LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, wie Malware unter Windows Passkeys aus dem Zusammenspiel zwischen Google Password Manager und Chrome auslesen kann. Besonders kritisch ist ein 32-Byte-„Security Domain Secret“, das laut Analyse im Arbeitsspeicher abgegriffen wird. Die Synchronisation über Cloud-Dienste eröffnet dabei zusätzliche Angriffswege. Parallel dazu nutzen Kriminelle Passkeys für Telefonbetrug mit gefälschten Webseiten.
Passkeys gelten in vielen Unternehmen als „phishing-resistent“es Upgrade gegenüber klassischen Passwörtern. Doch die aktuelle Analyse zu einem Sicherheitsproblem im Google Password Manager unter Windows zeigt, dass die reale Schutzwirkung stark davon abhängt, wie Geräte kompromittiert werden. Im Kern geht es nicht um das Ersetzen einzelner Logins, sondern um die Frage, ob ein Angreifer die kryptografischen Schlüssel überhaupt aus dem Client herauslösen kann. Wenn Schadsoftware bereits auf dem Endgerät läuft, verschiebt sich das Bedrohungsmodell: Dann reichen die typischen Vorteile passwortloser Verfahren gegen gefälschte Eingabeformulare nicht mehr aus.
Die Sicherheitsforscher von Unit 42 (Palo Alto Networks) beschreiben drei Angriffsszenarien, die alle mit bereits installierter Malware auf dem Windows-Rechner des Opfers beginnen. In der Basis-Variante exportieren Angreifer dabei die Identität des Nutzers. Die „Silver“-Methode erlaubt anschließend eine unbemerkte Re-Registrierung, bei der eigene Schlüssel des Angreifers in den Zielkontext eingehängt werden. Am schwerwiegendsten ist der „Golden“-Angriff: Hier extrahiert die Schadsoftware laut Demonstration das „Security Domain Secret“ direkt aus dem Arbeitsspeicher von Google Chrome. Dieses Secret wird als 32 Byte großer Master-Key beschrieben.
Der entscheidende technische Punkt liegt in der Kombination aus Master-Key und Synchronisationslogik: Sobald das „Security Domain Secret“ kompromittiert ist, lassen sich damit die synchronisierten Passkeys des betroffenen Nutzers entschlüsseln. Dass der Master-Key „derzeit nicht rotiert werden kann“, macht die Schwachstelle besonders hart, weil ein kompromittiertes System dauerhaft im Risiko bleibt. Gleichzeitig erklärt das, warum Cloud-Synchronisation als vermeintlicher Komfortfaktor auch eine Angriffsfläche sein kann: Wo mehrere Geräte und Dienste auf eine gemeinsame Vertrauensbasis zugreifen, kann die Kompromittierung eines zentralen Secrets Auswirkungen über den ursprünglichen Host hinaus auslösen. Google habe zwar die Exposition des Secrets aus Fehlerprotokollen im Browser entfernt, aber der Zugriff aus dem Arbeitsspeicher bleibe als Problem prinzipiell bestehen.
Für die Praxis bedeutet das: Risiko-Management bei Passkeys ist nicht nur eine Frage der richtigen Nutzeranmeldung, sondern vor allem der Endgerätesicherheit. Fachleute empfehlen daher, „gerätegebundene“ Passkeys zu verwenden, die nicht mit der Cloud synchronisiert werden und sich damit nicht über den beschriebenen Weg „wegnehmen“ lassen. Das ist eine wichtige Weichenstellung für Unternehmen, die Passkeys einführen wollen: Technisch werden dann zwar weiterhin „passwordless“ Prozesse genutzt, aber die Angriffsrichtung verschiebt sich. Anstatt dass ein einmal kompromittierter Synchronisationszustand eine ganze Account-Umgebung verunmöglichen kann, steigt die Hürde für einen Angreifer. Ergänzend zeigt die Analyse, dass Sicherheitskonzepte wie Device Hardening, schnelle Malware-Erkennung und strikte Patch-Disziplin bei Login-Daten plötzlich wieder im Mittelpunkt stehen.
Parallel zur technischen Lücke wird in der Quelle ein zweites, eher „sozial getriebenes“ Risiko betont: Kriminelle nutzen das Thema Passkeys für Vishing-Kampagnen, um Mitarbeiter in Finanzhäusern und Private-Equity-Umgebungen in die Irre zu führen. Laut Angaben der Google Threat Intelligence Group soll eine aktuelle Kampagne auf den Akteur UNC6671 zurückgehen, der mehreren Erpresser- und Betrugsmarken zugeordnet wird. Die Angreifer kontaktieren Mitarbeitende telefonisch, geben sich als Helpdesk aus und fordern unter dem Vorwand einer Passkey-Umstellung oder einer MFA-Aktualisierung den Besuch manipulierte Websites. Zielunternehmen, die in den Untersuchungen genannt werden, umfassen unter anderem Blackstone, Apollo, KKR, Bain und Moody’s.
Auch die Größenordnung der Infrastruktur macht das Muster deutlich: Die Quelle nennt mindestens 72 bösartige Domains und berichtet, dass die Erpresser zwischen einer und drei Millionen US-Dollar fordern. In rund 53 Prozent der untersuchten Fälle sei es zu Zahlungen gekommen, mit einem Mittelwert von etwa 750.000 US-Dollar, überwiegend in Bitcoin. Auf zugehörigen Wallets identifizierten die Forscher insgesamt 141,65 BTC, entsprechend mehr als zehn Millionen US-Dollar Gegenwert. Selbst wenn Passkeys Phishing bei legitimen Login-Flows besser abfangen, funktioniert dieses Betrugsschema weiterhin, weil es Nutzerverhalten über Social Engineering steuert und nicht primär auf Kennwort-Abgriffen angewiesen ist.
Die Passkey-Problematik betrifft zudem nicht nur Windows-Setups. In einem weiteren Zusammenhang wird eine Schwachstelle in WebKit beschrieben, die den iCloud Private Relay-Anonymisierungsdienst betreffen soll: Bei Passkey-Logins könne unter bestimmten Umständen die echte IP-Adresse offengelegt werden, weil der Anonymisierungsdienst umgangen werde. Apple untersuche den Vorfall; ein Patch sei laut Quelle noch nicht verfügbar. Für Entscheider folgt daraus eine klare Konsequenz: Passkeys verbessern den Login-Standard grundsätzlich, aber sie ersetzen nicht die Endgerätedurchsetzung. Wer die Umstellung plant, sollte technische Schutzmaßnahmen wie Malware-Resilienz und rollenbasierte Zugriffskontrollen ebenso priorisieren wie die Auswahl zwischen Cloud-synchronisierten und gerätegebundenen Varianten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkeys unter Windows gefährdet: Malware stiehlt Schlüssel aus dem Chrome-Umfeld" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkeys unter Windows gefährdet: Malware stiehlt Schlüssel aus dem Chrome-Umfeld" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkeys unter Windows gefährdet: Malware stiehlt Schlüssel aus dem Chrome-Umfeld« bei Google Deutschland suchen, bei Bing oder Google News!