Sicherheitsforscher haben drei neuartige Angriffstechniken auf passwortloses Login entdeckt. Betroffen sind vor allem Windows-Nutzer mit Chrome.
Die Zeiten, in denen Passkeys als unknackbar galten, sind vorbei. Forscher der Sicherheitsfirma Palo Alto Networks haben Methoden gefunden, die synchronisierten Zugangsschlüssel in Google Chrome auf Windows-Systemen zu kompromittieren. Die Angriffe nutzen Schwachstellen in der Verwaltung und Verifikation der Anmeldedaten durch das Trusted Platform Module (TPM) des Betriebssystems.
Drei Angriffsstufen mit wachsender Gefahr
Die Forscher unterscheiden zwischen drei Varianten: Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key. Gemeinsam ist ihnen, dass sie ohne Administratorrechte, Nutzerinteraktion oder biometrische Bestätigung auskommen. Einmal auf dem System installierte Schadsoftware kann damit Anmeldeversuche fälschen, ohne dass der Nutzer überhaupt am Gerät ist.
Angesichts von rund 4,7 Millionen gehackten Online-Konten pro Quartal in Deutschland suchen viele Nutzer nach sichereren Alternativen zum klassischen Passwort. Was hinter der neuen Passkey-Technologie steckt und wie man sie bei Diensten wie Amazon oder WhatsApp einrichtet, zeigt dieser kostenlose Ratgeber. Passkey-Technologie verstehen und Konten absichern
Beim einfachen Pass-ta-key-Angriff signiert die Malware Anfragen mit dem TPM-Identitätsschlüssel. So erzeugt sie gültige Authentifizierungsnachweise, obwohl der Nutzer nicht eingegriffen hat. Die Silver-Variante geht einen Schritt weiter: Hier registriert der Angreifer einen eigenen Verifikationsschlüssel, um dauerhaft Zugriff zu behalten.
Am gefährlichsten ist Golden Pass-ta-key. Dabei extrahiert die Schadsoftware ein 32-Byte großes Geheimnis (Security Domain Secret) aus dem Arbeitsspeicher von Chrome. Mit diesem Schlüssel lassen sich potenziell alle synchronisierten Passkeys des Kontos entschlüsseln. Besonders heikel: Nutzer können dieses Geheimnis derzeit nicht rotieren. Ein erfolgreicher Angriff hat also womöglich langfristige Folgen.
Dienste unterschiedlich gut geschützt
Wie anfällig ein Passkey-geschütztes Konto ist, hängt stark vom jeweiligen Anbieter ab. Die Forscher testeten mehrere bekannte Plattformen auf ihre Widerstandsfähigkeit. GitHub schnitt gut ab: Der Dienst prüfte korrekt, ob der Nutzer beim Anmeldeversuch tatsächlich anwesend und verifiziert war. eBay hingegen akzeptierte zunächst auch Authentifizierungsnachweise ohne diese Prüfung. Erst nach der Offenlegung der Schwachstelle schloss der Online-Marktplatz das Loch.
Google hat ebenfalls reagiert und das Security Domain Secret aus Diagnoseprotokollen entfernt. Allerdings bleibt der Schlüssel im Arbeitsspeicher für Malware zugänglich. Eine offizielle Stellungnahme zu den Forschungsergebnissen steht bislang aus.
Wer sich mit der Sicherheit seiner digitalen Konten befasst, sollte die neuesten Methoden zum Schutz vor Hackern und Datenklau kennen. Dieser kostenlose PDF-Report erklärt die Vorteile der passwortlosen Anmeldung und wie Sie den Passwort-Stress dauerhaft beenden. Kostenlosen Report zur sicheren Anmeldung anfordern
Passkeys ja, aber nicht allein
Die Forscher betonen: Passkeys sind deutlich sicherer als klassische Passwörter. Gegen lokale Schadsoftware bieten sie jedoch keinen vollständigen Schutz. Für besonders sensible Konten empfehlen sie:
- Strenge Validierung: Dienste sollten bei jeder Authentifizierung prüfen, ob der Nutzer physisch anwesend war.
- Hardware-Schlüssel: Physische Sicherheitsschlüssel gelten weiterhin als robusteste Alternative, da sie nicht über den Arbeitsspeicher auslesbar sind.
- Überwachung: Unternehmen sollten auf ungewöhnliche Re-Registrierungen oder Änderungen im Anmeldeverhalten achten.
Der Bericht zeigt einen grundlegenden Wandel in der Bedrohungslage: Angreifer setzen nicht mehr auf Phishing, sondern zielen direkt auf die lokale Authentifizierungsinfrastruktur der Opfer. Für deutsche Nutzer bedeutet das: Passkeys sind ein wichtiger Baustein, aber kein Allheilmittel – insbesondere auf Geräten, die nicht vollständig unter eigener Kontrolle stehen.
