SINGAPUR / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer neuen Welle von Passkey-Phishing, bei der Angreifer Passkeys für Social Engineering missbrauchen. Laut Beobachtungen unter anderem mit AiTM-Phishing und Device-Code-Flows sollen so Identitäten übernommen werden. Ziel ist es, neue Authentifizierungsmethoden zu hinterlegen und anschließend sensible Daten über die Graph-API zu exfiltrieren. Zeitgleich breitet sich die Passkey-Nutzung in staatlichen Diensten wie Singpass aus, was das Risiko für Nutzer zusätzlich erhöht.
Passkeys sollen eigentlich das Ende klassischer Passwort-Leaks einläuten: Nutzer authentifizieren sich ohne getippte Geheimnisse, etwa per Smartphone-Fingerprint oder Face-ID. Genau deshalb wirkt die aktuelle Beobachtung so widersprüchlich. Sicherheitsforscher berichten seit Mai 2026 über eine gezielte Angriffswelle, bei der Cyberkriminelle Passkeys nicht technisch „knacken“, sondern im Social Engineering als Köder nutzen. Der Kern der Kampagnen liegt auf Identitätsübernahmen: Angreifer manipulieren die Authentifizierungsstrecke so, dass sie die Kontrolle über Accounts erlangen, zusätzliche Authentifizierungsmethoden hinzufügen und danach Daten aus Cloud-Umgebungen abrufen.
Technisch rücken dabei insbesondere Adversary-in-the-Middle-Phishing (AiTM) und Device-Code-Flows in den Fokus. AiTM-Angriffe sind dabei nicht nur ein „Fake-Login“-Szenario, sondern zielen auf die Rolle des Opfers in einem realen Authentifizierungsablauf: Die Angreifer platzieren sich zwischen Nutzer und legitimen Diensten, sodass Tokens oder Bestätigungen fehlgeleitet werden können. Ergänzend setzen die Kampagnen auf Device-Code-Flows, also Muster, bei denen ein Gerät oder Browser einen Freigabeschritt über einen Code anstößt. Zusammen erhöhen diese Ansätze die Wahrscheinlichkeit, dass die Angreifer im Ergebnis nicht nur Zugriff erhalten, sondern auch die nachgelagerte Kontrolle behalten, beispielsweise indem sie neue Login-Methoden hinterlegen und anschließend über die Graph-API Daten exfiltrieren.
Die Angreifer machen den Manipulationsprozess dabei messbar „handwerklich“: Im Umfeld der beobachteten Aktivitäten tauchten etwa Domains wie passkeyhelpdesk[.]com auf. Solche Adressen sollen Nutzer unter dem Vorwand technischer Unterstützung in eine Abfolge von Schritten ziehen, die am Ende zur Preisgabe von Zugangsdaten oder zu manipulierter Authentifizierung führen. Das ist besonders brisant, weil die Passkey-Verbreitung zeitgleich Fahrt aufnimmt. In Singapur etwa hat GovTech angekündigt, dass Singpass-Passkeys ab dem 9. September 2026 auch für Android-Nutzer zur Verfügung stehen. Seit dem Start der iOS-Beta am 30. Juni sollen rund 800.000 iPhone-Nutzer bereits Passkeys erstellt haben, und für die Unterstützung auf Desktop-Geräten ist laut Planung Ende 2026 vorgesehen.
Auch wenn Passkeys im Idealfall Phishing erschweren, bleibt die menschliche Angriffsfläche bestehen. Für Singapur werden zwar fallende Zahlen gemeldet: Im ersten Halbjahr 2026 sanken die gemeldeten Phishing-Fälle auf 3.104 (Vorjahr: 3.772). Gleichzeitig liegen die Verluste durch Phishing allein im Jahr 2025 bei S$39,9 Mio. Das deutet weniger auf Entwarnung hin, sondern eher darauf, dass Angreifer schneller werden und Methoden so umbauen, dass sie in neue Nutzergewohnheiten hineinpassen. Genau an dieser Stelle wird auch BigBear 2.0 relevant, ein Phishing-as-a-Service-Modell (PhaaS), das auf Evilginx2 basiert und in einer Kampagne 3.331 Microsoft-365-Konten in 461 Organisationen über mehr als 40 Länder hinweg kompromittiert haben soll.
In den betroffenen Einrichtungen kam es laut den Beobachtungen in 258 Organisationen zu einem erfolgreichen Umweg, insgesamt sollen 5.137 Datensätze offengelegt worden sein, darunter 1.032 Passwörter und 4.148 Browser-Cookies. Interessant ist dabei der Trick rund um Browser-Skripte: Die Angreifer sollen JavaScript nutzen, um Sicherheitsmechanismen wie FIDO2 und WebAuthn gezielt zu deaktivieren. Das erzwingt dann einen Fallback auf weniger robuste Verfahren wie SMS, TOTP oder Push-Nachrichten, womit die Mehrfaktor-Authentifizierung (MFA) im Ergebnis umgangen werden kann. Für Unternehmen ist das eine klare Verschiebung der Risikolandschaft: Nicht mehr nur „Passwort-Diebstahl“ steht im Mittelpunkt, sondern die Umgehung moderner Authentifizierungsketten durch geschickte Eingriffspunkte im Ablauf.
Der Trend zu Identitätsangriffen zeigt sich zudem sektorspezifisch. Kaspersky Lab meldet Versuche, Gosuslugi-Konten über Telegram-Bots zu übernehmen; dabei hätten sich Betrüger als Personalverantwortliche ausgegeben. Gegen den Hardware-Wallet-Hersteller Ledger soll außerdem eine Kampagne gefahren worden sein, bei der gefälschte E-Mails von einer inoffiziellen Adresse zur Aktualisierung der Firmware aufforderten. Solche Muster wirken auf den ersten Blick „klassisch“, sie bekommen aber durch den Passkey-Kontext eine neue Wirkung: Nutzer werden in Support- oder Update-Szenarien gelockt, während Angreifer parallel technisch vorbereitete Umleitungen nutzen. Ergänzend ordnet Nordlo die Entwicklung ein und verweist darauf, dass sich die Vorfälle in Schweden zwischen Oktober 2025 und Mai 2026 verdreifacht hätten; der Fokus habe dabei auf gestohlenen Anmeldedaten gelegen. Auch der illegale Handel mit Datensätzen wird als Teil des Ökosystems beschrieben, etwa wenn TheHatman nach Angaben im Zeitraum Juli bis August 2026 rund 3,6 Millionen Datensätze aus Mitarbeiterverzeichnissen großer Unternehmen zum Verkauf angeboten haben soll.
Für die Verteidigung bedeutet das vor allem eines: Passkeys sind nur dann ein echter Sicherheitsgewinn, wenn sie in den übrigen Prozess eingebettet sind. Organisationsseitig rückt damit das Zusammenspiel aus Login-Hygiene, Support-Prozessen und Identitätsmonitoring in den Vordergrund. Die Australian Signals Directorate (ASD) warnt in einem Leitfaden zudem davor, dass die Nutzung von KI Cyberangriffe massiv beschleunigen könne, und empfiehlt, von einer dauerhaften Kompromittierung auszugehen; besonders privilegierte Identitäten sowie Zugriffe von Drittanbietern müssten geschützt werden. Dass KI-Agenten laut Demonstrationen bereits in weniger als 10 Stunden Netzwerke kartieren und Cloud-Infrastrukturen übernehmen können, wenn sie viele Angriffstechniken parallel anwenden, unterstreicht den Zeitdruck: Verteidigung darf nicht nur reaktiv sein, sondern muss Anomalien in Authentifizierungs- und Tokenflüssen früh erkennen.
Für IT-Verantwortliche folgt daraus weniger ein „Passkeys sind gefährlich“-Narrativ, sondern eine präzisere Risikobeschreibung: Angreifer entwickeln nicht nur neue Täuschungsformate, sondern auch neue Übergänge zwischen Authentifizierungsschritten und Datenabgriff. Praktisch heißt das, dass Schulungen zu Phishing nicht beim „E-Mail anklicken verboten“ stehen bleiben dürfen, sondern konkrete Verhaltensregeln für Support- und Sicherheitsanfragen brauchen. Ebenso wichtig sind Kontrollen, die Umwege in Device-Code-Flows und AiTM-ähnlichen Pfaden erschweren, etwa durch restriktive Freigaben, Monitoring auf ungewöhnliche Registrierungen neuer Authentifizierungsfaktoren und eine saubere Auswertung von Zugriffen auf die Graph-API. Wer jetzt plant, sollte zudem Third-Party-Zugriffe und privilegierte Rollen als zusammenhängendes Angriffsmodell betrachten, nicht als einzelne Systemkomponente.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkey-Phishing trifft weltweit: AiTM- und Device-Code-Flows kompromittieren Konten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkey-Phishing trifft weltweit: AiTM- und Device-Code-Flows kompromittieren Konten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkey-Phishing trifft weltweit: AiTM- und Device-Code-Flows kompromittieren Konten« bei Google Deutschland suchen, bei Bing oder Google News!