In russischen Cybercrime-Foren wird derzeit eine neue Version des Phishing-Toolkits iAuthFlow zum Verkauf angeboten. Die als iAuthFlow v2 bezeichnete Software wird für einen Preis von 10.000 US-Dollar gehandelt und stellt eine erhebliche Bedrohung für die Sicherheit von Nutzerkonten bei großen Dienstanbietern dar. Im Fokus der Angreifer stehen dabei insbesondere Konten von Google, Microsoft, LinkedIn sowie iCloud-Nutzer.
Das Toolkit zeichnet sich durch eine technische Neuerung aus, die herkömmliche Sicherheitsmaßnahmen weitgehend wirkungslos macht. Anstatt lediglich Zugangsdaten abzugreifen, nutzt iAuthFlow v2 eine erfolgreich phishierte Sitzung, um unmittelbar einen vom Angreifer kontrollierten Passkey zu registrieren. Dieser Vorgang erfolgt automatisiert und mit hoher Geschwindigkeit.
Eine Analyse von Sicherheitsexperten des Unternehmens Abnormal Security zeigt auf Basis einer Demonstration, dass zwischen dem erfolgreichen Login des Opfers und der Erstellung des bösartigen Passkeys nur etwa 6 Sekunden vergehen. In einem dokumentierten Fall erfolgte die Anmeldung um 21:37:18 Uhr, während die Registrierung des neuen Sicherheitsschlüssels bereits um 21:37:24 Uhr abgeschlossen war.
Der Missbrauch von Login-Verfahren zeigt, wie anfällig klassische Passwörter gegenüber modernen Angriffsszenarien geworden sind. Dieser kostenlose Report erklärt die Technologie hinter Passkeys und wie Sie diese bei Amazon, Microsoft oder WhatsApp sicher einrichten. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Umgehung konventioneller Sicherheitsvorkehrungen
Die Gefahr dieser Methode liegt in ihrer Persistenz. Da der Passkey direkt im Konto des Nutzers hinterlegt wird, behalten die Angreifer den Zugriff auch dann, wenn das Passwort nachträglich geändert oder zurückgesetzt wird.
Selbst das Beenden aktiver Sitzungen (Revoke Sessions) führt in vielen Fällen nicht dazu, dass der unbefugt hinzugefügte Passkey entfernt wird. Damit umgeht das Toolkit effektiv Schutzmechanismen, die bisher als phishing-resistent galten, insbesondere im Kontext von Google-Konten.
Die Funktionsweise basiert darauf, dass Opfer zunächst auf eine gefälschte Anmeldeseite gelockt werden. Während die Nutzer glauben, sich bei ihrem regulären Dienst anzumelden, greift das Toolkit die Sitzung ab und führt im Hintergrund die Registrierung des Angreifer-Passkeys durch.
Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt – oft durch raffinierte Phishing-Methoden. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie die sichere Alternative nutzen, die Hackern keine Chance mehr lässt. Warum immer mehr Deutsche ihre Passwörter komplett abschaffen – und was dahintersteckt
Eine wissenschaftliche Untersuchung der Cornell University, die Mitte August veröffentlicht wurde, bestätigte bereits die grundsätzliche Sicherheitslücke, die durch den Missbrauch von Passkeys in dieser Form entstehen kann. Die Analyse von Abnormal Security vom 21.08.2026 untermauert diese Befunde nun durch die Beobachtung des aktiv vermarkteten Toolkits in der Unterwelt.
Empfehlungen für Unternehmen und Nutzer
Angesichts der hohen Automatisierung und der Effektivität von iAuthFlow v2 raten Experten dazu, die Überwachungsstrategien für Identitätsdienste anzupassen. Da herkömmliche Passwortänderungen nach einer Kompromittierung nicht mehr ausreichen, müssen Administratoren und Sicherheitsbeauftragte verstärkt auf Ereignisprotokolle achten.
Es wird empfohlen, gezielte Alarme für das Ereignis „Passkey hinzugefügt“ einzurichten, um unbefugte Änderungen in Echtzeit zu erkennen. Nutzer sollten zudem regelmäßig die in ihren Kontoeinstellungen hinterlegten Authentifizierungsmethoden prüfen und unbekannte oder verdächtige Passkeys umgehend entfernen.
Die weite Verbreitung solcher hochpreisigen und spezialisierten Werkzeuge in einschlägigen Foren deutet darauf hin, dass die Hürden für komplexe Übernahme-Angriffe auf geschäftskritische Konten weiter sinken.
