LONDON (IT BOLTWISE) – Unit 42 von Palo Alto Networks beschreibt drei Post-Compromise-Angriffe, die über manipulierte Windows-Systeme Passkeys angreifbar machen können. Im Fokus steht dabei der Google Password Manager in Google Chrome, wobei die Forscher konkrete Umgehungswege wie Pass-ta-key, Silver und Golden ausarbeiten. Besonders kritisch ist die Golden-Variante, weil sie den SDS-Masterschlüssel aus dem Chrome-Speicher extrahieren kann. Gleichzeitig betonen die Autoren, dass Passkeys grundsätzlich sicherer als Passwörter bleiben – vorausgesetzt, das Endgerät bleibt kompromissfrei.
Passkeys gelten in der Praxis als einer der größten Hebel, um die Schwächen klassischer Passwort-Listen zu reduzieren: Statt „Wissen“ setzt das Verfahren stark auf kryptografische Beweise, die bei seriellen Implementierungen nicht einfach durch das Kopieren von Nutzerkennungen zu ersetzen sind. Genau deshalb wirkt die neue Recherche von Unit 42 besonders: Die Sicherheitsforscher zeigen, dass die Passkey-Absicherung zwar robust gegen viele Angriffsarten ist, aber auf Windows-Setups unter bestimmten Bedingungen trotzdem Umgehungswege zulässt. Betroffen ist nach ihren Untersuchungen vor allem die Nutzung von Google Chrome auf Windows-Systemen, wenn das Gerät zuvor durch Malware kompromittiert wurde.
Im Kern handelt es sich nicht um einen „Passkey-Hack von außen“, sondern um Post-Compromise-Techniken, also Angriffe, die erst nach einer bereits erfolgten Infektion greifen. Unit 42 dokumentiert drei Vorgehensmodelle, die sie Pass-ta-key, Silver und Golden nennen. Wichtig ist die Zielsetzung: Die Methoden sollen den Schutz des Google Password Managers umgehen, ohne dabei laut der Studie zwingend Privileg-Erweiterungen im Betriebssystem erforderlich zu machen. Damit verschiebt sich der Fokus in der Verteidigung: Nicht nur die Authentifizierungslogik, sondern die Integrität des Endgeräts und die Systemzustände rund um Browser, Schlüsselmaterial und Sicherheitsmodule werden entscheidend.
Bei „Pass-ta-key“ setzen die Angreifer auf den Identitätsschlüssel, der in einem bestimmten Ablauf exportiert wird. In den Tests, so die Forscher, funktionierte dieses Verfahren beispielsweise auf der Handelsplattform eBay, weil dort eine Prüfung der sogenannten UV-Flags (User Verification) fehlte. Entscheidend ist hierbei weniger der konkrete Webseitenkontext, sondern das zugrunde liegende Muster: Wenn eine Anwendung oder ein Integrationspunkt Nutzerverifikation nicht konsequent erzwingt, kann das für die Passkey-Chain eine Lücke erzeugen. Unit 42 nennt zudem, dass eBay diese Schwachstelle bereits gepatcht habe – ein Hinweis darauf, dass die Angriffsfläche häufig auch an Schnittstellen und Implementierungsdetails entsteht, nicht nur im Passwort-Manager selbst.
„Silver“ zielt dagegen direkt auf die biometrische Verifizierung ab. Die Malware soll den Password Manager so „überreden“, dass er eine erfolgreiche biometrische Entsperrung als gegeben akzeptiert, obwohl sie tatsächlich nicht stattgefunden hat. Technisch betrachtet ist das eine klassische Täuschungsdimension: Die Sicherheitsannahme „Biometrie war erfolgreich“ wird im Ablauf durch manipulierte Signale oder Zustände ersetzt. Dadurch wird das Endgerät zum zentralen Vertrauensanker – denn wenn die Malware den relevanten Zustand im System so beeinflussen kann, dass die Authentifizierung fälschlich als verifiziert erscheint, wird die Stärke des Passkey-Ansatzes an eine zweite Bedingung gekoppelt: Die Umgebung, in der Entsperrung und Schlüsselverarbeitung stattfinden, darf nicht bereits unter Kontrolle des Angreifers stehen.
Am schwersten bewerten die Analysten die „Golden“-Methode. Hier gelingt es der Malware, den 32-Byte-SDS-Masterschlüssel (Sensitive Data Storage) direkt aus dem Speicher von Chrome zu entnehmen. Mit diesem Schlüssel lassen sich nach den Angaben alle synchronisierten Passkeys entschlüsseln. Der kritische Zusatz: Unit 42 beschreibt, dass Google nach ihren Erkenntnissen keine Rotation für SDS-Schlüssel vorsieht. Selbst nachdem das Unternehmen reagiert habe und den SDS-Schlüssel aus den System-Logs entfernt habe, bleibt er laut Bericht weiterhin im Arbeitsspeicher zugänglich – genau dort greift die Angriffstechnik. In der Konsequenz wird aus „nur ein Login wird abgefangen“ eine potenziell dauerhafte Gefährdung, weil sowohl bereits vorhandene als auch zukünftig angelegte Passkeys betroffen sein können.
Die Betroffenheit ist jedoch nach derzeitigem Kenntnisstand klar eingegrenzt. Laut Unit 42 betreffen die Schwachstellen insbesondere die Windows-Version von Chrome in Kombination mit dem Trusted Platform Module (TPM); Systeme mit Android oder macOS seien davon nicht betroffen. Diese Unterscheidung ist für IT-Entscheider relevant, weil sie eine gezielte Risikoabwägung ermöglicht: Wer Passkeys einsetzt, sollte nicht blind „Windows überall“ gleichsetzen, sondern die konkreten Geräte- und Browserkonstellationen prüfen. Außerdem ordnen die Forscher die Lage in den Kontext der Angriffsrealität ein: Sie berichten, dass die Schwachstellen vor der Veröffentlichung an Google gemeldet wurden und bisher keine Fälle in freier Wildbahn beobachtet wurden, in denen die Lücken aktiv ausgenutzt werden.
Damit entsteht ein differenziertes Bild für den Betrieb. Einerseits bleibt die Kernaussage aus der Forschung bestehen, dass Passkeys grundsätzlich sicherer sind als Passwörter, weil sie Phishing und Credential-Diebstahl deutlich schlechter „mitnehmen“ können. Andererseits zeigt die Recherche, wie sehr moderne Authentifizierung dennoch von der Endpunkt-Hygiene abhängt: Wenn Malware bereits vorhanden ist, können selbst starke kryptografische Mechanismen indirekt unterlaufen werden. Für Unternehmen heißt das in der Praxis, Passkey-Rollouts eng mit Endpoint-Protection, zuverlässiger Patch-Strategie und einem klaren Monitoring- und Incident-Prozess zu verknüpfen – nicht als Zusatz, sondern als Voraussetzung, um den Sicherheitsgewinn wirklich auszuschöpfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Unit 42 zeigt drei Angriffsvektoren gegen Passkeys über Chrome" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Unit 42 zeigt drei Angriffsvektoren gegen Passkeys über Chrome" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Unit 42 zeigt drei Angriffsvektoren gegen Passkeys über Chrome« bei Google Deutschland suchen, bei Bing oder Google News!