Pass-ta-key-Angriffe: Wenn Malware Googles Passkeys übernimmt
Palo Alto Networks’ Unit 42 hat am 3. August 2026 drei Angriffstechniken gegen den Google Password Manager in Chrome unter Windows vorgestellt: Pass ta key, Silver Pass ta key und Golden Pass ta key [2][3][7].
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Palo Alto Networks’ Unit 42 hat am 3. August 2026 drei Angriffstechniken gegen den Google Password Manager in Chrome unter Windows vorgestellt: Pass ta key, Silver Pass ta key und Golden Pass ta key [2][3][7].
Die Angriffe knacken weder WebAuthn noch FIDO2. Sie missbrauchen vielmehr Schwachstellen beim Gerätevertrauen, bei der erneuten Geräteanmeldung und bei der Verarbeitung synchronisierter Passkeys [2][7].
Besonders gefährlich ist Golden Pass ta key: Damit lässt sich der Security Domain Secret (SDS) aus dem Chrome Prozessspeicher auslesen – der Masterschlüssel für die synchronisierten Passkeys eines Google Kontos [2][3]...
Empfohlen werden unter anderem ein zusätzlicher Hardware Sicherheitsschlüssel, Googles Programm „Erweiterter Schutz“, regelmäßige Kontrollen der Geräteliste und ein kompletter Neuaufbau des Systems nach einer Infostea...
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Am 3. August 2026 hat Palo Alto Networks’ Sicherheitsteam Unit 42 drei Angriffstechniken vorgestellt, mit denen bereits laufende Malware auf einem kompromittierten Windows-PC Passkeys im Google Password Manager von Chrome missbrauchen kann. Die Schadsoftware benötigt dafür laut den Forschern keine Administratorrechte – Standardbenutzerrechte reichen aus .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Pass-ta-key-Angriffe: Wenn Malware Googles Passkeys übernimmt“?
Palo Alto Networks’ Unit 42 hat am 3. August 2026 drei Angriffstechniken gegen den Google Password Manager in Chrome unter Windows vorgestellt: Pass ta key, Silver Pass ta key und Golden Pass ta key [2][3][7].
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Palo Alto Networks’ Unit 42 hat am 3. August 2026 drei Angriffstechniken gegen den Google Password Manager in Chrome unter Windows vorgestellt: Pass ta key, Silver Pass ta key und Golden Pass ta key [2][3][7]. Die Angriffe knacken weder WebAuthn noch FIDO2. Sie missbrauchen vielmehr Schwachstellen beim Gerätevertrauen, bei der erneuten Geräteanmeldung und bei der Verarbeitung synchronisierter Passkeys [2][7].
Was soll ich als nächstes in der Praxis tun?
Besonders gefährlich ist Golden Pass ta key: Damit lässt sich der Security Domain Secret (SDS) aus dem Chrome Prozessspeicher auslesen – der Masterschlüssel für die synchronisierten Passkeys eines Google Kontos [2][3]...
Wichtig ist die Einordnung: Die Verfahren brechen nicht die Kryptografie von WebAuthn oder FIDO2. Stattdessen greifen sie die technische Umsetzung des Cloud-Authentifikators von Chrome sowie die Abläufe zur Geräteanmeldung an . Für Betroffene kann das dennoch bedeuten, dass passkey-geschützte Konten unbemerkt übernommen werden – ohne Fingerabdruck, PIN oder sichtbare Abfrage.
Die drei Angriffspfade im Überblick
1. Pass-ta-key: Ein gültiges Login ohne Benutzerbestätigung
Beim grundlegenden Pass-ta-key-Angriff liest die Malware den von Chrome TPM-geschützten Geräteschlüssel aus der lokalen Datei passkey_enclave_state aus. Anschließend verwendet sie legitime Windows-CNG-APIs, um damit von den Angreifern kontrollierte Anfragen zu signieren.
So entsteht eine gültige WebAuthn-Bestätigung, obwohl auf dem Bildschirm des Opfers keine biometrische Abfrage und keine PIN-Eingabe erscheint. Der Angriff funktioniert bei Diensten, die das User-Verified-Flag (UV-Flag) in den Authentifikator-Daten nicht serverseitig prüfen .
Ausgenutzt werden: das Vertrauen des Cloud-Authentifikators in einen lokal gespeicherten Geräteschlüssel und die Tatsache, dass manche Websites die tatsächliche Benutzerbestätigung nicht erzwingen.
2. Silver Pass-ta-key: Eine eingeschleuste Bestätigungsschlüssel-Registrierung
Silver Pass-ta-key setzt an, indem die Malware die lokale Datei passkey_enclave_state löscht oder ungültig macht. Chrome muss das Gerät daraufhin erneut anmelden. Während dieses sogenannten Re-Onboardings erzeugt Chrome den Schlüssel für die Benutzerbestätigung kurzzeitig in einem verzögerten Ablauf.
In diesem Zeitfenster kann der Angreifer seinen eigenen UV-Schlüssel registrieren. Weil Googles Cloud-Authentifikator die Attestierung dieses neuen Schlüssels nicht überprüft, tragen anschließend erzeugte Signaturen trotzdem ein gesetztes UV-Flag. Damit lässt sich die Benutzerbestätigung auch bei Websites umgehen, die sie eigentlich voraussetzen .
Der Zugriff bleibt zudem dauerhaft nutzbar: Der Angreifer kann sich von seinem eigenen Gerät aus authentifizieren; der Windows-PC des Opfers muss dafür nicht mehr online sein.
Ausgenutzt werden: die fehlende Attestierungsprüfung bei der erneuten Geräteanmeldung und der Umstand, dass sich der Enclave-Status ohne ausreichenden Schutz löschen lässt.
3. Golden Pass-ta-key: Der Angriff auf den Masterschlüssel
Golden Pass-ta-key verwendet zunächst denselben Re-Onboarding-Ablauf. Danach liest die Malware den Arbeitsspeicher des Chrome-Prozesses aus und sucht dort nach dem Security Domain Secret (SDS).
Der SDS ist ein 32 Byte langer symmetrischer Schlüssel. Er verschlüsselt die synchronisierten privaten Passkey-Schlüssel im Google-Konto. Gelingt sein Diebstahl, kann der Angreifer sämtliche bereits synchronisierten Passkeys entschlüsseln – ebenso neue Passkeys, die später noch synchronisiert werden .
Unit 42 hatte außerdem festgestellt, dass Chrome den SDS zuvor im Klartext in der Ausgabe chrome://device-log/FIDO protokollierte. Google hat diese Protokollierung nach der Meldung der Forscher entfernt. Das grundsätzliche Problem, dass der SDS während des Anmeldevorgangs im Speicher auftaucht, besteht laut den vorliegenden Berichten jedoch weiterhin .
Ausgenutzt wird: dass der SDS während des Geräte-Onboardings im Klartext im Speicher des Chrome-Prozesses vorhanden ist.
Welche Websites sind betroffen?
Der einfache Pass-ta-key-Angriff betrifft grundsätzlich jeden sogenannten Relying Party – also einen Onlinedienst, der Passkeys zur Anmeldung akzeptiert –, der das UV-Flag nicht korrekt prüft.
Unit 42 nannte eBay als Beispiel für einen Dienst, der diese Kontrolle zunächst nicht durchsetzte. eBay hat die Prüfung inzwischen nachgebessert . Die Forscher erklärten außerdem, dass überraschend viele Websites bei der Registrierung zwar userVerification: "required" anfordern, das tatsächlich zurückgelieferte UV-Bit bei der Anmeldung aber nicht überprüfen .
Was bedeutet ein gestohlener SDS?
Der SDS wirkt als Masterschlüssel für alle synchronisierten Passkeys im Google-Konto. Wird er entwendet, ergeben sich laut Unit 42 weitreichende Folgen:
Alle bereits synchronisierten privaten Passkey-Schlüssel können entschlüsselt werden. Das gilt auch für neue Passkeys, die später hinzukommen .
Angreifer können sich bei sämtlichen Konten anmelden, die durch diese Passkeys geschützt sind – einschließlich Gmail –, ohne dass das Opfer erneut eingreifen muss .
Über den Zugriff auf Gmail können sie unter Umständen Passwörter weiterer Dienste zurücksetzen. Der Schaden reicht damit über die unmittelbar betroffenen Konten hinaus .
Für Nutzer gibt es keinen integrierten Weg, den SDS zu wechseln oder neu zu erzeugen .
Was Nutzer und Unternehmen jetzt tun können
Die Empfehlungen aus der Untersuchung und der dazugehörigen Berichterstattung lauten:
Einen Hardware-Sicherheitsschlüssel registrieren: Ein zusätzlicher Schlüssel, etwa ein YubiKey, ist gerätegebunden. Seine Zugangsdaten werden nicht mit der Cloud synchronisiert, landen nicht im Chrome-Enclave-Status und können nicht auf demselben Weg aus dem Speicher gelesen werden .
Googles Programm „Erweiterter Schutz“ aktivieren: Für besonders gefährdete Personen wie Journalisten, Führungskräfte, Aktivisten und Administratoren verschärft das Programm die Anforderungen an Sicherheitsschlüssel und die Kontowiederherstellung .
Die Geräteliste regelmäßig prüfen: Unbekannte Geräte und Sitzungen sollten mindestens monatlich aus dem Google-Konto entfernt werden .
Infostealer-Infektionen als vollständigen Sicherheitsvorfall behandeln: Nach der Wiederherstellung sollte der Rechner neu aufgesetzt und alle Passkeys von einem sauberen Gerät aus neu registriert werden .
Als Dienstbetreiber das UV-Flag prüfen: Websites sollten die Benutzerbestätigung serverseitig validieren und bei sensiblen Vorgängen userVerification: "required" statt "preferred" verwenden .
Aktueller Stand
Zum Veröffentlichungszeitpunkt am 3. August 2026 war für die Angriffstechniken noch keine CVE-Nummer vergeben. Google hatte außerdem nicht öffentlich bestätigt, ob die Silver- oder Golden-Pass-ta-key-Angriffe direkt behoben werden sollen .
Die zentrale Lehre der Untersuchung lautet daher: Ein Passkey schützt nicht automatisch vor einer bereits erfolgreichen Infektion des Endgeräts. Sobald Malware auf dem Windows-PC läuft, können auch die Abläufe rund um Gerätevertrauen und Schlüsselverwaltung zum Angriffspunkt werden.
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
