Passkeys sollten gestohlene Passwörter der Vergangenheit angehören lassen. Kein Passwort mehr zum Phishing, kein Geheimnis mehr zur Wiederverwendung und keine Zeichenkette mehr in einer Datenbank, die nur darauf wartet, geleakt zu werden.
Langfristig gesehen werden Passkeys Passwörter voraussichtlich vollständig ersetzen. Doch was passiert, wenn Schadsoftware den Masterkey stiehlt?
Forscher haben einen Weg gefunden, wie Schadsoftware passwortgeschützte Konten über den Google Password Manager kapern kann. Dies verdeutlicht eine wichtige Ausnahme: Passwörter können sehr sicher sein, aber die Software, die sie umgibt, weist dennoch Schwächen auf.
Was sind Passkeys?
Passkeys sind eine passwortbasierte Alternative zu herkömmlichen Passwörtern und basieren auf Public-Key-Kryptografie. Anstatt eines geheimen Schlüssels, den man sich merken und eintippen muss, erhält jedes Konto ein Schlüsselpaar. Der private Schlüssel verlässt dabei niemals Ihr Gerät, und die Website sieht lediglich den öffentlichen Schlüssel und die signierten Authentifizierungsanforderungen. Da nichts wiederverwendbar ist, das per Phishing ausgenutzt oder auf einer anderen Website verwendet werden könnte, gelten Passkeys als „phingresistent“ und sicherer als Passwörter, die im Browser oder Passwortmanager gespeichert sind.
Berichten zufolge gab Google Ende 2024 an, dass 800 Millionen Google-Konten mit Passkeys geschützt seien.
Passkeys bieten gegenüber Passwörtern einen entscheidenden Vorteil: Phishing-Websites können nichts Wertvolles stehlen. Ein Passkey ist zudem an die Website gebunden, für die er erstellt wurde, wodurch es deutlich schwieriger wird, ihn zur Authentifizierung auf der falschen Domain zu verleiten.
Der andere wesentliche Unterschied besteht darin, dass ein Angreifer, selbst wenn Schadsoftware einen Passwort-Tresor stiehlt, oft noch einen zweiten Faktor auf einem anderen Gerät, beispielsweise einer Authentifizierungs-App auf dem Smartphone, überwinden muss, bevor er die vollständige Kontrolle über das Konto erlangt. Bei Passwörtern hingegen vertrauen viele Dienste, die darauf basieren, einfach der Passwortbestätigung und in manchen Fällen sogar einem einzelnen „Nutzer verifiziert“-Flag, ohne zu überprüfen, ob tatsächlich eine biometrische Eingabe oder eine PIN-Eingabe stattgefunden hat.
Malware kommt ins Spiel
Die Forscher begannen jedoch mit einer Malware-Infektion. Windows Wir haben uns mit dem Computer auseinandergesetzt und drei mögliche Angriffsszenarien zum Diebstahl synchronisierter Google-Passwörter entwickelt. Der Google Passwort-Manager kann Passwörter zwischen Geräten synchronisieren, was praktisch ist, da man nicht bei jedem neuen Computer ein neues Passwort registrieren möchte. Dadurch wird er aber auch angreifbar.
Von schlimm bis am schlimmsten sind die Angriffe:
- Pass-ta-key : Schadsoftware auf dem Computer des Opfers fragt im Hintergrund nach dem Passwort. Chrome und die Google Cloud zur Erstellung eines gültigen Passkey-Logins, keine biometrische oder PIN-Abfrage erforderlich.
- Silver Pass‑ta‑key : Malware missbraucht die Geräte-Neuregistrierung, um ihren eigenen Benutzerverifizierungsschlüssel zu registrieren, und meldet sich dann vom Rechner des Angreifers aus als Opfer an, ohne das Gerät des Opfers zu berühren.
- Goldener Pass-ta-key : Malware extrahiert Googles Sicherheitsdomänengeheimnis (den Master-Verschlüsselungsschlüssel), entschlüsselt alle synchronisierten Passkeys und kann sie überall wiederverwenden, selbst nachdem der Zugriff auf das ursprüngliche Gerät verloren gegangen ist.
Wie man sicher bleibt
Die Forscher fordern die Dienstebetreiber dringend auf, dem Nutzerverifizierungsflag nicht länger blind zu vertrauen, sondern vor der Zugriffsgewährung sorgfältig zu prüfen, ob tatsächlich eine Nutzerverifizierung stattgefunden hat. Google wird seinerseits dazu angehalten, die Geräteregistrierung und -wiederherstellung zu verbessern und zu überprüfen, ob neue Geräte und Schlüssel auf Originalhardware basieren, anstatt sie ohne Weiteres zu akzeptieren.
Für Endnutzer bieten Passkeys weiterhin einen starken Schutz vor klassischen Phishing-Websites und Credential-Stuffing-Angriffen, die auf der Wiederverwendung von Passwörtern basieren. Die hier aufgezeigte Schwachstelle liegt weniger im Konzept der Passkeys selbst, sondern vielmehr in deren Implementierung, Synchronisierung und der Art und Weise, wie ihnen ohne ausreichende serverseitige Überprüfung vertraut wird.
Solange die Anbieter diese Sicherheitslücken nicht schließen, bleibt grundlegende Anti-Malware-Hygiene unerlässlich. Die besten Methoden, um zu verhindern, dass Malware Ihre Passwörter missbraucht, sind:
- Halten Sie sich über Aktualisierungen auf dem Laufenden: Stellen Sie sicher, dass Ihre Systeme und Software so schnell wie möglich gepatcht werden.
- Nutzen Sie einen aktuellen Echtzeit- Malwareschutz .
- Unerwartete Anhänge oder Links sind grundsätzlich verdächtig, bis ihre Unschuld bewiesen ist.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.
