware, ein Master-Geheimnis zu extrahieren, das kurzzeitig in der Prozess-Speicherphase von Chrome beim Erneuerungs-/Re-Enrollment-Vorgang auftaucht.
Besitzt der Angreifer dieses Geheimnis, kann er die privaten Schlüssel aller synchronisierten Passkeys des betroffenen Kontos entschlüsseln. Damit kann die Malware nicht nur eine einzelne Anmeldung nachbilden, sondern zukünftige Passkeys ebenfalls auslesen und verwertbar machen.
Das hebt die Angriffsbedeutung: Von einem temporären Zugriff wird ein Muster, bei dem der Angreifer das Sicherheitssystem langfristiger umgehen kann — solange die synchronisierten Schlüssel kompromittiert bleiben.
Welche Rolle Chrome und Windows in den Passkey-Angriffen spielen
Auch wenn Passkeys „passwortlos“ sind, basiert die Sicherheit in der Praxis auf einer Kombination aus Browser, Betriebssystem-Integrationen und Cloud-Vertrauen. Die beschriebenen Angriffe setzen deshalb an mehreren Stellen an:
- Browserdaten lokal auslesen: Chrome hält synchronisationsbezogene Informationen zugänglich.
- Geräteidentität und Schlüsselmaterial verfügbar machen und kryptografisch verwerten.
- Windows-Kryptografie-APIs nutzen, um gültige Signaturen zu erzeugen.
- Cloud-Authenticator als Vertrauensanker: Bei korrekter Signatur wird die Anmeldung akzeptiert.
Der Ansatz zeigt damit weniger eine Schwäche „an sich“ im Passkey-Konzept, sondern eher ein Problem, das bei kompromittierten Endgeräten entsteht: Wenn Malware im richtigen Kontext kryptografische Operationen ausführen kann, kann sie sich als vertrauenswürdiges Gerät ausgeben.
Was Betroffene jetzt tun können
Die Forschenden geben Hinweise, dass der Anbieter über die Entwicklungen informiert wurde und bereits Gegenmaßnahmen umgesetzt worden sind. Für Nutzer und Unternehmen ist dennoch wichtig, die eigenen Schutzmaßnahmen proaktiv zu prüfen.
Praktisch lassen sich mehrere Schritte ableiten:
- Geräte bereinigen: Wenn ein Rechner kompromittiert ist, muss die Schadsoftware entfernt und der Zustand verifiziert werden.
- Browser- und Kontosicherheit prüfen: Achten Sie auf ungewöhnliche Anmeldeaktivitäten, neue Sitzungen und unerwartete Gerätezulassungen.
- Zugriff absichern: Zusätzliche Kontrollen wie Sicherheitsbenachrichtigungen und strenge Richtlinien für Geräte-Registrierungen helfen.
- Auf Mitigations achten: Halten Sie Browser und System stets aktuell und informieren Sie sich über die angekündigten Schutzmaßnahmen.
Damit reduzieren Sie das Risiko, dass aus einem kompromittierten Endgerät heraus gültige Passkey-Anmeldungen dauerhaft möglich werden.
Fazit: Passkey-Angriffe erfordern ein Umdenken bei Endpoint-Sicherheit
Die beschriebenen Passkey-Angriffe machen deutlich: Passkeys sind zwar stark gegen Phishing, aber sie sind nicht automatisch immun gegen Situationen, in denen Malware bereits auf dem Endgerät Kontrolle hat. Je nach Technik kann die Schadsoftware eine einmalige Kontoübernahme ermöglichen oder — besonders in erweiterten Varianten — später von anderen Geräten aus wirken und sogar synchronisiertes Schlüsselmaterial gefährden.
Der wichtigste Schluss: Neben der Nutzung von Passkeys sollten Unternehmen und Nutzer die Sicherheit der Endpoints, die Aktualität der Software und die Überwachung von Konten konsequent ernst nehmen. Nur so bleibt das Versprechen passwortloser Anmeldung im Alltag verlässlich.
Quelle: https://www.securityweek.com/new-attack-methods-enable-malware-to-hijack-passkey-protected-accounts/
