LONDON (IT BOLTWISE) – Mehrere Forschungsteams zeigen, dass Passkeys in bestimmten Microsoft-Setups nicht so „unknackbar“ sind, wie es das Marketing vermuten lässt. Dabei geht es weniger um gebrochene Kryptografie als um Möglichkeiten zur Wiederverwendung von Authentifizierungsantworten und um Schwächen in der Session- bzw. Gerätebindung. Betroffen sind vor allem Umgebungen mit Windows sowie Cloud-Synchronisierung über Entra ID. Microsoft hat Gegenmaßnahmen und ein separates Update für eine Windows-Logging-Lücke bereitgestellt.
Passkeys sollten den nächsten Schritt in Richtung „phishing-resistenter“ Anmeldung bringen. Doch die aktuellen Ergebnisse mehrerer Forschungsteams zeichnen ein differenziertes Bild: In Microsoft-Umgebungen lässt sich der Schutz offenbar in bestimmten Konfigurationen umgehen, ohne die kryptografischen Grundlagen der Passkey-Idee selbst zu zerstören. Der Kern ist nicht, dass das Konzept nicht mehr funktioniert, sondern dass Angreifer in der Praxis nach den schwächsten Gliedern der Gesamtarchitektur suchen – also nach dem Weg, wie Authentifizierungszusagen zwischen Gerät, Betriebssystem und Cloud transportiert, bestätigt und weiterverarbeitet werden.
Besonders konkret wird es bei einer von SpecterOps beschriebenen Schwachstellenkette in Windows und Microsoft Entra ID. Laut den Forschern können Angreifer signiertes Authentifizierungsmaterial wiederverwenden, um sich als hochprivilegierte Nutzer auszugeben. Bemerkenswert ist dabei, dass nicht der private Schlüssel im klassischen Sinn gestohlen wird, sondern dass sogenannte Relay-Assertions abgefangen und erneut eingesetzt werden. Das adressiert ein praktisches Angriffsproblem: Selbst wenn ein Passkey kryptografisch korrekt signiert, kann eine fehlende oder unzureichende Bindung an Kontext, Ablaufzeitpunkt und Zielsystem dafür sorgen, dass signierte Aussagen unter bestimmten Bedingungen „wiederverwendbar“ bleiben.
Parallel dazu liefert Palo Alto Networks mit „Pass-ta-key“ eine zweite Perspektive auf den Angriffspfad – diesmal aus dem Blickwinkel von Chrome und dem Google Password Manager unter Windows. Im Fokus stehen Geräte mit Trusted Platform Module (TPM), also Hardware-Elemente, die eigentlich helfen sollen, Schlüsselmaterial und Vertrauensanker robuster an das Gerät zu binden. Den Angaben zufolge kann vorhandene Schadsoftware den cloud-synchronisierten Passkey-Dienst missbrauchen, wobei besonders kritisch ist, dass selbst Malware ohne Administratorrechte ein vertrauenswürdiges Gerät vortäuschen und gültige Authentifizierungsantworten anfordern kann. Die Folge: Das System kann scheinbar „biometrische oder PIN-basierte Hürden“ überspringen, weil die Autorisierung nicht mehr dort ansetzt, wo Nutzerinteraktion tatsächlich erwartet wird.
Ein dritter Strang kommt vom unabhängigen Forscher Dirk-jan Mollema, der eine Schwachstelle bei hardware-gebundenen Windows Hello for Business-Schlüsseln demonstrierte. Läuft Malware in einer aktiven Windows-Sitzung, kann sie demnach den gespeicherten Schlüssel verwenden, ohne dass erneut eine PIN oder biometrische Bestätigung angefordert wird. Genau an dieser Stelle wird das Thema für Unternehmen schnell greifbar: Viele Organisationen erleben den größten Schaden nicht im Moment des initialen Logins, sondern in Phasen danach, wenn Sessions bestehen bleiben, Tokens weiterwirken und Vertrauensbeziehungen zwischen Komponenten „durchlaufen“ werden. Damit rückt die Sitzungssicherheit in den Fokus, also die Frage, ob und wie oft sensible Aktionen gegen Replay, Kontextwechsel oder missbräuchliche Nutzung von bereits freigegebenen Zuständen abgesichert werden.
Im Laufe der Untersuchungen fand man zudem eine separate Schwachstelle im Windows Event Logging Service: CVE-2026-34348. Microsoft bewertet den Fehler mit einem CVSS-Score von 6,5 und hat ein Sicherheitsupdate veröffentlicht. Wichtig für die Bewertung im Gesamtsystem ist die Aufteilung der Maßnahmen: Die Korrektur der Logging-Lücke erfolgte laut Angaben getrennt von den Backend-Änderungen, die die Passkey-Relay-Problematik adressieren sollten. Für Sicherheitsverantwortliche heißt das praktisch, dass „ein Update“ selten die vollständige Antwort ist; statt einer einzelnen Patch-Strategie braucht es eine saubere Abdeckung aller relevanten Komponenten – Betriebssystem, Identity-Stack und Überwachung.
Die Erkenntnisse deuten außerdem darauf hin, dass die Migrationsanleitungen und Designannahmen zur Passkey-Resilienz nicht für jede Angriffsform in jeder Konfiguration gelten. In der Quelle wird insbesondere erwähnt, dass Passkeys weiterhin als resistent gegen klassische Replay-Angriffe beschrieben werden, während die Forschungsergebnisse nahelegen, dass bestimmte Wiederverwendungsangriffe auch dann möglich bleiben können, wenn die Kryptografie an sich unangetastet bleibt. Für Unternehmen ist das weniger ein Grund zur Rückabwicklung als ein Auftrag zur gezielten Architekturprüfung: Welche Authentifizierungsmechanismen werden genau verwendet, wie ist die Gerätebindung umgesetzt, wie werden Sessions gehandhabt und wie eng ist die Kopplung zwischen Client-Kontext und Cloud-Seite?
Entsprechend sollte die Umstellung auf passwortlose Anmeldung als technisches Projekt verstanden werden – nicht als „Set-and-forget“-Ablösung. Passkeys reduzieren viele Angriffsflächen rund um Phishing, aber sie eliminieren nicht automatisch Risiken durch kompromittierte Clients, persistente Malware oder unzureichend abgesicherte Zustandsübergänge nach dem initialen Login. Wer Microsoft-Umgebungen betreibt, sollte nach Veröffentlichung der Patches die konkreten Konfigurationen in Windows und Entra ID gegen die beschriebenen Relay- und Session-Szenarien prüfen, Logging- und Monitoring-Lücken schließen und dabei insbesondere sicherstellen, dass die Überwachung tatsächlich verwertbare Signale liefert. Nur dann wird aus dem Versprechen „phishing-resistent“ auch ein betrieblich belastbares Sicherheitsniveau.
Abseits der technischen Details bleibt die zentrale Botschaft: Passkeys verschieben die Angriffslogik – weg von „Passwort abgreifen“, hin zu „Authentifizierungszusagen missbrauchen“. Damit wächst die Bedeutung von Endpoint-Schutz, Härtung der Browser- und OS-Integrationen sowie einer schnellen Update-Disziplin. In der Praxis bedeutet das für IT-Teams, ihre Sicherheitsprüfungen stärker an Authentifizierungsflüssen und nicht nur an dem Frontend der Login-Maske auszurichten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkey-Angriffe auf Microsoft-Setups: Relay, Malware und Windows Hello-Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkey-Angriffe auf Microsoft-Setups: Relay, Malware und Windows Hello-Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkey-Angriffe auf Microsoft-Setups: Relay, Malware und Windows Hello-Lücken« bei Google Deutschland suchen, bei Bing oder Google News!