Passkeys gelten als wichtige Alternative zum klassischen Passwort und sollen Nutzer besser vor Phishing und gestohlenen Zugangsdaten schützen. Sicherheitsforscher haben nun jedoch mehrere Angriffsmöglichkeiten auf den Google-Passwort-Manager in Chrome unter Windows beschrieben. Die entscheidende Einschränkung: Die Passkey-Technologie selbst wurde dabei nicht gebrochen. Ein Angriff setzt voraus, dass sich bereits Schadsoftware auf dem Computer befindet.
Die Entdeckung zeigt ein grundsätzliches Problem moderner IT-Sicherheit: Selbst ein starkes Anmeldeverfahren kann seine Schutzwirkung verlieren, wenn das verwendete Gerät bereits vollständig kompromittiert ist. Genau an diesem Punkt setzen die von Forschern von Palo Alto Networks Unit 42 untersuchten Methoden an.
Die Fachleute fassen die Angriffstechniken unter der Bezeichnung „Pass-ta-key“ zusammen. Betroffen ist nach ihrer Darstellung vor allem die Kombination aus Windows, dem Chrome-Browser und dem cloudbasierten Google-Passwort-Manager.
Passkeys selbst wurden nicht entschlüsselt
Die zugespitzte Frage, ob Passkeys „geknackt“ wurden, kann nach den vorliegenden Informationen mit Nein beantwortet werden. Die kryptografischen Grundlagen des Verfahrens wurden nicht überwunden.
Passkeys basieren auf einem Schlüsselpaar. Der private Schlüssel bleibt grundsätzlich auf dem Gerät oder innerhalb eines geschützten Authentifizierungssystems gespeichert. Der jeweilige Onlinedienst besitzt nur den öffentlichen Schlüssel. Dadurch können Nutzer nicht wie bei einem klassischen Passwort dazu verleitet werden, ein wiederverwendbares Geheimnis auf einer gefälschten Internetseite einzugeben.
Die beschriebenen Angriffe umgehen dieses Prinzip nicht direkt. Stattdessen missbraucht die Schadsoftware ein bereits infiziertes und grundsätzlich als vertrauenswürdig behandeltes System.
Malware täuscht ein vertrauenswürdiges Gerät vor
Bei einer der beschriebenen Methoden versucht die Schadsoftware, gegenüber einem Onlinedienst den Eindruck zu erwecken, sie handle im Namen eines bereits registrierten und vertrauenswürdigen Geräts.
Gelingt dies, könnte eine Anmeldung erfolgen, ohne dass der Nutzer den Vorgang bewusst auslöst. Der Angriff zielt somit nicht auf das Erraten oder Entschlüsseln des Passkeys, sondern auf die Umgebung, in der die Authentifizierung stattfindet.
Einige Dienste sollen solche Manipulationsversuche inzwischen erkennen und blockieren können. Ein einheitlicher Schutz besteht nach der Darstellung der Forscher jedoch offenbar nicht bei allen Plattformen.
Fremdes Gerät könnte registriert werden
Eine zweite Angriffsmethode betrifft die Registrierung neuer Geräte.
Demnach könnte Schadsoftware versuchen, ein von den Angreifern kontrolliertes Gerät als vertrauenswürdig mit dem Konto des Opfers zu verknüpfen. Gelingt dieser Schritt, könnten sich die Täter später aus der Ferne anmelden – selbst wenn die ursprüngliche Infektion bereits beseitigt wurde.
Diese Methode ist besonders problematisch, weil sie den Angreifern einen dauerhaften Zugang verschaffen kann. Nutzer sollten deshalb regelmäßig prüfen, welche Geräte mit ihren Konten verbunden sind, und unbekannte Einträge sofort entfernen.
Zentraler Chrome-Schlüssel im Visier
Als besonders brisant gilt die dritte beschriebene Technik. Dabei versucht die Malware, einen zentralen Schlüssel aus der Chrome- beziehungsweise Google-Passwort-Manager-Umgebung zu entwenden.
Mit einem solchen Schlüssel könnten Angreifer möglicherweise auf gespeicherte Passkey-Daten zugreifen oder die Synchronisierung missbrauchen. Nach Angaben der Forscher sei es derzeit schwierig, einen bereits gestohlenen Schlüssel zuverlässig und vollständig unbrauchbar zu machen.
Damit rückt die Architektur cloudbasierter Authentifizierungssysteme in den Mittelpunkt. Je stärker Passkeys zwischen verschiedenen Geräten synchronisiert werden, desto wichtiger wird der Schutz der zentralen Schlüssel und der zugehörigen Konten.
Voraussetzung ist ein bereits infizierter Computer
Für die Bewertung des Risikos ist ein Punkt entscheidend: Die beschriebenen Angriffe funktionieren nicht allein durch den Besuch einer gewöhnlichen Website oder den Erhalt einer Nachricht. Der Windows-PC muss bereits mit Schadsoftware infiziert sein.
Das relativiert die alarmierende Wirkung der Forschungsergebnisse, macht sie aber nicht bedeutungslos. Malware mit weitreichenden Zugriffsrechten kann auf einem kompromittierten Gerät grundsätzlich zahlreiche Sicherheitsmaßnahmen umgehen, Eingaben mitlesen, Sitzungen übernehmen oder lokale Daten stehlen.
Passkeys lösen daher das Problem unsicherer oder vollständig kontrollierter Endgeräte nicht. Sie verbessern vor allem den Schutz gegen Phishing, wiederverwendete Passwörter und klassische Zugangsdatenlecks.
Browser als attraktives Angriffsziel
Browser speichern heute weit mehr als nur den Verlauf besuchter Websites. In ihnen befinden sich häufig Passwörter, Passkeys, Zahlungsdaten, aktive Sitzungen und Informationen über verbundene Konten.
Gerade weitverbreitete Systeme wie Chrome und der Google-Passwort-Manager sind für Cyberkriminelle besonders attraktiv. Ein erfolgreicher Angriff kann potenziell eine große Zahl von Nutzern betreffen.
Die Empfehlung, ausschließlich deshalb einen eigenständigen Passwort-Manager zu verwenden, sollte dennoch differenziert betrachtet werden. Auch separate Programme können angegriffen werden, wenn das Betriebssystem kompromittiert ist. Entscheidend sind vielmehr die Sicherheitsarchitektur, regelmäßige Updates und der Schutz des gesamten Geräts.
So können sich Nutzer schützen
Der wichtigste Schutz besteht darin, eine Infektion des Computers möglichst zu verhindern. Programme sollten ausschließlich aus vertrauenswürdigen Quellen installiert werden. Gecrackte Software, manipulierte Downloads und unbekannte Anhänge zählen zu den häufigsten Einfallstoren für Schadprogramme.
Windows, Chrome und sicherheitsrelevante Anwendungen sollten stets auf dem neuesten Stand gehalten werden. Sicherheitsupdates schließen bekannte Schwachstellen und erschweren es Schadsoftware, sich dauerhaft im System einzurichten.
Auch die mit dem Google-Konto verbundenen Geräte sollten regelmäßig kontrolliert werden. Unbekannte oder nicht mehr verwendete Geräte müssen entfernt werden. Bei einem konkreten Malwareverdacht reicht ein einfacher Passwortwechsel möglicherweise nicht aus. Das betroffene System sollte gründlich untersucht und im Zweifel vollständig neu aufgesetzt werden.
Passkeys bleiben ein Fortschritt
Die Forschungsergebnisse sind kein Beleg dafür, dass Passkeys gescheitert sind. Im Vergleich zu herkömmlichen Passwörtern bieten sie weiterhin deutliche Vorteile. Sie sind an den jeweiligen Onlinedienst gebunden und können deshalb wesentlich schwerer über gefälschte Login-Seiten abgegriffen werden.
Die Untersuchungen zeigen jedoch, dass kein Anmeldeverfahren isoliert betrachtet werden kann. Ist das Endgerät kompromittiert, können auch moderne Schutzsysteme umgangen oder missbraucht werden.
Die treffendere Schlussfolgerung lautet daher nicht, dass Passkeys geknackt wurden. Vielmehr haben Sicherheitsforscher demonstriert, wie Malware auf einem bereits infizierten Windows-PC versucht, die Geräte- und Cloud-Infrastruktur hinter Passkeys auszunutzen. Damit bleibt der Schutz des Computers selbst auch im Zeitalter passwortloser Anmeldungen unverzichtbar.
