Auf den Punkt: Drei unabhängige Forschungsarbeiten zeigen, dass sich Phishing-resistente Passkey-Authentifizierung in Windows, Entra ID und Google Password Manager durch Implementierungsschwächen umgehen lässt, ohne die Kryptografie selbst anzugreifen.
Auf der Black Hat USA und in begleitenden Analysen zeigten Sicherheitsforscher, dass sich Passkey-Schutzmechanismen in Windows, Microsoft Entra ID und Google Password Manager umgehen lassen, ohne die zugrunde liegende Kryptografie zu brechen. Betroffen sind damit gerade jene Umgebungen, die Passkeys als Ersatz für klassische, phishing-anfällige MFA-Verfahren einsetzen.
Der Sicherheitsforscher Michael Grafnetter von SpecterOps stellte am 5. August auf der Black Hat USA seine Forschung „Pass-the-Passkey“ vor. Windows speicherte demnach frühere YubiKey-Signaturen im Klartext, wo sie auch von authentifizierten, nicht privilegierten Nutzern – einschließlich Remote-Nutzern – ausgelesen werden konnten. In Kombination mit Schwächen bei der Passkey-Validierung in Microsoft Entra ID ließ sich damit die Identität privilegierter Nutzer vortäuschen, obwohl eine Phishing-resistente Multi-Faktor-Authentifizierung vorgeschrieben war. Der Angreifer benötigt dabei nicht den privaten Schlüssel eines Authentifizierungsgeräts, sondern lediglich eine bereits erzeugte, von Windows aufbewahrte Signatur. Die Windows-Schwachstelle ist als CVE-2026-34348 erfasst; Microsoft hat ein Sicherheitsupdate veröffentlicht und gegenüber The Hacker News zusätzliche Abwehrmaßnahmen gegen die gemeldete Weiterleitung von Passkey-Bestätigungen bestätigt.
Forscher von Unit 42 zeigten in der Untersuchung „Pass-ta-key“ mehrere Angriffe gegen das cloudbasierte, synchronisierte Passkey-System von Google Password Manager in Chrome unter Windows – jeweils voraussetzend, dass bereits Schadsoftware auf dem Zielgerät läuft. Die schwerwiegendste Variante, „Golden Pass-ta-key“, zielt auf das Security Domain Secret, einen 32 Byte großen Hauptschlüssel zum Schutz synchronisierter Passkeys. Unit 42 fand dieses Geheimnis zunächst offen in Chromes Geräteprotokollierung; Google entfernte es nach der Meldung aus dieser Protokollausgabe. Nach Angaben der Forscher bleibt das Geheimnis jedoch während einer erneuten Geräteregistrierung vorübergehend im Prozessspeicher von Chrome sichtbar, wodurch sich die privaten Schlüssel sämtlicher synchronisierter Passkeys eines Opfers rekonstruieren lassen. Da Google für dieses Geheimnis aktuell keine Rotations- oder Widerrufsmöglichkeit vorsieht, ist eine solche Kompromittierung deutlich langlebiger als der Diebstahl einer einzelnen Anmeldung.
Der unabhängige Forscher Dirk-jan Mollema untersuchte parallel Windows Hello for Business, dessen zugrunde liegender Schlüssel auf modernen Windows-Geräten normalerweise durch das Trusted Platform Module geschützt und nicht exportierbar ist. Er fand, dass ein gering privilegierter Prozess innerhalb einer bereits kompromittierten, angemeldeten Windows-Sitzung diesen nicht exportierbaren Schlüssel nutzen kann, ohne dass dafür eine erneute PIN- oder biometrische Eingabe erforderlich wäre. Da die zugehörige WebAuthn-Challenge von Entra ID fünf Minuten gültig und weder an eine Sitzung noch an einen bestimmten Nutzer oder Mandanten gebunden ist, lässt sich eine auf dem System des Angreifers angeforderte Challenge auf dem Gerät des Opfers signieren und als gültige, Phishing-resistente Anmeldung zurückgeben.
Für Windows-Systeme empfiehlt sich die zeitnahe Installation des Sicherheitsupdates zu CVE-2026-34348. Dienste, die WebAuthn-Bestätigungen entgegennehmen, sollten angeforderte Nutzerverifizierungen konsequent durchsetzen – wie es der Online-Marktplatz eBay nach einer Meldung von Unit 42 bereits nachgebessert hat. Endpunktschutzlösungen sollten Passkey-Speicher, Wiederherstellungsabläufe und Browser-Arbeitsspeicher als besonders schützenswerte Bereiche behandeln. Für Entra-Umgebungen empfiehlt sich zusätzlich eine gezielte Überwachung ungewöhnlicher Windows-Hello-for-Business-Anmeldungen ohne Gerätekennung sowie unerwarteter Geräteregistrierungen.
Quelle: www.it-daily.net · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.