Passkeys sind eigentlich dafür gedacht, Passwörter überflüssig zu machen und Anmeldungen sicherer zu machen. Genau deshalb ist es besonders beunruhigend, dass Forschende in einer Analyse Hinweise darauf fanden, wie ein Phishing-Setup Passkeys trotz Passwortreset weiterhin für spätere Zugriffe ausnutzen könnte. Der Punkt: Ein Passwortwechsel kann in bestimmten Szenarien nicht mehr als alleinige „Lösung“ gelten.
Im Folgenden geht es um das, was in einer Untersuchung zu iAuthFlow V2 beschrieben wurde – einer Phishing-Toolbox, die laut Darstellung ursprünglich in einem russischsprachigen Cybercrime-Forum auftauchte. Wichtig: Die Einordnung basiert auf öffentlichen Informationen und Postings, nicht auf einem realen Ausführen der Malware durch die Forschenden. Trotzdem liefert die Analyse ein klares Signal: Soziale Manipulationstechniken werden zunehmend komplex.
Was ist iAuthFlow V2 – und warum ist es anders?
iAuthFlow V2 wird in der Quelle als fortgeschrittene Form von Phishing beschrieben. Anders als bei klassischen Kampagnen geht es dem Ansatz nicht nur darum, beim ersten Login Informationen abzugreifen. Stattdessen zielt die Methode auf dauerhaften Zugriff auf das Konto der betroffenen Person ab.
Der entscheidende Mechanismus in der Betrachtung ist eine „passkey“-Komponente. Während bei vielen kompromittierten Konten ein Passwortreset den Angreifer aushebelt, soll diese Technik nach dem Reset noch funktionsfähig bleiben. Das würde die Logik „Reset = Ende“ deutlich aushebeln.
Wie das Phishing funktioniert: Zwei Browserwelten
Der Angriff startet dem beschriebenen Ablauf nach zunächst „normal“: Die Zielperson wird in einem üblichen Phishing-Szenario auf eine von Angreifern gesteuerte Weboberfläche gelotst. Diese Seite erscheint im Browser der betroffenen Person und ist darauf ausgelegt, dass sie Anmeldedaten eingibt.
Doch laut Analyse existiert im Hintergrund eine weitere, vom Angreifer kontrollierte Browserumgebung auf dessen Server. Der Ablauf soll dabei so ineinandergreifen, dass die betroffene Person zwar auf die Phishing-Seite reagiert, die eigentliche Authentifizierungsantwort jedoch in der zweiten Umgebung erfolgt.
Damit wird die Hürde für den Angreifer gesenkt: Das Opfer muss nicht unbedingt „hintergangen“ werden, indem es offensichtliche Warnungen übersieht. Stattdessen arbeitet der Prozess so, dass das, was im System letztlich wirksam wird, nicht dem entspricht, was die Zielperson glaubt zu tun.
Geräte-Fingerprinting und stille Provisionsierung
In der Untersuchung wird außerdem beschrieben, dass das Phishing-Setup die Browserumgebung des Opfers per Device Fingerprinting identifiziert. Danach sollen die Eingaben und Interaktionen protokolliert werden.
Besonders relevant ist aber der Schritt, bei dem die Komponente laut Analyse „stillschweigend“ einen vorbereiteten Passkey in das Konto eintragen soll. Für die betroffene Person bleibt das ohne sichtbare Rückmeldung: Sie sieht den Vorgang als Teil des normalen Login-Flows.
Die Folge wäre gravierend: Nicht das Passwort, sondern eine als Credential registrierte Anmeldemöglichkeit wird unter Kontrolle des Angreifers gebracht.
Warum das bei Google-Accounts besonders kritisch werden kann
Die Quelle fokussiert exemplarisch auf einen Gmail-Account. Dem beschriebenen Modell nach stellt Google aus der zweiten Browserumgebung heraus eine Authentifizierungsanfrage – aber über die initiale Phishing-Umgebung, die dem Opfer angezeigt wird.
Wenn das Phishing erfolgreich ist, authentifiziert das Opfer. Gleichzeitig soll damit auch die vom Angreifer vorbereitete Passkey-Authentifizierung „mit durchlaufen“. Das Opfer würde dabei nicht erkennen, dass sein Loginvorgang mehr umfasst als nur die eigene Anmeldung.
Passkeys trotz Passwortreset: Der zentrale Schwachpunkt
In vielen Fällen ist der Standardvorgehensplan nach einem Phishing-Vorfall klar: Passwort ändern und aktive Sessions abmelden. Laut der Analyse gilt das auch häufig als wirksam – insbesondere dann, wenn Angreifer vor allem auf gestohlene Sitzungsinformationen angewiesen sind.
Die Quelle verweist auf die übliche Logik: Google gibt laut Darstellung an, dass ein Passwortwechsel in Verbindung mit dem Abmelden aktiver Sitzungen auch App-Passwörter und OAuth-Tokens zurücksetzt (wobei bestimmte autorisierte Geräte und Drittanbieter-Verbindungen möglicherweise dennoch angemeldet bleiben können).
Doch genau hier setzt das Problem der beschriebenen Passkey-basierten Persistenz an. Ein Passkey ist ein Credential, das dem Konto zugeordnet ist – und nicht nur ein Token, das aus einem Passwort abgeleitet wird. Wird der Passkey einmal „registriert“ und bleibt unter Kontrolle des Angreifers, kann der Angreifer beim nächsten Zugriff schlicht „einen anderen Weg“ wählen und den Passkey verwenden, ohne das Passwort zu kennen.
Was Forschende betonen: Basis ist eine Analyse, nicht Live-Nutzung
Ein wichtiger Hinweis aus der Quelle lautet, dass die Einordnung von Abnormal auf Verkäufer-Posts und Demonstrationen basiert. Die Forschenden haben das Malware-Tooling laut Darstellung nicht erworben oder tatsächlich ausgeführt.
Außerdem gibt es in anderen Zusammenfassungen laut Quelle Unschärfen: In den zitierten Beschreibungen sei nicht immer die Rede von Passkeys gewesen. Deshalb sei insgesamt „wenig öffentlich bekannt“ über iAuthFlow V2.
Trotz dieser Einschränkungen zeigt die Existenz der Toolbox und die beschriebene Funktionsidee vor allem eins: Die technische und soziale Komplexität von Phishing steigt. Angreifer testen und integrieren zunehmend Mechanismen, die über reinen Datendiebstahl hinausgehen.
Welche Konsequenzen sollten Nutzer und Teams ziehen?
Wenn ein Passwortreset nicht mehr die alleinige Schadensbegrenzung ist, müssen Reaktionspläne breiter werden. Die Quelle deutet im Kern an, dass klassische Schritte nach einer Kompromittierung möglicherweise nicht ausreichen, wenn ein Angreifer bereits in die Kontokonfiguration eingegriffen hat.
Praktisch heißt das: Nach einem vermuteten Phishing-Vorfall sollten Betroffene nicht nur das Passwort wechseln, sondern auch das Konto engmaschig prüfen. Dazu gehört das erneute Durchsehen aktiver Anmeldungen und der angemeldeten Geräte. In jedem Fall sollten Nutzer alle Optionen nutzen, die ein Anbieter für die Kontosicherheit bereitstellt.
Darüber hinaus ist es sinnvoll, insbesondere bei sicherheitsrelevanten Accounts die eigenen Anmeldewege zu überprüfen. Denn wenn ein Angreifer erfolgreich einen zusätzlichen Credential-Mechanismus hinterlegen kann, entscheidet nicht nur die Kenntnis des Passworts, sondern auch, welche Anmeldemöglichkeiten im Konto tatsächlich existieren.
IOCs und Remediation: Was die Quelle zusätzlich bietet
Die Untersuchung erwähnt, dass Abnormal auch Indicators of Compromise (IOCs) und Hinweise zur Eindämmung bereitstellt. Solche Informationen können helfen, Muster in Logs und Systemen zu erkennen und die Auswirkungen schneller einzugrenzen.
Für Unternehmen ist das besonders relevant, weil Incident-Response häufig darauf angewiesen ist, nachvollziehbar zu machen, welche Schritte zu welchen Ergebnissen führten. Eine „nur Passwort ändern“-Strategie könnte in solchen Fällen zwar sofort helfen, aber eben nicht jede Persistenz ausschalten, wenn diese bereits Teil des Kontos geworden ist.
Fazit: Phishing entwickelt sich von Diebstahl zu Zugriffserhalt
Die Analyse zu iAuthFlow V2 macht deutlich, dass Phishing nicht mehr nur darauf abzielt, Zugangsdaten zu erbeuten. Der beschriebene Ansatz legt nahe, dass Angreifer versuchen können, einen Zugriff über längere Zeit aufrechtzuerhalten – selbst nachdem ein Passwortreset durchgeführt wurde.
Auch wenn nicht alles öffentlich verifiziert ist, sollte die Kernaussage ernst genommen werden: Passkeys trotz Passwortreset ist genau die Art von Risiko, die in modernen Konten-Ökosystemen entstehen kann, wenn Angriffe nicht nur Daten abgreifen, sondern Authentifizierungs-Mechanismen kompromittieren.
Für Nutzer und Teams bleibt daher entscheidend, Vorfälle ganzheitlich zu behandeln: Passwortänderung, Session-Entzug, Kontoüberprüfung und die Aufmerksamkeit für neue oder unerwartete Anmeldemöglichkeiten. So reduzieren Sie die Wahrscheinlichkeit, dass ein einmal kompromittierter Account auch nach „der richtigen“ Maßnahme weiter missbraucht werden kann.
