Das „Passkey“-Problem: Wenn Malware synchronisierte Passkeys angreift

Wenn du Passkeys für dein Google-Konto aktiviert hast, hast du wahrscheinlich schon das Versprechen gehört: kein Passwort, das du eingeben musst, nichts, was sich phishen lässt, nichts, was in einer Datenbank herumliegt und auf ein Datenleck wartet. Dieses Versprechen stimmt größtenteils. Forschende haben nun jedoch eine Technik beschrieben – mit dem Spitznamen „Pass-ta-key“ –, die zeigt, dass Malware auf deinem eigenen Gerät trotzdem auf in Google Password Manager gespeicherte Passkeys zugreifen kann. Es lohnt sich, genau zu verstehen, was das bedeutet und was nicht, denn die Lösung lautet nicht „Hör auf, Passkeys zu verwenden.“

Eine kurze Auffrischung dazu, wie Passkeys tatsächlich funktionieren

Ein Passkey ist ein Schlüsselpaar, kein Geheimnis, das du eingibst. Die private Hälfte soll dein Gerät niemals verlassen; die Website oder App sieht nur die öffentliche Hälfte und eine Signatur, die beweist, dass du den privaten Schlüssel besitzt. Das macht Passkeys resistent gegen klassisches Phishing – es gibt kein Passwort und keinen Einmalcode, den eine gefälschte Anmeldeseite stehlen könnte, weil der private Schlüssel nichts ist, dessen Eingabe man dich irgendwo durch Täuschung veranlassen kann.

Der Knackpunkt ist das Wort „synchronisiert“. Damit ein Passkey auf deinem Smartphone, Laptop und Tablet funktioniert, verschlüsselt und synchronisiert Google Password Manager deine Passkeys über dein Google-Konto, anstatt jeden einzelnen an ein einziges physisches Gerät zu binden. Dieser Komfort bedeutet zugleich eine größere Angriffsfläche als bei einem Passkey, der physisch an einen einzelnen Sicherheitsschlüssel oder ein einzelnes Gerät gebunden ist.

Worauf die Pass-ta-key-Forschung tatsächlich hinweist

Laut Berichten über diese Forschung (über Malwarebytes) besteht die Erkenntnis darin, dass Malware, die auf einem Gerät läuft, auf dem Google Password Manager entsperrt ist, durch Passkeys geschützte Konten übernehmen kann – nicht, indem sie die zugrunde liegende Public-Key-Kryptografie knackt, sondern indem sie die Software-Schicht missbraucht, die die Schlüssel speichert, entsperrt und synchronisiert. Mit anderen Worten: Die Mathematik hinter Passkeys wurde nicht geknackt. Angegriffen wird alles um die Mathematik herum – der lokale Tresor, der Entsperrvorgang, der Synchronisierungskanal.

Die genauen technischen Abläufe der Exploit-Kette wurden in den bisher öffentlich verfügbaren Informationen nicht vollständig erläutert. Daher sollte man vorsichtig sein und daraus nicht übertrieben „Passkeys sind kaputt“ machen. Klar ist – und das entspricht der üblichen Funktionsweise solcher Angriffe – die allgemeine Form des Risikos: Wenn Malware auf einem Gerät mit einem entsperrten Passkey-Speicher ein ausreichend hohes Zugriffslevel erreicht, kann sie möglicherweise innerhalb dieses Speichers in deinem Namen handeln oder Material exportieren, mit dem sich ein Angreifer anderswo als du authentifizieren kann.

Warum das kein Argument gegen Passkeys ist

Es ist verlockend, eine solche Schlagzeile als „Passkeys sind gescheitert“ zu lesen. Das sind sie nicht – sie haben einen bestimmten, äußerst verbreiteten Angriff ausgeschaltet: Remote-Phishing, bei dem ein Angreifer irgendwo auf der Welt dich dazu bringt, ein Passwort oder einen Einmalcode auf einer gefälschten Website einzugeben. Gegen einen echten Passkey ist dieser Angriff weiterhin wirkungslos. Was Pass-ta-key veranschaulicht, ist ein anderes, älteres Bedrohungsmodell: ein Angreifer, der bereits Code auf deinem Gerät ausführen kann. Diese Bedrohung hat immer existiert, und bei Passwörtern war sie wohl noch schlimmer – ein Keylogger oder Infostealer auf einem infizierten Rechner konnte ein eingegebenes Passwort und ein Sitzungscookie ebenso leicht abgreifen. Passkeys verkleinern die Angriffsfläche; sie beseitigen nicht die Kategorie „dein Gerät ist kompromittiert“.

Was du tatsächlich überprüfen und tun solltest

Einige konkrete, überprüfbare Schritte, ungefähr nach ihrer Wirkung geordnet:

• Informiere dich, welche deiner Passkeys synchronisiert und welche gerätegebunden sind. Im Google Password Manager (passwords.google.com, unter „Passkeys“) kannst du sehen, was gespeichert und mit deinem Konto synchronisiert ist. Ein Passkey, der mit einem physischen Sicherheitsschlüssel (wie einem YubiKey) erstellt und bestätigt wurde und den du nicht synchronisiert hast, ist an diese Hardware gebunden und dieser Angriffsklasse nicht auf dieselbe Weise ausgesetzt.
• Verwende für deine wichtigsten Konten – primäre E-Mail-Adresse, Bank, Single Sign-on für die Arbeit – vorzugsweise einen Hardware-Sicherheitsschlüssel statt eines synchronisierten Passkeys. Das ist etwas weniger bequem (du brauchst den physischen Schlüssel), aber er berührt überhaupt keine Cloud-Synchronisierung, wodurch diese gesamte Angriffsfläche für das betreffende Konto entfällt.
• Halte das Gerät selbst sauber, denn dort findet der eigentliche Kampf jetzt statt. Installiere Betriebssystem- und Browser-Updates umgehend, vermeide die Installation von Apps oder Erweiterungen außerhalb offizieller Stores und ignoriere keine Antivirus- oder Endpoint-Warnungen – eine Malware-Infektion ist die Voraussetzung für diese Art von Angriff, daher erfüllt gute Gerätehygiene gleich zwei Zwecke.
• Aktiviere Googles Advanced Protection Program, wenn du ein realistisches Ziel bist (Journalisten, Aktivisten, Führungskräfte, Administratoren oder Personen, die bereits zuvor angegriffen wurden). Es verschärft die Regeln für Kontowiederherstellung und Anmeldung gezielt gegen ein solches Szenario der Kontoübernahme.
• Überprüfe regelmäßig die „Letzten Sicherheitsaktivitäten“ deines Google-Kontos und die verbundenen Geräte und entferne alles, was du nicht erkennst oder nicht mehr verwendest – einschließlich alter synchronisierter Passkeys, die noch auf Geräten liegen, die du inzwischen ersetzt hast.
• Verzichte nicht auf deine Backup-Authentifizierungsmethode. Behalte eine Wiederherstellungsmethode (Backup-Codes, einen zweiten Passkey auf einem anderen Gerätetyp), die nicht vom selben Gerät abhängt, damit du nicht ausgesperrt bist, falls du ein infiziertes Gerät löschen musst.

Die Kurzfassung: Passkeys sind Passwörtern weiterhin überlegen, und „nicht phishbar“ ist nach wie vor eine zutreffende Bezeichnung für das, was sie gegen Remote-Phishing leisten. Pass-ta-key erinnert daran, dass „nicht phishbar“ nie dasselbe bedeutet hat wie „immun gegen ein kompromittiertes Gerät“ – und deine Verteidigung gegen Letzteres besteht aus den langweiligen Dingen: Aktualisiere deine Geräte, achte auf Malware und schütze deine wichtigsten Konten mit hardwaregebundenen statt synchronisierten Schlüsseln.