Passkey-Phishing: Cyberkriminelle kompromittieren 3.331 Konten weltweit

Sicherheitsforscher von Microsoft beobachten seit Mai 2026 eine gezielte Angriffswelle, bei der Cyberkriminelle das Thema Passkeys für Social-Engineering-Zwecke missbrauchen.

Die Angreifer setzen dabei auf hochentwickelte Methoden wie Adversary-in-the-Middle-Phishing (AiTM) und Device-Code-Flows, um Cloud-Umgebungen zu infiltrieren. Ziel der Kampagnen ist es, Identitäten zu kompromittieren, neue Authentifizierungsmethoden zu hinterlegen und sensible Daten über die Graph-API zu exfiltrieren.

Manipulation durch vorgetäuschte Sicherheit

Im Rahmen der beobachteten Aktivitäten registrierten die Forscher Domains wie passkeyhelpdesk[.]com, die dazu dienen, Nutzer unter dem Vorwand technischer Unterstützung zur Preisgabe von Zugangsdaten oder zur Durchführung manipulierter Authentifizierungsschritte zu bewegen. Diese Entwicklung fällt in eine Zeit, in der die Verbreitung von Passkeys als sicherere Alternative zu herkömmlichen Passwörtern weltweit zunimmt.

In Singapur etwa gab GovTech bekannt, dass Singpass-Passkeys ab dem 9. September 2026 auch für Android-Nutzer zur Verfügung stehen. Seit dem Start der iOS-Beta am 30. Juni haben bereits rund 800.000 iPhone-Nutzer Passkeys erstellt. Ein Desktop-Support für das System ist laut offiziellen Planungen bis Ende 2026 vorgesehen.

Trotz des technologischen Fortschritts bleibt die Gefahr durch Phishing hoch. Zwar sanken die gemeldeten Fälle in Singapur im ersten Halbjahr 2026 auf 3.104 (Vorjahr: 3.772), doch die Verluste durch Phishing beliefen sich allein im Jahr 2025 auf S$39,9 Mio.

Professionalisierung der Angriffe auf Identitäten

Die Bedrohungslage wird durch Kampagnen wie BigBear 2.0 verschärft. Dieses Phishing-as-a-Service-Modell (PhaaS), basierend auf Evilginx2, kompromittierte 3.331 Microsoft-365-Konten in 461 Organisationen über 40 Länder hinweg.

Angesichts der Zunahme von Phishing-Angriffen auf digitale Identitäten stellt sich die Frage, wie man sich wirksam vor Datenklau schützen kann. Ein kostenloser Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sofort einrichten, um Hackerangriffen vorzubeugen. Sicher und passwortlos: Jetzt Gratis-Report zu Passkeys anfordern

Besonders betroffen waren IT-Dienstleister, wobei Indien die Liste der geschädigten Länder mit 658 Datensätzen anführt, gefolgt von Frankreich und Saudi-Arabien.

Die Angreifer von BigBear 2.0 nutzen JavaScript, um Sicherheitsstandards wie FIDO2 und WebAuthn gezielt zu deaktivieren. Dadurch wird ein Fallback auf weniger sichere Methoden wie SMS, TOTP oder Push-Nachrichten erzwungen, was einen Bypass der Mehrfaktor-Authentifizierung (MFA) ermöglicht.

In 258 der betroffenen Organisationen gelang dieser Umweg erfolgreich. Insgesamt wurden 5.137 Datensätze offengelegt, darunter 1.032 Passwörter und 4.148 Browser-Cookies.

Auch andere Sektoren stehen unter Druck. Kaspersky Lab meldete Versuche, Gosuslugi-Konten über Telegram-Bots zu übernehmen, indem sich Betrüger als Personalverantwortliche ausgaben. Der Hardware-Wallet-Hersteller Ledger wurde ebenfalls Ziel einer Kampagne, bei der gefälschte E-Mails von einer inoffiziellen Adresse zur Aktualisierung der Firmware aufforderten.

Wer sich mit der Absicherung seiner Online-Konten befasst, erkennt schnell, dass herkömmliche Passwörter oft die größte Schwachstelle darstellen. Erfahren Sie in diesem kostenlosen Leitfaden, wie die neue Passkey-Technologie das Einloggen per Fingerabdruck oder Gesichtserkennung ermöglicht und Hackern keine Chance mehr lässt. Kostenlosen PDF-Ratgeber zur passwortlosen Anmeldung herunterladen

Identität als neuer Sicherheitsperimeter

Branchenexperten betonen, dass Identitäten zunehmend zur primären Angriffsfläche werden. Laut dem Sicherheitsdienstleister Nordlo haben sich die Vorfälle in Schweden zwischen Oktober 2025 und Mai 2026 verdreifacht, wobei der Fokus auf gestohlenen Anmeldedaten statt auf klassischen Systemeinbrüchen lag. Dies zeigt sich auch im illegalen Handel mit Daten: Der Akteur TheHatman bot im Zeitraum Juli bis August 2026 rund 3,6 Millionen Datensätze aus Mitarbeiterverzeichnissen von Großunternehmen wie Vodafone, McDonald's und Kyndryl zum Verkauf an, die vermutlich aus Infostealer-Kampagnen stammten.

Die Australian Signals Directorate (ASD) warnt zudem in einem Leitfaden, dass der Einsatz von Grenz-KI Cyberangriffe massiv beschleunigen werde. Organisationen müssten von einer ständigen Kompromittierung ausgehen und insbesondere privilegierte Identitäten sowie Drittanbieterzugriffe schützen.

Forscher der Unit 42 demonstrierten bereits, wie KI-Agenten in weniger als 10 Stunden Netzwerke kartieren und Cloud-Infrastrukturen übernehmen können, indem sie über 50 verschiedene Angriffstechniken parallel anwenden, ohne dabei auf Zero-Day-Lücken angewiesen zu sein.