Anfang August 2026 veröffentlichte Unit 42, die Sicherheitsforschungsabteilung von Palo Alto Networks, den Report „Pass the Passkey“. Der Bericht dokumentiert drei neu identifizierte Angriffspfade auf den Google Password Manager innerhalb des Chrome-Browsers unter Windows. Trotz der Nutzung von Sicherheitsfeatures wie dem Trusted Platform Module (TPM) zeigen die Analysen auf, wie synchronisierte Passkeys durch Malware kompromittiert werden können.
Mechanismen der Schlüssel-Extraktion
Die von den Sicherheitsforschern beschriebenen Methoden tragen die Bezeichnungen Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key. Diese Angriffe zielen darauf ab, den Schutzmechanismus des Google Password Managers zu umgehen. Besonders kritisch wird dabei der „Golden“-Angriff bewertet. Dabei ist es möglich, den sogenannten Security Domain Secret (SDS)-Masterkey im Klartext aus dem Prozessspeicher von Chrome zu extrahieren.
Dieser SDS-Masterkey weist eine Länge von 32-Byte auf und fungiert als zentrales Element für die Sicherheit der gespeicherten Zugangsdaten. Laut dem Bericht existiert für diesen Schlüssel derzeit kein Rotationsmechanismus, was bedeutet, dass er nicht widerrufen oder ausgetauscht werden kann. Sollte dieser Masterkey einmal entwendet werden, könnten Angreifer damit sämtliche synchronisierten Passkeys eines Nutzers entschlüsseln.
Auswirkungen auf den Google Password Manager
Die Untersuchungen von Unit 42 verdeutlichen, dass Malware in der Lage ist, synchronisierte Passkeys zu kapern, ohne dass dafür eine Interaktion des Benutzers erforderlich wäre. Ein wesentlicher Aspekt der Entdeckung ist zudem, dass für die Durchführung der Angriffe und die Extraktion des SDS keine Ausweitung der Benutzerrechte (Privilege Escalation) notwendig ist. Die Schadsoftware kann agieren, sobald sie im Kontext des angemeldeten Benutzers ausgeführt wird.
Wer sich mit der Sicherheit seiner digitalen Identität befasst, sollte die Hintergründe der passwortlosen Anmeldung genau verstehen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei großen Diensten wie Amazon oder Microsoft einrichten und für maximale Sicherheit nutzen. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Trotz der theoretischen und im Labor nachgewiesenen Durchführbarkeit gibt es derzeit Entwarnung für die breite Masse der Anwender: Laut Unit 42 wurde bislang keine Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet. Folgerichtig wurde den beschriebenen Szenarien bisher auch keine CVE-Kennung (Common Vulnerabilities and Exposures) zugewiesen. Die Forscher betonten zudem, dass Passkeys grundsätzlich weiterhin als phishing-resistent einzustufen sind, da sie die klassische Passworteingabe durch kryptografische Verfahren ersetzen.
Empfehlungen und Reaktionen der Branche
Infolge des Disclosures durch Palo Alto Networks gab es bereits erste Reaktionen betroffener Plattformbetreiber. Das Unternehmen eBay hat eine identifizierte Lücke bei der UV-Validierung (User Verification Flag) bereits geschlossen, um die Sicherheit der dort hinterlegten Passkeys zu erhöhen.
Angesichts von Millionen gehackter Konten pro Quartal wird der Schutz vor Datenklau immer wichtiger. Erfahren Sie in diesem Ratgeber, wie Sie die neue Methode der Fingerabdruck- oder Gesichtserkennung sicher anwenden, um den klassischen Passwort-Stress zu beenden. Nie wieder Passwörter merken: Diese neue Methode macht das Einloggen kinderleicht
Um die Risiken durch die neu entdeckten Angriffspfade zu minimieren, empfiehlt Unit 42 IT-Verantwortlichen und Software-Entwicklern verschiedene Gegenmaßnahmen. Dazu gehören eine strikte Validierung der Benutzerverifizierung sowie eine detaillierte Prüfung der Attestierung bei der Verwendung von Passkeys. Zudem wird dazu geraten, die erneute Registrierung von Geräten (Re-Enrollments) innerhalb der Systeme kontinuierlich zu überwachen, um ungewöhnliche Aktivitäten frühzeitig zu erkennen. Die Analyse unterstreicht die Notwendigkeit, Sicherheitsarchitekturen für die Verwaltung kryptografischer Schlüssel in Browser-Umgebungen stetig weiterzuentwickeln, da herkömmliche Schutzmaßnahmen wie TPM allein gegen die identifizierten Speicher-Extraktionen nicht ausreichen.
