Auf den Punkt: Malware auf bereits kompromittierten Windows-Rechnern kann über drei neu entdeckte "Pass-ta-key"-Angriffe Googles synchronisierte Passkeys übernehmen oder deren private Schlüssel extrahieren.
Sicherheitsforscher haben drei Angriffstechniken vorgestellt, mit denen Malware auf bereits kompromittierten Windows-Systemen Googles synchronisierte Passkeys missbrauchen kann. Betroffen sind Nutzerverifizierung und der private Schlüssel der Passkey selbst.
Die als „Pass-ta-key“ bezeichneten Angriffe setzen voraus, dass ein Windows-Gerät bereits durch Malware kompromittiert ist. Auf dieser Basis gelingt es den Angreifern, die von Google Password Manager verwalteten und über die Cloud synchronisierten Passkeys zu übernehmen. Die Forscher demonstrieren dabei drei unterschiedliche Vorgehensweisen: die vollständige Übernahme von Nutzerkonten, das Umgehen der Nutzerverifizierung (User Verification) sowie das Extrahieren der privaten Schlüssel der Passkeys selbst.
Passkeys gelten als phishing-resistente Alternative zu klassischen Passwörtern, da der private Schlüssel eigentlich lokal auf dem Gerät oder in einer sicheren Hardware-Komponente verbleiben soll und nicht extrahierbar ist. Die synchronisierte Variante über Google Password Manager erleichtert zwar die Nutzung über mehrere Geräte hinweg, schafft laut den Forschern aber zusätzliche Angriffsflächen, wenn ein Endpunkt bereits kompromittiert ist. Für CISOs bedeutet dies, dass die Einführung von Passkeys als alleinige Verteidigungslinie gegen Kontoübernahmen relativiert werden muss, sofern Endpoint-Sicherheit nicht mit ausreichender Priorität behandelt wird.
Die Angriffe setzen explizit eine vorherige Kompromittierung des Windows-Geräts durch Malware voraus – es handelt sich also nicht um einen Fernangriff auf ungeschützte Systeme, sondern um eine Post-Exploitation-Technik. Das unterstreicht die Bedeutung von Endpoint Detection and Response (EDR) und konsequenter Malware-Prävention als Grundvoraussetzung dafür, dass Passkey-basierte Authentifizierung ihren Sicherheitsvorteil tatsächlich entfalten kann. Unternehmen, die synchronisierte Passkeys über Google Password Manager im Einsatz haben, sollten die Meldung als Anlass nehmen, ihre Endpoint-Absicherung und Detection-Fähigkeiten für bereits kompromittierte Systeme zu überprüfen.
Quelle: www.bleepingcomputer.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.