Google-Sicherheit: Kritische SSO-Lücke ermöglicht Kontoübernahme
Veröffentlicht am: 28.07.2026 um 10:32 Uhr | Redaktion boerse-global.de
Ein Sicherheitsexperte hat eine schwerwiegende Schwachstelle im Authentifizierungsverfahren von Google identifiziert. Die Lücke im Single-Sign-On-Prozess (SSO) erlaubt Angreifern unter bestimmten Bedingungen, fremde Benutzerkonten vollständig zu übernehmen – und das ohne Kenntnis des Passworts.
Manipulation eines Headers reicht aus
Für einen erfolgreichen Angriff genügt die Manipulation eines einzelnen Headers. Über diesen technischen Kniff umgehen Unbefugte die Identitätsprüfung und erhalten Zugriff auf das gesamte Google-Ökosystem eines Nutzers. Das Risiko wird als kritisch eingestuft: Viele Anwender nutzen ihr Google-Konto als zentralen Ankerpunkt für Drittanbieter-Dienste und sensible persönliche Daten.
Die Entdeckung fällt in eine Zeit massiv steigender Sicherheitsupdates für Web-Anwendungen. Marktbeobachter registrierten allein im Juni 2026 einen Anstieg der Patches für den Google-Browser Chrome auf insgesamt 433 Korrekturen. Im Mai waren es noch 126.
Selfie-Video als neuer Schutz
Parallel zur Identifizierung technischer Schwachstellen treibt Google den Ausbau biometrischer Sicherungsverfahren voran. Für den Sommer 2026 ist die Einführung einer Selfie-Video-Option für die Wiederherstellung von Konten angekündigt. Nutzer müssen dabei spezifische Kopfbewegungen vor der Kamera ausführen, um ihre Identität nachzuweisen. Eine integrierte Lebendigkeitserkennung soll verhindern, dass Deepfakes oder Fotos das System täuschen.
Ob Manipulation von Headern oder klassischer Datenklau – die Bedrohung für private Konten nimmt stetig zu. Dieser kostenlose PDF-Report zeigt Ihnen, wie Sie mit Passkeys eine sicherere Alternative zu herkömmlichen Passwörtern einrichten und Hackern keine Chance mehr lassen. Passkey-Ratgeber jetzt gratis herunterladen
Das Verfahren startet zunächst in Irland, Spanien, Frankreich, Italien und Estland. Für Nutzer in Deutschland ist die Option aktuell noch nicht verfügbar. Die biometrischen Daten werden laut Unternehmensangaben verschlüsselt gespeichert und können jederzeit gelöscht werden.
Phishing-Welle verstärkt den Druck
Die Notwendigkeit sichererer Anmeldeverfahren untermauern aktuelle Kriminalitätsstatistiken. Im ersten Halbjahr 2026 verzeichneten Sicherheitsbehörden in Deutschland einen Anstieg von SMS-Phishing-Versuchen um 146 Prozent. Microsoft gilt dabei mit einem Anteil von 22,6 Prozent als die am häufigsten nachgeahmte Marke.
Auch andere große Anbieter rüsten auf: Die E-Mail-Dienste GMX und Web.de haben für ihre rund 38 Millionen Nutzer in Deutschland, Österreich und der Schweiz die Unterstützung von Passkeys implementiert. Das Verfahren ersetzt Passwörter durch biometrische Merkmale oder Geräte-PINs und gilt als weitgehend immun gegen klassische Phishing-Angriffe.
Angesichts von Millionen gehackter Online-Konten pro Quartal reicht ein einfaches Passwort heute oft nicht mehr aus, um sensible Daten zu schützen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie sich bei Diensten wie WhatsApp oder Amazon bequem per Fingerabdruck oder Gesichtserkennung anmelden. Sicher und passwortlos: So funktionieren Passkeys
Systemische Risiken und neue Bedrohungen
Die Sicherheitslage wird zudem durch komplexe Angriffe auf die Infrastruktur von Reisenden verschärft. Seit Juni 2026 beobachten IT-Sicherheitsforscher Kampagnen, bei denen WLAN-Gateways in Hotels und Konferenzzentren kompromittiert werden. Ziel dieser Angriffe in Regionen wie den USA, Indien und Saudi-Arabien: der Diebstahl von Microsoft-365-Zugangsdaten durch manipulierte DNS-Einstellungen.
Experten fordern angesichts der zunehmenden frequenz von Sicherheitslücken ein Umdenken in der Unternehmens-IT. Ein Netzwerksicherheitsexperte betonte, dass laterale Bewegungen von Angreifern in den meisten Netzwerken noch immer zu leicht möglich seien. Er plädiert für eine Architektur, die den Fokus primär auf die Eingrenzung potenzieller Schäden legt – Containment statt Perimeterschutz. Schwachstellen in Software gehörten schließlich zum operativen Alltag.
Google reagiert auf die veränderte Bedrohungslage auch organisatorisch. Die Google Threat Intelligence Group hat mit dem Rollout eines neuen Namensschemas für Hackergruppen begonnen, um Herkunft und Typ von Angreifern für Sicherheitsverantwortliche transparenter zu kategorisieren.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
