LONDON (IT BOLTWISE) – Neue Forschungsergebnisse zeigen, dass Passkeys trotz ihres Phishing-Schutzes keine universell sichere Lösung sind. Ein Windows-Exploit namens „Pass-the-Passkey“ nutzt laut den Angaben eine Lücke unter CVE-2026-34348 aus. Angreifer könnten dabei privilegierte Identitäten übernehmen und kryptografische Schlüssel extrahieren. Ergänzende Analysen warnen außerdem vor Risiken durch Synchronisierung und Malware-Eingriffe bei Windows Hello for Business.
Passkeys gelten seit Jahren als konsequente Antwort auf die Schwächen klassischer Passwörter: Sie reduzieren die Angriffsfläche für Phishing, weil Nutzer nicht mehr denselben Secret-Wert auf gefälschten Webseiten eingeben müssen. Genau diese Sicherheitsversprechen geraten nun unter Druck, zumindest für bestimmte Implementierungswege und Betriebsszenarien. Die im August 2026 veröffentlichten Ergebnisse zeigen, dass selbst passwortlose Authentifizierungssysteme spezifische Fehlerzustände haben können. Der Kern der aktuellen Debatte ist dabei weniger die Grundidee von Public-Key-Kryptografie als die Frage, wie Betriebssystem, Cloud-Synchronisierung und Schlüsselverwaltung die Vertrauensgrenzen im Alltag wirklich durchhalten.
Im Zentrum steht eine von SpecterOps auf der Fachkonferenz Black Hat USA am 5. August vorgestellte Angriffsmethode namens „Pass-the-Passkey“. Der Exploit zielt auf eine Lücke im Windows-Betriebssystem, die unter CVE-2026-34348 geführt wird. Laut dem veröffentlichten Bewertungsschema liegt der CVSS-Score bei 6.5, was eine mittlere bis hohe Kritikalität nahelegt. Technisch interessant ist dabei, dass der Angriff nicht auf ein „Passkey-Stehlen“ im klassischen Sinn angewiesen sein muss, sondern auf die Möglichkeit, geschützte Authentifizierungsdaten im Kontext der Zielmaschine auszulesen oder umzunutzen. In den Analysen wird beschrieben, dass so die Übernahme privilegierter Identitäten sowie die Extraktion kryptografischer Schlüssel möglich sein können.
Damit verschiebt sich auch die strategische Bewertung für IT-Teams: Passkeys eliminieren zwar das wiederverwendbare Passwort als zentralen Geheimniswert, aber sie ersetzen diesen nicht automatisch durch eine immer glatte Angriffsoberfläche. Gerade in Unternehmensumgebungen hängt die Sicherheit stark davon ab, wie stark die Implementierung die Annahme stützt, dass private Schlüssel das ursprüngliche Gerät idealerweise nicht verlassen. Dass diese Annahme in der Praxis unter bestimmten Bedingungen durchbrochen werden kann, zeigen ergänzende Veröffentlichungen: Parallel zu den Ergebnissen von SpecterOps berichtet eine Forschungsgruppe über eine Technik mit der Bezeichnung „Golden Pass-ta-key“, die sich auf den Google Password Manager und dessen Synchronisierungsfunktionen konzentriert. Demnach soll es möglich sein, private Schlüssel aus Passkeys wiederherzustellen, die über den Google-Dienst zwischen mehreren Geräten abgeglichen werden.
Aus Sicht der Systemarchitektur ist diese Kategorie von Schwachstellen besonders relevant, weil sie weniger „einzelne Angriffsdetails“ betrifft und eher eine grundlegende Vertrauensfrage aufmacht: Wer oder was darf im Lebenszyklus eines Schlüssels Zugriff erhalten? Passkeys sind so gedacht, dass der private Teil nicht in einem dauerhaft ausrollbaren Cloud-Format herumliegen sollte, sondern an geschützte Hardware- oder Betriebssystemgrenzen gekoppelt bleibt. Wenn eine Synchronisierung jedoch Mechanismen enthält, die eine Wiederherstellung durch Dritte erlauben, steigt das Risiko für Szenarien nach einer Kompromittierung. Genau dort setzen Verteidigungsmaßnahmen häufig an, weil ein einmal infiziertes oder misskonfiguriertes Gerät dann nicht nur Authentifizierung „missbraucht“, sondern potenziell auch Materialien bereitstellt, die zur späteren Wiederholung des Angriffs nötig sind.
Ein weiterer Beitrag adressiert Windows Hello for Business und damit die Schnittstelle zwischen biometrischer Anmeldung und kryptografischer Schlüsselverwendung. Hier lautet der praktische Warnpunkt: Eine Malware soll die in Windows Hello for Business hinterlegten kryptografischen Schlüssel verwenden können, ohne dass der rechtmäßige Anwender erneut authentifiziert werden muss. Der Effekt wäre gravierend, weil dadurch die biometrische Sperre nicht mehr als echte „letzte Eintrittskontrolle“ wirkt, sondern eher als Teil einer Kontrollkette, die bei vorhandener Malware bereits umgangen oder deaktiviert werden kann. Für Security-Teams bedeutet das: Passkeys und biometrische Verfahren sind nicht nur ein Frontend-Upgrade, sondern sie hängen weiterhin an der Integrität des Endpoints, an der Kontrolle von Schlüsselmaterial und an der Fähigkeit, kompromittierte Zustände früh zu erkennen.
Auch der Marktimpuls dahinter ist klar: In vielen Unternehmen laufen Passkey-Rollouts derzeit parallel zu Modernisierungen wie Conditional Access, starker Geräteidentifikation und Cloud-Identitätssteuerung. Die neuen Ergebnisse legen nahe, dass sich der Schwerpunkt der Absicherung stärker auf Implementierungsdetails verschieben muss – zum Beispiel auf Synchronisierungsketten, lokale Schlüsselverwaltung und die Frage, wie gut Betriebssystem- und Dienstkomponenten Fehlzustände isolieren. Microsoft implementiert hier offenbar bereits erste Gegenmaßnahmen: Die betroffenen Softwarehersteller wurden den Angaben zufolge über die Forschungsergebnisse informiert, und Microsoft habe nach vorliegenden Berichten reagiert, um die identifizierten Schwachstellen in seinen Systemen zu schließen. Unabhängig davon bleibt aber der organisatorische Auftrag, Authentifizierungsstandards kontinuierlich zu überprüfen – gerade weil Passkeys gegen typische Passwort-Diebstahl- und Phishing-Szenarien zwar besser abschneiden können, aber nicht jede neue Klasse von Angriffen automatisch ausschließen.
Für Anwender und Verantwortliche stellt sich damit die Frage nach der richtigen Priorisierung. Der Text verweist darauf, dass ein großer Teil kompromittierter Online-Konten in Deutschland weiterhin auf klassische Angriffe zurückgeht, weshalb der Wechsel zu sichereren Anmeldeverfahren trotz neuer Herausforderungen wichtig bleibt. Gleichzeitig sollten Teams bei Rollouts nicht nur darauf schauen, ob Passkeys „aktiv“ sind, sondern ob die komplette Kette stimmt: Wie wird zwischen Geräten synchronisiert, wie werden Wiederherstellungspfade gestaltet, und welche Schutzmechanismen verhindern, dass Malware im laufenden System Schlüsselmaterial für sich nutzt? Praktisch heißt das, dass die Einführung von Passkeys bei Diensten wie Amazon oder WhatsApp zwar ein sichtbares Sicherheitsupgrade sein kann, intern jedoch auch Endpoint-Schutz, Schlüssel- und Gerätehygiene sowie ein sauberes Patch- und Monitoring-Konzept zusammenpassen müssen, um die Vorteile tatsächlich auszuspielen.
Insgesamt liest sich „Pass-the-Passkey“ weniger als Abkehr von Passkeys, sondern als Erinnerung an eine grundlegende Sicherheitslehre: Authentifizierung ist nur so stark wie die Grenzen, an denen Schlüsselmaterial und Vertrauensentscheidungen getroffen werden. Sobald Angreifer diese Grenzen über eine konkrete Betriebssystem- oder Dienstimplementierung beeinflussen können, verschiebt sich das Risiko von Phishing hin zu Ausnutzung von Privilegien und Schlüsselzugriffen. Wer Passkeys in der Unternehmenslandschaft einführt, sollte daher die neuen Ergebnisse als Signal behandeln, technische Aktualität und Architekturdisziplin zu kombinieren – inklusive schneller Patch-Zyklen, Überprüfung der Synchronisierungsfunktionen und der Absicherung von Windows-„Hello“-Setups. Nur so bleibt passwortlose Authentifizierung mehr als ein Frontend-Wechsel, nämlich eine durchgängig belastbare Sicherheitskomponente.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Pass-the-Passkey: Windows-Exploit zeigt neue Angriffsfläche für Passkeys" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Pass-the-Passkey: Windows-Exploit zeigt neue Angriffsfläche für Passkeys" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Pass-the-Passkey: Windows-Exploit zeigt neue Angriffsfläche für Passkeys« bei Google Deutschland suchen, bei Bing oder Google News!