Google Password Manager: Malware stiehlt alle Passkeys auf Windows
Veröffentlicht am: 07.08.2026 um 17:12 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Unit 42 haben kritische Schwachstellen im Google Password Manager unter Windows entdeckt. Die als „Pass-ta-key“ zusammengefassten Angriffsmethoden ermöglichen es Schadsoftware, Passkeys zu stehlen – die digitale Schlüssel, die eigentlich als sicherere Alternative zu Passwörtern gelten. Besonders brisant: Die Synchronisation über Cloud-Dienste schafft neue Angriffsflächen.
Drei Angriffsszenarien im Detail
Die Experten von Unit 42, der Forschungseinheit von Palo Alto Networks, demonstrierten insgesamt drei verschiedene Angriffsmethoden. Voraussetzung für alle: Bereits installierte Malware auf dem Windows-Endgerät des Opfers.
In der Basis-Variante exportieren Angreifer die Identität des Nutzers. Die „Silver“-Methode erlaubt eine Re-Registrierung, bei der unbemerkt eigene Schlüssel des Angreifers hinzugefügt werden. Am schwerwiegendsten ist der „Golden“-Angriff: Hier extrahiert die Schadsoftware das sogenannte „Security Domain Secret“ – einen 32 Byte großen Master-Key – direkt aus dem Arbeitsspeicher von Google Chrome.
Dieser Schlüssel entschlüsselt sämtliche synchronisierten Passkeys eines Nutzers. Da der Master-Key derzeit nicht rotiert werden kann, bleibt ein kompromittiertes System dauerhaft gefährdet.
Angesichts der neuen Sicherheitslücken bei digitalen Schlüsseln ist es wichtiger denn je, die Funktionsweise moderner Login-Verfahren genau zu verstehen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sicher einrichten und sich vor Datenklau schützen. PDF-Report: Sicher und passwortlos anmelden
Googles Reaktion und verbleibende Risiken
Google hat reagiert und die Exposition des Secrets aus den Fehlerprotokollen des Browsers entfernt. Das Problem im Arbeitsspeicher bleibt jedoch bestehen. Branchenanalysten weisen darauf hin, dass cloudbasierte Synchronisationsmodelle systemimmanente Risiken bergen – auch für andere Anbieter.
Für Unternehmen empfehlen Fachleute gerätegebundene Passkeys. Diese werden nicht mit der Cloud synchronisiert und lassen sich nicht über den beschriebenen Weg entwenden.
Vishing-Kampagne: Passkeys als Vorwand
Parallel zu den technischen Schwachstellen nutzen Kriminelle das Passkey-Thema für Social Engineering. Die Google Threat Intelligence Group führt eine aktuelle Kampagne auf den Akteur UNC6671 zurück, der verschiedenen Erpressermarken wie Redact, Pink, Helix und Falcon zugeordnet wird.
Die Angreifer kontaktieren Mitarbeiter in Finanzhäusern und Private-Equity-Firmen per Telefon. Sie geben sich als Helpdesk-Mitarbeiter aus und fordern unter dem Vorwand einer Passkey-Umstellung oder MFA-Aktualisierung zum Besuch manipulierter Websites auf. Zu den Zielen gehörten Unternehmen wie Blackstone, Apollo, KKR, Bain und Moody's.
Die Infrastruktur umfasst mindestens 72 bösartige Domains. Die Erpresser fordern zwischen einer und drei Millionen US-Dollar. In etwa 53 Prozent der untersuchten Fälle kam es zu Zahlungen – im Mittel rund 750.000 US-Dollar in Bitcoin. Auf assoziierten Wallets identifizierten die Forscher insgesamt 141,65 BTC, was einem Gegenwert von über zehn Millionen US-Dollar entspricht.
Da Kriminelle immer häufiger versuchen, den Trend zu Passkeys für Betrugsversuche auszunutzen, ist fundiertes Wissen der beste Schutz. Erfahren Sie in diesem Gratis-Leitfaden, warum die neue Technologie Passwörter ablösen soll und wie Sie die volle Kontrolle über Ihre digitalen Zugänge behalten. Kostenlosen Passkey-Ratgeber jetzt herunterladen
Auch Apple betroffen
Die Passkey-Problematik betrifft nicht nur Windows. Forscher entdeckten kürzlich eine Schwachstelle in WebKit, die Apples iCloud Private Relay betrifft. Bei Passkey-Logins kann unter bestimmten Umständen die echte IP-Adresse des Nutzers offengelegt werden – der Anonymisierungsdienst wird umgangen. Apple untersucht den Vorfall, ein offizieller Patch steht noch aus.
Trotz der Warnungen betonen Experten: Passkeys bieten weiterhin deutlich besseren Schutz gegen klassisches Phishing als Passwörter. Die Entdeckungen zeigen jedoch, dass die Absicherung der Endgeräte gegen Malware entscheidend bleibt – sie ist die letzte Verteidigungslinie der kryptografischen Schlüssel.
