Passkey-Sicherheit: Forscher zeigen 20+ Angriffstechniken auf

Sicherheitsforscher des Unternehmens SpecterOps haben im Rahmen der Fachkonferenz Black Hat USA weitreichende Sicherheitslücken in aktuellen Passkey-Implementierungen offengelegt.

Unter dem Titel „Pass-the-Passkey“ demonstrierten die Experten insgesamt drei Kern-Schwachstellen sowie mehr als 20 Techniken, mit denen Angreifer die passwortlose Authentifizierung in Betriebssystemen wie Windows 11, Identitätsdiensten wie Microsoft Entra ID sowie in Browsern und Passwort-Managern umgehen können.

Schwachstellen in Microsoft-Umgebungen und Browsern

Im Zentrum der Untersuchungen standen unter anderem Protokollierungsmechanismen von Windows 11. Den Analysen zufolge schrieb das Windows 11 Event Log zeitweise ungekürzte WebAuthn-Assertions mit, was ein potenzielles Sicherheitsrisiko darstellte. Microsoft reagierte auf diese Entdeckung bereits Mitte Juli mit der Veröffentlichung eines Patches für die Schwachstelle CVE-2026-34348, um das Logging entsprechend anzupassen.

Dennoch bleiben laut den Forschern weitere Lücken in Microsoft Entra ID bestehen. Konkret wurden Mängel bei der Überprüfung der Challenge-Uniqueness, beim Session-Binding sowie beim Counter-Tracking identifiziert.

Da Entra ID die Einzigartigkeit der kryptografischen Herausforderung (Challenge) nicht hinreichend prüfe, seien bestimmte Angriffsvektoren weiterhin offen. Diese Erkenntnisse gewinnen an Bedeutung, da Microsoft plant, ab dem 1. September 2026 eine automatische Passkey-Aktivierung für Nutzer von Entra ID einzuführen.

Die technologischen Entwicklungen zeigen, dass passwortlose Anmeldungen zwar die Zukunft sind, die Einrichtung aber korrekt erfolgen muss. Dieser kostenlose Report bietet eine Anleitung, wie Sie die neue Technologie sicher für Dienste wie Amazon oder Microsoft konfigurieren. Was hinter Passkeys steckt und wie Sie diese sofort einrichten

Zusätzlich präsentierten Forscher von Palo Alto mit „Pass-ta-key“ ein Verfahren, mit dem ein 32-Byte großes Security Domain Secret direkt aus dem Prozessspeicher des Chrome-Browsers extrahiert werden kann. Flankiert werden diese Ergebnisse durch Beobachtungen, wonach Windows Hello for Business unter bestimmten Umständen ohne die Eingabe einer PIN nutzbar sei.

Professionelle Phishing-Kits nutzen Passkey-Registrierung aus

Neben theoretischen Schwachstellen berichten Sicherheitsanalysten von Abnormal Security über die erste praktische Anwendung neuer Angriffsmodelle. Seit August wird in russischsprachigen Foren ein Phishing-Kit namens iAuthFlow V2 zu einem Basispreis von 10.000 US-Dollar angeboten. Das Werkzeug nutzt eine „Browser-in-the-Middle“-Architektur, um Sitzungen zu übernehmen.

Angesichts von Millionen gehackter Konten pro Quartal wird deutlich, dass herkömmliche Passwörter allein oft nicht mehr ausreichen. Erfahren Sie in diesem Gratis-Ratgeber, wie Sie die sicherere Alternative der Passkeys nutzen und Hackern keine Chance mehr lassen. Kostenlosen PDF-Report zur passwortlosen Anmeldung herunterladen

Während ein Opfer seine Anmeldedaten für Dienste wie Google, iCloud oder LinkedIn eingibt, registriert der Angreifer im Hintergrund unbemerkt einen eigenen Passkey. In einem dokumentierten Fall dauerte dieser Vorgang lediglich sechs Sekunden.

Ein besonderes Risiko besteht darin, dass dieser Angreifer-Passkey herkömmliche Sicherheitsmaßnahmen überdauert: Weder ein Passwort-Reset noch der Widerruf einer aktiven Sitzung entfernen den unautorisierten Passkey. Über die Funktion zur Wahl einer alternativen Anmeldemethode könne sich ein Angreifer so dauerhaft Zugriff verschaffen.

Handlungsempfehlungen für Unternehmen

Angesichts dieser Entwicklungen empfehlen Experten, die Registrierung neuer Passkeys innerhalb von Unternehmensnetzwerken als risikoreiche Aktion einzustufen. Es sollten Mechanismen wie die Geräte-Attestierung und eine verpflichtende Step-up-Verifikation (zusätzliche Bestätigung) eingesetzt werden, wenn ein neuer Sicherheitsschlüssel hinterlegt wird.

Zudem raten Fachleute zur regelmäßigen Überprüfung der Konten auf unautorisierte Passkeys. Als wirksamster Schutz gegen die neuen Phishing-Methoden gilt derzeit der Einsatz von hardwarebasierten WebAuthn-Sicherheitsschlüsseln in Verbindung mit erweiterten Schutzprogrammen der Plattformbetreiber.

Unterdessen wurde auch eine kritische Schwachstelle im Passwort-Reset-Prozess der Identitätsmanagement-Lösung Keycloak bekannt, die unauthentifizierten Angreifern eine vollständige Kontoübernahme ermöglichen könnte, was die aktuelle Sensibilität im Bereich der Zugriffsverwaltung unterstreicht.