Pass-ta-key-Angriffe: Malware übernimmt Google-Passkeys auf Windows
Veröffentlicht am: 04.08.2026 um 07:43 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten von Unit 42 haben neue Methoden entdeckt, mit denen Malware den Google Password Manager innerhalb des Chrome-Browsers auf Windows-Systemen kompromittieren kann. Die als „Pass-ta-key“ bezeichneten Angriffe zielen auf Geräte ab, die über ein Trusted Platform Module (TPM) verfügen. Den Untersuchungen zufolge kann Schadsoftware auf bereits infizierten Systemen synchronisierte Passkeys übernehmen und so die herkömmliche Authentifizierung vollständig umgehen.
Funktionsweise der Pass-ta-key-Methoden
Die Forscher beschreiben den Basis-Angriff als einen Prozess, bei dem unprivilegierte Malware ein vertrauenswürdiges Gerät imitiert. Ziel ist es, ohne Interaktion durch den Nutzer eine gültige Authentifizierungsantwort zu erhalten. Da Passkeys eigentlich als besonders sicher gegen Phishing und Diebstahl gelten, stellt diese Form der Manipulation eine signifikante Bedrohung dar. Die Malware nutzt dabei die bestehende Vertrauensstellung des kompromittierten Systems aus, um sich gegenüber Webdiensten als rechtmäßiger Besitzer auszugeben.
In der Praxis variiert der Erfolg dieser Methode je nach Implementierung der Zielplattform. Während ein Versuch beim Entwicklerportal GitHub scheiterte, akzeptierte der Online-Marktplatz eBay die gefälschte Authentifizierung in ersten Tests der Forscher.
Was genau steckt hinter der neuen Technologie, die Passwörter für immer ablösen soll – und wie sicher ist sie wirklich? Dieser kostenlose Report zeigt Ihnen, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp für maximale Sicherheit einrichten. Passkey-Ratgeber jetzt gratis herunterladen
Eskalation durch Silver- und Golden-Varianten
Neben dem Standardangriff identifizierte Unit 42 zwei weitere, spezialisierte Varianten. Bei der sogenannten „Silver Pass-ta-key“-Methode registriert die Malware einen eigenen Schlüssel zur Benutzerverifizierung (User-Verification-Key). Damit ist es den Angreifern möglich, die eigentlich vorgesehene Verifizierung des rechtmäßigen Nutzers zu umgehen und eigenständig Bestätigungen zu generieren.
Als noch schwerwiegender stufen die Experten den „Golden Pass-ta-key“-Angriff ein. Hierbei extrahiert die Schadsoftware ein spezifisches Geheimnis, das 32-Byte Security Domain Secret (SDS), direkt aus dem Speicher von Google Chrome. Mit diesem geheimen Schlüssel ist die Malware in der Lage, sämtliche im Google-Konto synchronisierten Passkeys zu entschlüsseln. Ein besonderes Risiko besteht darin, dass für dieses Sicherheitsgeheimnis derzeit keine Rotationsmöglichkeit vorgesehen ist, was die langfristige Sicherheit der betroffenen Konten gefährdet.
Angesichts von Millionen gehackter Konten pro Quartal wird die herkömmliche Anmeldung per Passwort zunehmend zum Sicherheitsrisiko. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie mit der passwortlosen Alternative Hackern keine Chance mehr lassen. Kostenlosen Sicherheits-Report sichern
Reaktionen der Industrie und Schutzmaßnahmen
Google hat auf die Erkenntnisse bereits reagiert und das Security Domain Secret aus den Systemprotokollen entfernt, um die Sichtbarkeit des Schlüssels zu verringern. Die Forscher weisen jedoch darauf hin, dass das SDS weiterhin im Arbeitsspeicher vorhanden bleibt und somit für Malware zugänglich ist, solange der Browser aktiv genutzt wird.
Auf Seiten der Diensteanbieter zeigten sich deutliche Unterschiede in der Absicherung. GitHub blockierte die Angriffe erfolgreich, da die Plattform das sogenannte „User-Verified-Flag“ korrekt validiert. eBay, das dieses Flag zunächst nicht prüfte und somit anfällig für die Übernahme war, hat das Problem nach Angaben der Forscher inzwischen behoben.
Bisher wurden für diese Sicherheitslücken keine spezifischen CVE-Kennungen vergeben. Zudem gibt es laut Unit 42 aktuell keine Hinweise darauf, dass diese Angriffsmethoden bereits aktiv für Angriffe im Internet ausgenutzt werden. Um sich vor derartigen Bedrohungen zu schützen, empfehlen die Experten den Betreibern von Websites, das User-Verified-Flag konsequent zu validieren und Attestierungen zu prüfen. Für Nutzer mit besonders schützenswerten Konten raten die Analysten zum Einsatz dedizierter Hardware-Sicherheitsschlüssel, die eine höhere Resistenz gegen lokale Malware-Angriffe auf das Betriebssystem bieten.
