Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Passkeys galten als der sichere Nachfolger des Passworts. Kein Merken, kein Phishing, kein Datenleck mit Klartext-Kennwörtern. Doch Sicherheitsforscher von Palo Alto Networks Unit 42 zeigen jetzt: Auf einem bereits infizierten Windows-Rechner lassen sich Google-synchronisierte Passkeys lautlos stehlen und missbrauchen. Der Angriff hat einen Namen — Pass-ta-key.
SCHOCK: Drei Wege zum fremden Konto
Die Forscher haben drei Angriffstechniken vorgeführt. Alle zielen auf die Art, wie der Google Password Manager in Chrome unter Windows synchronisierte Passkeys ablegt. Das Ergebnis kann sein: eine gültige Anmelde-Bestätigung wird erschlichen, ein vom Angreifer kontrollierter Verifikations-Schlüssel wird eingeschleust — oder das zentrale Geheimnis zum Entschlüsseln der Passkeys wird komplett ausgelesen.
Besonders unangenehm: Chrome speichert die Passkey-Metadaten lokal in einer unverschlüsselten Datenbank. Für Malware ist das eine fertige Landkarte. Sie sieht auf einen Blick, bei welchen Diensten das Opfer Passkeys nutzt — ganz ohne erhöhte Rechte.
GEFAHR: Silver und Golden Pass-ta-key
Die Forscher unterscheiden Varianten mit klingenden Namen. Beim Silver Pass-ta-key wird der Authenticator ausgetrickst, sodass er ein erfolgtes Geräte-Entsperren nur vortäuscht. Beim Golden Pass-ta-key werden gleich alle synchronisierten Passkeys extrahiert — im schlimmsten Fall für den Verkauf im Untergrund.
WICHTIG: Eine Voraussetzung entschärft die Panik
Bevor jetzt alle in Alarmstimmung verfallen: Jeder dieser Angriffe setzt voraus, dass bereits Schadsoftware auf dem Rechner läuft. Die Forschung beschränkt sich zudem auf Chrome unter Windows mit aktivem TPM-Chip. Ein sauberer, gut gepflegter PC ist nach aktuellem Stand nicht durch diese Techniken gefährdet.
Trotzdem ist die Lehre klar: Ein synchronisierter Passkey ist nur so sicher wie das Gerät, auf dem er landet. Wer alles in die Cloud spiegelt, verschiebt das Risiko dorthin, wo Malware es abgreifen kann.
EXTRA-TIPP: Hardware schlägt Cloud
Für deine wichtigsten Konten — E-Mail, Banking, Passwort-Tresor — lohnt sich ein physischer Sicherheitsschlüssel. Bei einem FIDO2-Stick wie dem YubiKey 5 NFC* verlässt der private Schlüssel das Gerät nie und wird nicht in die Cloud synchronisiert. Selbst Malware auf dem PC kann ihn nicht einfach kopieren, weil für jede Anmeldung der Schlüssel physisch stecken muss.
Ansonsten gilt der altbekannte, aber entscheidende Grundsatz: Lass den Rechner gar nicht erst infizieren. Updates zeitnah einspielen, Software nur aus vertrauenswürdigen Quellen installieren und misstrauisch bleiben bei allem, was zum Ausführen unbekannter Dateien drängt.
FAZIT: Kein Grund zur Passkey-Flucht
Passkeys bleiben ein großer Fortschritt gegenüber dem klassischen Passwort. Pass-ta-key ist keine Absage an die Technik, sondern eine Erinnerung: Die Sicherheit steht und fällt mit dem Endgerät. Wer das ernst nimmt und für die Kronjuwelen unter seinen Konten auf Hardware setzt, muss sich vor diesen Angriffen nicht fürchten.