LONDON (IT BOLTWISE) – Sicherheitsanalysten von Unit 42 beschreiben Pass-ta-key-Angriffe, die auf Windows-Geräten mit TPM Schutzmechanismen aushebeln. Die Schadsoftware soll dabei synchronisierte Google-Passkeys übernehmen und so die übliche Nutzerprüfung umgehen. Besonders heikel ist die „Golden“-Variante, die laut den Forschern ein 32-Byte-Secret aus dem Chrome-Speicher nutzt. Betroffen sind vor allem Systeme, auf denen der Browser aktiv bleibt und Dienste die nötigen Flags nicht konsequent prüfen.
Passkeys sollten eigentlich das Ende der Passwort-Ära einläuten: weniger Phishing-Flächen, stärkere Bindung an Geräte und eine Authentifizierung, die sich nicht einfach „abschreiben“ lässt. Genau an dieser Stelle setzt eine neue Angriffsmethode an, die Sicherheitsanalysten von Unit 42 als Pass-ta-key beschreiben. Im Kern geht es darum, dass Malware auf Windows-Systemen nicht nur Zugriffsversuche startet, sondern synchronisierte Passkeys innerhalb des Chrome-Browsers missbrauchen kann. Damit verlagert sich das Risiko weg von gestohlenen Zugangsdaten hin zu einer Manipulation der Vertrauenskette, die zwischen Gerät, Browser und Identity-Provider entsteht.
Technisch betrachtet zielen die beschriebenen Angriffe auf Geräte ab, die über ein Trusted Platform Module (TPM) verfügen. Laut den Untersuchungen kann die Schadsoftware auf bereits infizierten Systemen Passkeys übernehmen, weil sie eine „gute“ Antwort erzwingt, ohne dass der Nutzer interagieren muss. Basis davon ist ein Szenario, in dem unprivilegierte Malware ein vertrauenswürdiges Gerät imitiert: Sie stellt eine gültige Authentifizierungsantwort bereit, indem sie die bereits etablierte Vertrauensstellung des kompromittierten Systems ausnutzt. Dass Passkeys als besonders phishing-resistent gelten, schützt hier nicht automatisch, weil der Angriff nicht versucht, Nutzer zu überzeugen, sondern den Browserprozess zu missbrauchen.
Bei der praktischen Wirksamkeit spielt nicht nur die lokale Kompromittierung eine Rolle, sondern auch, wie der jeweilige Dienst die vom Browser gelieferte Information bewertet. Die Forscher berichten, dass ein Entwicklerportal mit einer geforderten Validierung erfolgreich blockierte, während ein Online-Marktplatz in ersten Tests eine gefälschte Authentifizierung akzeptierte. Entscheidend ist dabei das sogenannte User-Verified-Flag: Wenn eine Plattform dieses Flag korrekt interpretiert und konsistent validiert, kann sie Authentifizierungen verwerten, die wirklich durch eine Nutzerverifikation abgesichert sind. Wenn der Dienst das Flag dagegen zunächst nicht ausreichend prüfte, entsteht ein Pfad, in dem die Malware als „rechtmäßiger Besitzer“ wirken kann, obwohl eigentlich keine echte Nutzerbestätigung stattgefunden hat.
Unit 42 differenziert außerdem zwei Eskalationsstufen, die das Risiko deutlich verschieben. Die Silver Pass-ta-key-Variante soll einen eigenen User-Verification-Key registrieren, um die vorgesehene Nutzerverifizierung zu umgehen und eigene Bestätigungen zu generieren. Noch kritischer wird die Golden Pass-ta-key-Methode eingeordnet: Hier extrahiert die Schadsoftware laut den Angaben aus dem Speicher von Google Chrome ein spezifisches Geheimnis, das 32-Byte Security Domain Secret (SDS). Mit diesem Schlüssel soll die Malware in der Lage sein, sämtliche im Google-Konto synchronisierten Passkeys zu entschlüsseln. Besonders problematisch sei zudem, dass für dieses Sicherheitsgeheimnis derzeit keine Rotationsmöglichkeit vorgesehen ist, wodurch sich die langfristige Schutzwirkung betroffener Konten reduziert.
Google hat nach den Berichten bereits reagiert und das Security Domain Secret aus den Systemprotokollen entfernt, um die Sichtbarkeit des Schlüssels zu verringern. Die Forscher weisen jedoch darauf hin, dass das SDS weiterhin im Arbeitsspeicher vorhanden bleibt und dadurch zugreifbar sein kann, solange der Browser aktiv genutzt wird. Damit verschiebt sich die Abwehr nicht nur auf „bessere Protokolle“, sondern auf ein grundsätzliches Problem: Solange ein kompromittierter Prozess oder ein lokales Angriffsereignis in der Laufzeitumgebung gelingt, ist der Schutz gegen lokale Malware schwerer als der Schutz gegen reine Netzangriffe. Das erklärt auch, warum die Diensteseite so wichtig ist, selbst wenn der Nutzer faktisch „passwortlos“ unterwegs ist.
Die Auswirkungen für Betreiber und Security-Verantwortliche sind in der Meldung ziemlich konkret: Es gebe bisher keine Hinweise darauf, dass diese Methoden bereits aktiv im Internet ausgenutzt werden, und auch konkrete CVE-Kennungen werden derzeit nicht genannt. Gleichzeitig empfehlen die Analysten, dass Diensteanbieter das User-Verified-Flag konsequent validieren und Attestierungen prüfen. Für Nutzer mit besonders schützenswerten Konten raten sie zum Einsatz dedizierter Hardware-Sicherheitsschlüssel, weil diese eine höhere Resistenz gegen lokale Malware-Angriffe auf das Betriebssystem bieten. In der Praxis bedeutet das: Passkeys reduzieren die Angriffsfläche gegen typische Phishing- und Credential-Diebstahlmuster, aber sie ersetzen nicht die Notwendigkeit, Endgeräte sauber zu halten und Authentifizierungslogik auf Serverseite streng zu verifizieren.
Für die Branche ist die Nachricht damit weniger ein „Passkeys sind unsicher“-Signal, sondern eine Erinnerung an die Architektur von passwortlosen Systemen: Sicherheit entsteht aus der Kombination von Gerätelaufzeit, Browser-Implementierung und serverseitiger Prüfung von Verifikationssignalen. Wenn ein Dienst die Nutzerverifikation nicht ausreichend anhand verlässlicher Flags und Attestierungen absichert, kann lokale Schadsoftware den Vorteil der Passkeys untergraben. Umgekehrt zeigt der gemeldete Unterschied zwischen Plattformen, dass die gleichen Client-Fähigkeiten nicht automatisch überall zu denselben Sicherheitslücken führen. Für Unternehmen heißt das vor allem: Zero-Trust im Endgerät bleibt relevant, und die Validierung authentifizierungsbezogener Signale sollte als feste Anforderung in die Integrations- und Security-Reviews eingehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Pass-ta-key-Angriffe: Malware übernimmt Google-Passkeys auf Windows" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Pass-ta-key-Angriffe: Malware übernimmt Google-Passkeys auf Windows" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Pass-ta-key-Angriffe: Malware übernimmt Google-Passkeys auf Windows« bei Google Deutschland suchen, bei Bing oder Google News!