Google Password Manager: Drei Angriffsmethoden gefährden Passkeys

Sicherheitsforscher der Einheit Unit 42 von Palo Alto Networks haben drei spezifische Angriffsmethoden identifiziert, die den Google Password Manager innerhalb des Chrome-Browsers auf Windows-Systemen gefährden. Die unter den Bezeichnungen Pass-ta-key, Silver und Golden geführten Techniken zielen auf die Kompromittierung digitaler Identitäten ab, sofern die betroffenen Geräte über ein Trusted Platform Module (TPM) verfügen. Eine wesentliche Voraussetzung für alle drei Szenarien ist jedoch eine bereits erfolgte Infektion des Computers mit Schadsoftware.

Mechanismen der Pass-ta-key- und Silver-Angriffe

Bei der als Pass-ta-key bezeichneten Methode gelingt es einer unprivilegierten Malware, eine gültige Authentifizierung ohne explizite Benutzerverifizierung zu erlangen. Dies geschieht laut den Experten durch die Imitation eines vertrauenswürdigen Geräts. Im Rahmen von Untersuchungen zeigte sich, dass dieser Angriffsweg bei verschiedenen Diensten unterschiedliche Ergebnisse lieferte. Während ein entsprechender Versuch beim Onlinedienst GitHub scheiterte, erwies sich die Methode beim Handelsportal eBay als erfolgreich. Inzwischen wurde die Sicherheitslücke bei eBay durch entsprechende Patches geschlossen.

Die zweite identifizierte Methode trägt den Namen Silver. Hierbei registriert die eingesetzte Malware einen eigenen Verifikationsschlüssel im System. Dies wird möglich, indem der Passwort-Manager durch die Schadsoftware dazu verleitet wird, eine biometrische Freischaltung als legitim anzunehmen, obwohl keine tatsächliche Nutzerinteraktion in dieser Form stattgefunden hat.

Wer angesichts solcher Sicherheitslücken seine digitalen Konten besser schützen möchte, sollte sich mit der passwortlosen Anmeldung beschäftigen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp einrichten und so Hackerangriffe effektiv verhindern. Sicher, bequem und passwortlos – So funktionieren Passkeys

Die Golden-Methode und das Security Domain Secret

Als besonders schwerwiegend stufen die Forscher den Golden-Angriff ein. Bei diesem Verfahren extrahiert die Schadsoftware den sogenannten Security Domain Secret (SDS) Master-Key aus dem Prozessspeicher von Chrome. Dieser Schlüssel umfasst eine Länge von 32 Byte. Mit dem Zugriff auf diesen Master-Key ist die Malware in der Lage, sämtliche synchronisierten Passkeys des Nutzers zu entschlüsseln. Ein besonderes Risiko besteht hierbei in der Beständigkeit des Schlüssels, da laut den Untersuchungen von Unit 42 eine Rotation dieser Master-Keys derzeit nicht möglich ist.

In einer Reaktion auf die Erkenntnisse der Sicherheitsforscher nahm Google bereits erste Anpassungen vor. So wurde das Security Domain Secret aus den Chrome-Logs entfernt, um die Sichtbarkeit des Schlüssels zu reduzieren. Dennoch merken die Experten an, dass der Master-Key weiterhin im Prozessspeicher des Browsers zugänglich bleibt, was den Kern der Schwachstelle nicht vollständig beseitigt.

Angesichts der zunehmenden Angriffe auf Browser-Passwort-Manager suchen viele Nutzer nach einer sichereren Alternative für ihre sensiblen Zugangsdaten. Ein kostenloser PDF-Ratgeber erklärt Schritt für Schritt, wie Sie Ihre Passwörter verschlüsselt auf dem eigenen Computer verwalten und künftig nur noch ein einziges Passwort benötigen. Kostenlosen Guide für sicherere Passwort-Verwaltung anfordern

Status der Sicherheitsbehebung und Offenlegung

Die Forschungsergebnisse wurden Anfang August 2026 veröffentlicht, nachdem die Schwachstellen zuvor an Google offengelegt worden waren. Bisher wurden den identifizierten Sicherheitslücken keine offiziellen CVE-Kennungen (Common Vulnerabilities and Exposures) zugewiesen. Nach Angaben der Forscher gibt es zudem keine Hinweise darauf, dass diese Angriffsmethoden bisher in realen Angriffsszenarien außerhalb von Testumgebungen ausgenutzt wurden.

Da ein vollständiger technischer Fix für alle Aspekte der Angriffe bislang nicht vorliegt, liegt die Verantwortung für Schutzmaßnahmen teilweise bei den Dienstanbietern. Während Plattformen wie eBay ihre Systeme bereits gegen die beschriebenen Methoden abgesichert haben, bleibt die grundsätzliche Problematik der Schlüsselextraktion aus dem Prozessspeicher auf lokaler Ebene bestehen. Anwender sind daher weiterhin darauf angewiesen, die Infektion ihrer Systeme mit Malware durch präventive Sicherheitsmaßnahmen zu verhindern, da dies die notwendige Basis für alle drei Angriffsvarianten darstellt.