Auf den Punkt: Unit 42 zeigt drei Angriffswege gegen Chromes Google Password Manager, mit denen Malware unter einem normalen Windows-Benutzerkonto Passkey-geschützte Accounts ohne PIN, Fingerabdruck oder sichtbare Interaktion übernehmen kann.
Sicherheitsforscher von Unit 42 haben drei Angriffswege gegen den Cloud-Authenticator von Chromes Google Password Manager identifiziert, mit denen Malware unter einem gewöhnlichen Nutzerkonto auf Windows Passkey-geschützte Accounts kompromittieren kann – ganz ohne Fingerabdruck, PIN oder sichtbare Interaktion auf dem Bildschirm des Opfers.
Unit 42, das Forschungsteam von Palo Alto Networks, hat drei Angriffstechniken gegen den in Chrome integrierten Cloud-Authenticator von Google Password Manager beschrieben und mit den Namen Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key versehen. Der schwerwiegendste der drei Angriffe, Golden Pass-ta-key, zielt direkt auf den Master-Schlüssel, mit dem Passkeys im Google-Ökosystem geschützt werden. Nach Angaben der Forscher genügt es, wenn Schadsoftware mit den Rechten eines normalen, nicht-privilegierten Benutzerkontos auf einem Windows-System ausgeführt wird, um sich anschließend als das Opfer bei Passkey-geschützten Diensten anzumelden – ohne dass eine biometrische Bestätigung, eine PIN-Eingabe oder überhaupt eine sichtbare Aktion auf dem Gerät des Nutzers erforderlich ist.
Für CISOs ist diese Erkenntnis relevant, weil Passkeys in den vergangenen Jahren als Ersatz für phishing-anfällige Passwörter propagiert wurden und in vielen Unternehmen bereits als Baustein einer Zero-Trust- oder Passwordless-Strategie eingeführt oder geplant sind. Die beschriebenen Angriffe zeigen, dass die Sicherheitsgarantie von Passkeys stark davon abhängt, wie und wo der zugrunde liegende kryptografische Schlüssel gespeichert und geschützt wird. Wird dieser Schutz softwareseitig auf Betriebssystemebene ausgehebelt, verliert der Passkey seinen Vorteil gegenüber klassischen Zugangsdaten, da ein Angreifer mit lokalem Codeausführungszugriff auf dem Endgerät faktisch die gleiche Kontrolle erlangt wie der legitime Nutzer, ohne dass ein zusätzlicher physischer Faktor eingreift.
Aus operativer Sicht bedeutet das für Sicherheitsverantwortliche, dass Endpoint-Härtung und Malware-Prävention weiterhin integraler Bestandteil jeder Passkey-Strategie bleiben müssen, insbesondere auf Windows-Systemen, die den Google Password Manager als Cloud-Authenticator nutzen. Unternehmen sollten prüfen, ob und in welchem Umfang Google bereits Patches oder Mitigationen für die beschriebenen Angriffspfade bereitgestellt hat, und die Konfiguration ihrer Chrome- und Google-Workspace-Umgebungen entsprechend überprüfen. Bis belastbare Herstellerinformationen zu Fixes vorliegen, empfiehlt sich eine erhöhte Wachsamkeit gegenüber Endpoint-Kompromittierungen bei Nutzern mit Zugriff auf sensible, Passkey-geschützte Konten.
Quelle: thehackernews.com · Erschienen 3. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.