LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen neue Angriffspfade, mit denen Malware Google-Konten über passwortlose Passkeys übernehmen könnte. Die Methoden zielen auf die Synchronisierung von Passkeys in Chrome unter Windows, besonders auf Systeme mit TPM-Hardware. Dabei soll kein Fingerabdruck-Scan und keine PIN-Eingabe nötig sein. Selbst wenn keine CVEs vergeben wurden, prüfen Google und andere Anbieter bereits ihre Schutzmechanismen und Logs.
Passkeys gelten seit ihrer Einführung als Hoffnungsträger für sicherheitsbewusste Anmeldeprozesse: Statt Passwörtern sollen kryptografische Schlüssel die Rolle von Authentifizierung und Schutz gegen Phishing übernehmen. Umso bemerkenswerter sind die aktuellen Befunde, die Sicherheitsforscher der Einheit Unit 42 von Palo Alto Networks für den Google Password Manager beschrieben haben. Im Fokus stehen drei Angriffsszenarien, die sich auf Chrome unter Windows beziehen und dabei insbesondere Geräte mit Trusted Platform Module (TPM) berücksichtigen. Damit wird deutlich: Auch ein passwortloses Login bleibt nur so stark wie die konkrete Implementierung rund um Schlüsselablage, Synchronisierung und Entkopplung von Nutzerinteraktion.
Die Forscher leiten aus ihren Analysen drei Varianten ab, die sie als „Pass-ta-key“, „Silver Pass-ta-key“ und „Golden Pass-ta-key“ benennen. Gemeinsam ist ihnen die zentrale Idee, dass ein Angreifer Passkey-geschützte Konten übernehmen könnte, ohne dass die betroffene Person aktiv eingreifen muss. Statt eines Fingerabdruck-Scans oder einer PIN-Eingabe setzen die Angriffspfade auf einen bereits kompromittierten Endpunkt: Voraussetzung ist, dass sich Malware auf dem Gerät befindet. Das ist technisch plausibel, weil viele passwortlose Systeme zwar die Nutzeroberfläche vereinfachen, aber im Hintergrund Komponenten zur Schlüsselverarbeitung verwenden, die bei lokaler Kontrolle anders bewertet werden müssen.
Unter der ersten Methode „Pass-ta-key“ soll ein Angreifer gerätespezifische Schlüssel aus dem TPM extrahieren. Das TPM ist dabei nicht nur „Hardware-Siegel“, sondern Bestandteil einer Sicherheitskette, die davon ausgeht, dass nur legitime Prozesse in den richtigen Kontext gelangen. Wenn ein kompromittiertes System jedoch Zugriff auf die benötigten Pfade erhält, kann die Grenze zwischen „abgeschirmter Hardware“ und „lesbarer Schutzmaterial“-Realität verschwimmen. Die „Silver“-Variante zielt hingegen auf die Registrierung eines angreifer-kontrollierten Verifikationsschlüssels ab, während „Golden Pass-ta-key“ das Auslesen eines 32-Byte langen Security Domain Secret aus dem Arbeitsspeicher adressiert. Genau diese Mischung aus TPM-bezogenen und speicherbasierten Ansätzen zeigt, dass es nicht nur um eine einzelne Schwachstelle im Sinne einer Codezeile geht, sondern um Angriffsflächen im Zusammenspiel von Synchronisierung und Schlüsselmaterial.
Besonders kritisch wird es in der Beschreibung eines lokalen Speicherproblems: Chrome speichert dem Bericht zufolge bestimmte Passkey-Metadaten derzeit unverschlüsselt lokal. Wenn ein Angreifer an das Security Domain Secret gelangt, könnte er damit alle synchronisierten Passkey-Privatschlüssel extrahieren. Unit 42 bezeichnet das als neuartige Angriffsfläche für passwortlose Systeme – und genau darin liegt der strategische Widerspruch zur bisherigen Sicherheitsintuition. Die Branche baut gerade auf FIDO2-Standards und Passkeys, um Angriffswege über gestohlene Credentials und klassisches Social Engineering zu reduzieren. Gleichzeitig hängt der Schutz aber davon ab, dass Synchronisierungsdaten und Geheimnisse nicht in Zustände geraten, in denen lokale Malware sie verwerten kann.
Die Gegenmaßnahmen fallen bereits sichtbar aus, auch wenn nach Angaben der Forscher bislang keine CVE-Identifikatoren vergeben wurden und keine Hinweise auf Angriffe in freier Wildbahn vorliegen. Google habe demnach seine FIDO-Logs angepasst und das Security Domain Secret entfernt. GitHub habe die Nutzerverifikation verschärft, und eBay habe eine im Forschungsprozess entdeckte Validierungslücke geschlossen. Solche Schritte sind in der Praxis mehr als „Patchen“: Log-Anpassungen helfen, ungewöhnliche Muster in der Authentifizierungsabfolge früher zu erkennen, während das Entfernen von Secret-Material die Wahrscheinlichkeit senkt, dass ein kompromittiertes Gerät daraus direkt verwertbare Daten ableiten kann. Gleichzeitig bleibt ein harter Punkt offen: Der Master-Schlüssel der Sicherheitsdomäne kann derzeit nicht rotiert werden. Experten sehen darin ein langfristiges Risiko, weil die Möglichkeit, kompromittiertes Material später mit einem frischen Schlüsselmaterial abzulösen, oft ein zentraler Bestandteil nachhaltiger Sicherheitsarchitekturen ist.
Dass die Timing-Frage nicht zufällig ist, zeigt der parallel beschriebene Trend zur schnelleren Passkey-Verbreitung. Rund 11 Millionen Workspace-Nutzer hätten bereits Zugriff auf Passkey-Funktionen. Parallel treibt Google mit Device Bound Session Credentials (DBSC) eine Beta für Chrome unter Windows voran, um Session-Cookie-Diebstahl zu verhindern. Technisch lässt sich DBSC als Versuch interpretieren, Sitzungsrechte stärker an Geräte- oder Hardware-gebundene Eigenschaften zu koppeln, damit ein gestohlener Session-Token allein nicht genügt. Der Blick nach vorn ist allerdings auch hier nicht eindimensional: Noch wenige Tage zuvor sei ein Experiment mit KI-generierten Gesichtern in Googles biometrischen Kontoschutz diskutiert worden. Auch wenn es sich nicht um „echten“ Identitätsdiebstahl gehandelt habe, bleibt die Botschaft für Produktteams gleich: Deepfake-Erkennung und Präsentationsangriffe müssen konsequent mitwachsen.
Der Sicherheitskontext geht sogar über Passkeys bei Google hinaus. In der Berichterstattung wird außerdem erwähnt, dass Forscher der ETH Zürich und der Universität Lugano Schwachstellen in Zero-Knowledge-Verschlüsselungsmodellen bei Anbietern wie Bitwarden, LastPass und Dashlane identifiziert haben. Während Dashlane die kritischste Lücke bereits geschlossen haben soll, fordern die Forscher die konsequente Einführung neuester kryptografischer Standards für alle Nutzer. Für Unternehmen heißt das: Passkeys sind nicht „fertig sicher“, sondern ein Baustein in einer gesamten Kette aus Client-Integrität, Schlüsselverwaltung, Synchronisierungslogik und Schutz vor lokaler Malware. In der Praxis lohnt sich deshalb mehr als ein reines Umstellen auf passwortlose Logins: Sicherheitsverantwortliche sollten sich ansehen, wie Endgeräte gehärtet sind, welche Telemetrie bei Login-Ereignissen entsteht und wie schnell sich kritisches Schlüsselmaterial austauschen lässt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkeys unter Druck: Malware kann Google-Konten ohne PIN übernehmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkeys unter Druck: Malware kann Google-Konten ohne PIN übernehmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkeys unter Druck: Malware kann Google-Konten ohne PIN übernehmen« bei Google Deutschland suchen, bei Bing oder Google News!