Google Chrome: Forscher knacken Passkeys mit drei neuen Methoden
Veröffentlicht am: 04.08.2026 um 00:12 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben drei neuartige Methoden entdeckt, mit denen Angreifer Passkeys aus Googles Passwortmanager extrahieren können. Betroffen sind Windows-Geräte mit synchronisierten Zugangsdaten.
Passkeys im Visier: Drei Angriffsvektoren entdeckt
Die Threat-Intelligence-Abteilung von Palo Alto Networks veröffentlichte heute Forschungsergebnisse, die gravierende Schwachstellen in der Passkey-Verwaltung von Google Chrome aufzeigen. Die als „Pass-ta-key“, „Silver Pass-ta-key“ und „Golden Pass-ta-key“ bezeichneten Techniken ermöglichen es Schadsoftware, Passkey-Daten von kompromittierten Windows-Systemen zu extrahieren – ganz ohne Nutzerinteraktion wie Passworteingabe oder biometrische Verifikation.
Besonders brisant: Die fortschrittlichste Methode, „Golden Pass-ta-key“, erlaubt Angreifern, einen 32-Byte-Sicherheitsschlüssel aus dem Arbeitsspeicher oder den Protokolldateien von Chrome zu extrahieren. Dieser Schlüssel fungiert als Masterkey und könnte die Entschlüsselung sämtlicher synchronisierter Passkeys eines Kontos ermöglichen.
Ungelöstes Sicherheitsproblem: Kein CVE zugewiesen
Die Angriffe nutzen aus, dass Google Chrome bestimmte Passkey-Metadaten derzeit unverschlüsselt speichert. Die „Silver Pass-ta-key“-Methode geht noch einen Schritt weiter: Sie registriert während eines erneuten Anmeldevorgangs einen Angreifer-Schlüssel und umgeht damit effektiv die Mehrfaktor-Authentifizierung.
Was genau steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll? Ein kostenloser Report zeigt, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sofort einrichten. Passkeys einrichten und sicher nutzen
Bemerkenswert: Für diese Schwachstellen wurde bislang keine CVE-Kennung vergeben. Die Forscher betonen jedoch, dass es keine Hinweise auf einen aktiven Missbrauch in der Praxis gibt.
Branche setzt zunehmend auf Passkeys
Die Veröffentlichung kommt zu einem Zeitpunkt, an dem immer mehr Unternehmen auf Passkeys als Passwort-Ersatz setzen. Die Kryptobörse BTCBOX macht Passkeys heute zur Pflicht für alle Nutzer-Logins – sechs Monate nach einer Sicherheitspanne mit Datenleck. Ab dem 10. August sollen Yen-Abhebungen wieder möglich sein, der Handelsstart ist für September geplant.
Google selbst hatte kürzlich Verbesserungen bei der Geräteverifizierung für seine elf Millionen Workspace-Nutzer angekündigt. Die Updates unterstützen FIDO2-WebAuthn-Standards und verkürzen die Verifizierungszeit dank Edge-basiertem Risiko-Scoring um 40 Prozent – von zwölf auf rund 7,2 Sekunden. Die Systeme arbeiten laut Google mit einer Genauigkeit von 99,97 Prozent.
Angesichts von Millionen gehackter Konten pro Quartal in Deutschland ist der Schutz der eigenen Identität wichtiger denn je. Diese neue Methode ermöglicht das Einloggen per Fingerabdruck oder Gesichtserkennung – sicher, schnell und ohne Passwort-Stress. Kostenlosen PDF-Ratgeber zu Passkeys anfordern
Biometrie und Sitzungen: Weitere Angriffspunkte
Die Sicherheit biometrischer Authentifizierung bleibt ein wachsender Forschungsbereich. Das Red Team von Reality Defender demonstrierte heute, dass synthetische Gesichter, erstellt mit kommerzieller Gesichtstausch-Software, in Googles Selfie-basierte Biometrie-Schutzfunktion eingeschleust werden können. Zwar führte dies nicht zu Kontodiebstahl, doch die Forscher sehen darin eine potenzielle Schwachstelle der Identitätsprüfung.
Parallel testet Google seit April 2026 „Device Bound Session Credentials“ (DBSC) in einer offenen Beta für Chrome unter Windows – ein Schutz gegen den Diebstahl von Sitzungscookies. Branchendaten zufolge sind Phishing und der Diebstahl von Zugangsdaten für rund 37 Prozent aller Sicherheitsverletzungen verantwortlich.
Die Bedrohungslage bleibt angespannt: Erst im Juli 2026 wurde der macOS-Stealer „MacSync“ entdeckt, im April und Mai kursierte die Malware „XCSSET v40“. Beide Schadprogramme zielen auf Browser-Erweiterungen, Schlüsselbund-Daten und Cookies. Zudem warnte Microsoft vor der Gruppe Storm-2945, die seit Mai 2026 Reisende über manipulierte öffentliche WLAN-Portale mit Infostealer-Malware attackiert.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
