LONDON (IT BOLTWISE) – Unit 42 von Palo Alto Networks beschreibt drei konkrete Angriffsmethoden, die den Google Password Manager in Chrome auf Windows-Systemen unter bestimmten Voraussetzungen aushebeln können. Die Techniken zielen darauf, Passkeys und damit digitale Identitäten zu kompromittieren, wenn der Rechner bereits mit Schadsoftware infiziert ist. Besonders kritisch ist die „Golden“-Variante, die einen 32-Byte-Master-Key aus dem Prozessspeicher von Chrome extrahieren kann. Google hat laut Quelle bereits erste Anpassungen vorgenommen, doch der Kern der Schwachstelle bleibt lokal offenbar weiterhin angreifbar.
Passkeys gelten in vielen Unternehmen als Befreiungsschlag: Sie sollen die klassische Passwort-gestützte Angriffsfläche verkleinern und Phishing deutlich erschweren. Genau deshalb wirkt die aktuelle Meldung aus der Forschung so ungünstig: Sicherheitsforscher der Unit 42 von Palo Alto Networks haben drei Angriffsmethoden beschrieben, die den Google Password Manager innerhalb des Chrome-Browsers auf Windows-Systemen gefährden können. Entscheidend ist dabei die Voraussetzung, die in der Analyse immer wieder betont wird: Alle drei Szenarien bauen darauf auf, dass der Computer bereits durch Schadsoftware kompromittiert wurde. Damit verschiebt sich das Risiko weniger in Richtung „Passkey ist unsicher“, sondern stärker in Richtung „lokale Malware kann Sicherheitsannahmen aushebeln“ – selbst wenn Passkeys eigentlich stärker gegen Kontoübernahmen geschützt sind.
Technisch setzen „Pass-ta-key“ und „Silver“ an Punkten an, an denen ein Password Manager üblicherweise auf Vertrauenssignale aus Systemfunktionen angewiesen ist. Bei „Pass-ta-key“ gelingt es einer unprivilegierten Malware, eine gültige Authentifizierung zu erreichen, ohne dass der Nutzer eine explizite Benutzerverifizierung vornimmt. Die Forscher führen das darauf zurück, dass sich das Schadprogramm als ein vertrauenswürdiges Gerät ausgeben kann. Interessant ist dabei auch die beobachtete Inkonsistenz: In Tests habe ein entsprechender Versuch beim Onlinedienst GitHub nicht funktioniert, beim Handelsportal eBay dagegen schon. Nach diesen Erkenntnissen seien die entsprechenden Schwachstellen bei eBay inzwischen durch Patches geschlossen worden – ein Hinweis darauf, dass die konkrete technische Ausgestaltung auf der Serverseite oder in den Validierungsprozessen eine Rolle spielt.
Die zweite Methode, „Silver“, adressiert das Zusammenspiel zwischen biometrischer Freischaltung und dem, was der Browser-Password-Manager als legitime Benutzeraktion interpretiert. Die Schadsoftware registriert dabei einen eigenen Verifikationsschlüssel im System. Um das zu erreichen, wird der Password Manager durch das Schadprogramm dazu verleitet, eine biometrische Freischaltung als zulässig anzusehen, obwohl keine tatsächliche Nutzerinteraktion in dieser Form stattgefunden hat. Praktisch heißt das: Wo ein System sonst eine echte Benutzerhandlung erwartet, kann eine Malware im Hintergrund das Ergebnis dieser Erwartung „umcodieren“. Für die Risikoabschätzung ist außerdem wichtig, dass die untersuchte Bedingung nicht nur „Chrome irgendwo auf Windows“, sondern konkret ein Setup mit Trusted Platform Module (TPM) betrifft und damit eine Abhängigkeit von Hardware- und Vertrauensketten entsteht.
Am schwersten stuften die Forscher die „Golden“-Methode ein. Hier extrahiert die Schadsoftware den sogenannten Security Domain Secret (SDS) Master-Key aus dem Prozessspeicher von Chrome. Der Schlüssel ist in der Quelle mit 32 Byte Länge spezifiziert. Mit Zugriff auf diesen Master-Key kann die Malware laut den Untersuchungen sämtliche synchronisierten Passkeys des Nutzers entschlüsseln. Zusätzlich nennen die Forscher einen operativen Risikofaktor: Eine Rotation dieser Master-Keys sei derzeit nicht möglich, weshalb die Kompromittierung nicht nur punktuell wirkt, sondern potenziell über mehrere Synchronisationszyklen nachhallt. Google habe in Reaktion auf die Ergebnisse bereits eine Maßnahme umgesetzt und das Security Domain Secret aus den Chrome-Logs entfernt, um die Sichtbarkeit des Schlüssels zu reduzieren. Gleichzeitig merken die Experten an, dass der Master-Key weiterhin im Prozessspeicher des Browsers zugänglich bleibt. Genau dort liegt für Anwender der Kernkonflikt: Solange lokal verarbeitete Secrets bei laufendem kompromittiertem System extrahierbar sind, bleiben Passkeys im Angriffsmodell „Malware im Endgerät“ verwundbar.
Für den Status der Sicherheitsbehebung liefert die Quelle ebenfalls wichtige Einordnungen. Die Ergebnisse seien Anfang August 2026 veröffentlicht worden, nachdem die Schwachstellen zuvor an Google offengelegt worden waren. Bisher seien für die beschriebenen Sicherheitslücken keine offiziellen CVE-Kennungen (Common Vulnerabilities and Exposures) vergeben worden. Außerdem gebe es laut den Forschern keine Hinweise darauf, dass die Angriffsmethoden bereits in realen Angriffsszenarien außerhalb von Testumgebungen ausgenutzt wurden. Gleichzeitig bleibt ein technischer Voll-Fix laut Quelle noch aus: Wenn kein vollständiger technischer Fix für alle Aspekte vorliegt, müssen Teile der Schutzstrategie auf der Seite der Dienstanbieter und der Nutzerumgebung ansetzen. eBay habe die beschriebenen Methoden bereits abgesichert, doch die grundsätzliche Problematik der Schlüsselextraktion auf lokaler Ebene bestehe fort. Damit werden Präventionsmaßnahmen auf dem Endgerät zur zentralen Voraussetzung: Die Malware-Infektion zu verhindern oder schnell zu beseitigen ist in diesem Modell der entscheidende Hebel, weil alle drei Varianten diese Basis voraussetzen.
Für IT-Leitungen und Security-Teams ergibt sich daraus eine klare Konsequenz für die Architektur der Absicherung. Passkeys reduzieren zwar viele Risiken rund um Kontoanmeldungen, aber sie verlagern den Fokus stärker auf „Endpoint-Schutz als Root of Trust“. In einer Umgebung, in der Schadsoftware bereits läuft, werden Sicherheitsannahmen wie „Benutzerverifizierung“ oder „biometrische Bestätigung“ mitunter nur so gut sein wie die Integrität des lokalen Systems und der Vertrauenskette. Praktisch heißt das: Die Maßnahmen sollten nicht nur bei Konto- und Identitätsdiensten ansetzen, sondern auch bei Application Hardening, Malware-Erkennung, least-privilege-Strategien und schnellen Reaktionsprozessen. Wer darüber hinaus Passkeys über mehrere Dienste hinweg einrichtet, sollte das als zusätzlichen Schutz verstehen – aber nicht als Ersatz für eine konsequente Endpunkt-Hygiene. Genau diese Lücke macht die „Golden“-Methode so brisant: Sie zeigt, dass bei kompromittierten Clients sogar der Master-Key-Ansatz die Grenze der reinen Konto-Absicherung markieren kann.
Abseits der technischen Details lohnt sich auch der Blick auf die Marktlogik. Viele Unternehmen standardisieren inzwischen auf Browser-gebundene Passwortmanager-Funktionen, weil die Nutzerbasis groß ist und der Aufwand für Self-Service minimal bleibt. Eine Analyse wie diese erinnert daran, dass die Angriffsfläche dann nicht mehr „nur das Konto“ ist, sondern der komplette Weg bis in den Browserprozess. Für Produktverantwortliche bei Identitäts- und Authentifizierungsdiensten heißt das: Serverseitige Anpassungen wie das Schließen einer konkreten Lücke bei eBay können Wirksamkeit zeigen, aber sie ersetzen nicht die Frage, wie sich Secrets in einem kompromittierten Endgerät behandeln lassen. Bis es dafür wirklich durchgehend tragfähige Schutzmechanismen gibt, bleibt die robuste Kombination aus Endpunktsicherheit, Patch-Management und konsequenter Risikoüberwachung der praktikabelste Weg, um Passkeys im realen Betrieb resilient zu halten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Google Password Manager: Drei Angriffe auf Passkeys in Chrome" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Google Password Manager: Drei Angriffe auf Passkeys in Chrome" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Google Password Manager: Drei Angriffe auf Passkeys in Chrome« bei Google Deutschland suchen, bei Bing oder Google News!