Auf den Punkt: Malware auf bereits kompromittierten Endgeräten kann laut Unit 42 über Onboarding-, Recovery- und Trust-Mechanismen Passkey-geschützte Google-Konten übernehmen, ohne dass die Passkey-Kryptografie selbst gebrochen wird.
Ein Bericht von Palo Alto Networks Unit 42 zeigt drei Angriffswege, mit denen Malware auf einem bereits kompromittierten Endgerät Passkey-geschützte Konten übernehmen kann. Betroffen sind nicht die Kryptografie der Passkeys selbst, sondern Onboarding-, Recovery- und Geräte-Vertrauensmechanismen rund um sie.
Unit 42 von Palo Alto Networks hat unter dem Sammelbegriff „Pass-ta-key“ drei Angriffskategorien gegen Google-synchronisierte Passkeys beschrieben. Bei „Pass-ta-key“ übernimmt ein Angreifer mittels Malware auf dem Gerät des Opfers ein passkey-geschütztes Konto, ohne dass Privilege Escalation, Geräteentsperrung oder Nutzerinteraktion nötig sind. „Silver Pass-ta-key“ täuscht den Google Cloud Authenticator so, dass dieser eine biometrische Entsperrung durch das Opfer annimmt, wodurch eine vollständige Kontoübernahme ohne Zugriff auf das Opfergerät während der Authentifizierung möglich wird. „Golden Pass-ta-key“ erlaubt das Extrahieren aller synchronisierten Passkeys in einer Form, die sich im Untergrundmarkt für Zugangsdaten weiterverkaufen lässt.
Analysten und Berater betonen übereinstimmend, dass die zugrunde liegende Kryptografie der Passkeys nicht gebrochen wurde. Justin Greis, CEO der Beratung Acceligence, formuliert es so: Die Forscher hätten nicht die Kryptografie selbst angegriffen, sondern die Nahtstellen daneben ausgenutzt – Onboarding-Abläufe, Recovery-Mechanismen und Trust-Signale, die nicht validiert wurden. Frank Dickson, Group VP für Security bei IDC, weist darauf hin, dass die Angriffe eine vorherige erfolgreiche Kompromittierung des Endpunkts voraussetzen. Es handle sich nicht um einen Angriff auf Passkeys aus dem Internet, sondern um das, was ein Angreifer tut, sobald er bereits im System ist. „Phishing-resistent“ höre in dem Moment auf, resistent zu sein, in dem der Endpunkt nicht mehr saubersei.
Für CISOs, die Passwordless-Strategien mit Passkeys als ersten Schritt in komplexen, teils noch legacy-geprägten oder virtualisierten Umgebungen einführen, ist die Unterscheidung zwischen Spezifikation und Implementierung zentral. Greis verweist darauf, dass die betroffenen Probleme in mehreren im Bericht genannten Fällen nicht am Standard selbst liegen, sondern daran, dass Implementierungen nicht nachgezogen haben – die Spezifikation sei solide, das Ökosystem der Umsetzungen jedoch uneinheitlich. Brian Levine, Executive Director von FormerGov, ergänzt eine konkrete Handlungsempfehlung: Dienste, bei denen die eigene Organisation als Relying Party auftritt, sollten Nutzerverifikation verlangen und das entsprechende „user-verified“-Flag in der Authentifizierungsantwort tatsächlich prüfen. Die Forscher hätten real existierende Dienste gefunden, die Logins ohne dieses Flag akzeptierten, wodurch ein mehrfaktorbasierter Login faktisch auf einen einzelnen Faktor zurückfällt.
Da eine erfolgreiche Erstkompromittierung oft nur einen einzigen privilegierten Nutzer erfordert, der auf einen präparierten Link oder Anhang klickt, halten die befragten Experten die Annahme einer vorherigen Penetration für realistisch und die Relevanz des Berichts für gegeben. Dickson rät CISOs, Verifikation nicht länger als optionalen Schritt zu behandeln, sondern als verpflichtenden Bestandteil jeder Passkey-Implementierung zu prüfen und durchzusetzen.
Quelle: www.csoonline.com · Erschienen 6. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.