Passkeys im Fokus: Forscher entdeckt "Pass-the-Passkey"-Sicherheitslücke

Auf der Sicherheitskonferenz Black Hat USA in Las Vegas, die vom 1. bis 6. August stattfinden wird, will der Forscher Michael Grafnetter von SpecterOps eine neue Angriffsfamilie namens "Pass-the-Passkey" vorstellen. Wie das Fachportal "notebookcheck.com" berichtet, habe Grafnetter reale Passkey-Implementierungen bereits im Vorfeld genauer untersucht und seine Erkenntnisse in seinem Blog" DSInternals" angekündigt – die ausführliche Präsentation mit Details und quelloffenen Werkzeugen auf der Konferenz steht aber noch aus.

Brisant ist der Zeitpunkt trotzdem: Microsoft will Passkeys ab dem 1. September zum Standard-Login für seine Cloud-Konten erklären, und laut einer Mitteilung der Deutschen Presse-Agentur (dpa) führten zuletzt auch die beiden populären E-Mail-Dienste "Web.de" und "GMX" das Verfahren ein.

Auch in den News:

• Mögliche Auslieferung: Tate-Brüder bleiben weiter in U-Haft

• Kumamoto: Schweres Erdbeben erschüttert den Südwesten Japans

• Mercedes-Benz: Krasser Einbruch in Pkw-Sparte, aber steigende Gewinne

"Pass-the-Passkey" zeigt drei Sicherheitslücken auf

Wer verstehen will, wie brisant der angekündigte Fund ist, muss zunächst zwischen zwei Arten von Passkeys unterscheiden. Die bequeme Variante liegt im Passwort-Manager oder direkt im Cloud-Konto von Apple, Google oder Microsoft und wird automatisch auf alle Geräte synchronisiert.

Genau diese Synchronisierung schaffe laut den Sicherheitsexperten eine zusätzliche Angriffsfläche: Gelinge es Kriminellen, das Cloud-Konto zu kapern, gelangten sie im schlimmsten Fall auch an die dort hinterlegten Passkeys.

Die zweite, deutlich robustere Variante ist der physische Hardware-Schlüssel – ein kleiner USB- oder NFC-Stick, dessen geheimer Schlüssel den Chip nach Angaben der FIDO Alliance niemals verlässt und sich nicht kopieren lässt.

Grafnetter fand bei seinen Untersuchungen drei kritische Schwachstellen in Windows 11 und Microsoft Entra ID. Windows 11 habe demnach in bestimmten Fällen eine vollständige Kopie des Anmeldeschlüssels im Ereignisprotokoll gespeichert, während Entra ID die mehrfache Nutzung gestohlener Zugangsdaten nicht zuverlässig verhindert habe.

In Kombination hätten Angreifer:innen damit theoretisch selbst besonders geschützte, phishing-resistente Firmenkonten übernehmen können. Benannt wurde die Angriffsfamilie nach dem klassischen "Pass-the-Hash"-Angriff, bei dem gestohlene Zugangsdaten wiederverwendet werden, ohne das eigentliche Passwort zu kennen. Die zentrale Sicherheitslücke wurde bereits am 14. Juli geschlossen, den Cloud-seitigen Teil habe Microsoft im Hintergrund nachgebessert – noch vor der Black-Hat-Präsentation.

Wichtig für Privatnutzer:innen: Betroffen seien vor allem Unternehmensumgebungen mit Entra ID, Windows Hello oder FIDO2-Schlüsseln – nicht der private Passkey auf dem eigenen Smartphone. Aber obwohl Passkeys hier als besonders sicher gelten, nutzen viele Menschen in Deutschland häufig veraltete und riskante Praktiken.

Auch Hardware-Schlüssel sind laut "notebookcheck.com" kein Garant für absolute Sicherheit. Wer das Risiko weiter senken möchte, muss auf einen separaten Key zurückgreifen, den man im Zweifel aus dem Gerät ziehen kann.

Eine weitere Schwachstelle bei Passkeys: der Gerätewechsel

Neben gezielten Angriffen gibt es noch ein ganz alltägliches Risiko, das viele Nutzer:innen erst bemerken, wenn es bereits zu spät ist. Wie das Portal "netzwelt.de" berichtet, hängen Passkeys trotz aller Bequemlichkeit weiterhin an einem Gerät, einem Anbieter und einem Wiederherstellungsweg. Wer sein Smartphone verliert, mit leerem Akku an einem fremden Laptop sitzt oder auf ein neues Gerät umsteigt, steht ohne Vorbereitung mitunter vor verschlossenen digitalen Türen.

Der Grund liegt laut "netzwelt.de" im technischen Aufbau: Bei der Einrichtung eines Passkeys entsteht ein Schlüsselpaar aus öffentlichem und privatem Teil. Während der öffentliche Schlüssel beim jeweiligen Dienst hinterlegt wird, verbleibt der private Schlüssel geschützt auf dem Gerät oder beim Anbieter – ohne, dass geheime Zugangsdaten übertragen oder auf Servern gespeichert werden müssen. Genau das mache Passkeys zwar immun gegen klassisches Passwort-Phishing, schafft aber eine neue Abhängigkeit: Nicht jeder Passkey lässt sich einfach auf ein anderes Gerät übertragen.

Hier kommt es entscheidend auf den Speicherort an. Synchronisierte Passkeys, wie sie etwa iCloud Keychain oder der Google Password Manager verschlüsselt zwischen Geräten abgleichen, lassen sich nach einem Gerätewechsel meist problemlos wiederherstellen.

Gerätegebundene Passkeys dagegen bleiben fest an ein einzelnes Gerät gekoppelt. Das bietet zwar maximalen Schutz, wird beim Verlust des Geräts aber schnell zur echten Hürde. Verschärft wird das Problem dadurch, dass selbst die beste Synchronisation nichts mehr nützt, sobald der Zugriff auf das übergeordnete Google- oder Apple-Konto verloren geht. Auch schwache Notfall-Wege einzelner Websites, etwa eine unsichere SMS-Wiederherstellung, können das eigentlich hohe Sicherheitsniveau der Passkeys im Hintergrund wieder aushöhlen.

"Web.de" und "GMX" steigen ein – so funktioniert die Anmeldung zukünftig

Trotz aller Vorsicht wächst der Kreis der Anbieter, die auf Passkeys setzen. Laut dpa haben nun auch die beiden reichweitenstarken E-Mail-Dienste "Web.de" und "GMX" die passwortlose Anmeldung eingeführt. Damit lässt sich das E-Mail-Postfach künftig auch ohne klassisches Passwort öffnen. Das automatisch erstellte kryptografische Schlüsselpaar macht die Anmeldung besonders sicher, da sich Passkeys – anders als Passwörter – nicht erbeuten, erraten oder vergessen lassen.

Beruhigend für alle, die sich noch nicht an die neue Methode gewöhnt haben: Das alte Passwort funktioniert bei "Web.de" und "GMX" weiterhin parallel. Das ist vor allem praktisch, falls die Passkey-Anmeldung einmal fehlschlägt oder das Smartphone gerade nicht griffbereit ist. Gespeichert werden können die neuen Schlüssel wahlweise direkt im Betriebssystem oder in kompatiblen Passwort-Managern von Drittanbietern – bereits gespeicherte Passwörter blieben davon unberührt.

Der häufigste Fehler: Das alte Passwort bleibt aktiv

Viele aktivieren einen Passkey, lassen aber das alte, schwache Passwort weiterhin als gültigen Login-Weg aktiv. Genau das zeigt sich jetzt auch bei "Web.de" und "GMX": Die parallele Passwort-Option ist zwar ein praktisches Sicherheitsnetz für den Notfall, sie bleibt aber eben auch eine Hintertür für Kriminelle.

Damit der Umstieg auf Passkeys tatsächlich mehr Sicherheit bringt, empfiehlt sich folgendes Vorgehen:

1. Passkey oder Hardware-Key einrichten – bei Diensten wie "Web.de" oder "GMX" über "Login & Sicherheit", bei anderen Anbietern über die jeweiligen Kontoeinstellungen

2. Einen zweiten Passkey als Backup anlegen, etwa auf einem Zweitgerät oder einem Hardware-Sicherheitsschlüssel. So bleibt der Zugriff auch erhalten, wenn ein Gerät verloren geht, gestohlen wird oder ausfällt.

3. Wiederherstellungscodes offline sichern, an einem Ort, der nicht vom eigenen Smartphone abhängt – etwa ausgedruckt oder in einem separaten, verschlüsselten Passwort-Manager.

4. Vor dem Zurücksetzen eines alten Geräts prüfen, ob sämtliche wichtigen Logins auf dem neuen Gerät bereits reibungslos funktionieren.

5. Regelmäßig kontrollieren, welcher Anbieter die eigenen Passkeys verwaltet und ob der Zugriff auf das zugehörige Hauptkonto – etwa bei Apple oder Google – weiterhin gesichert ist.

6. Das alte Passwort deaktivieren, wo der jeweilige Dienst das zulässt. Ist das nicht möglich, sollte es durch ein langes, komplexes Passwort ersetzt und sicher verwahrt werden.

Lohnt sich der Umstieg trotzdem?

Ja. Passkeys verschieben das Angriffsziel, sie beseitigen es nicht vollständig – das dürfte die ehrliche Botschaft sein, die Grafnetter mit seiner für Anfang August angekündigten Black-Hat-Präsentation vermitteln will.

Auch die Erfahrungen mit Gerätewechseln zeigen: Wer sich nicht vorbereitet, kann trotz moderner Technik plötzlich vor verschlossenen digitalen Türen stehen. Trotzdem bleiben Passkeys klar sicherer als klassische Passwörter, unabhängig von Datenlecks und resistent gegen klassisches Phishing.

Der Trend geht dabei eindeutig in eine Richtung: Microsoft macht Passkeys ab dem 1. September zum Standard-Login für seine Cloud-Konten, und mit "Web.de" und "GMX" geben auch zwei der größten deutschen E-Mail-Anbieter den Takt an.

Für die meisten Privatnutzer:innen bleibt der synchronisierte Passkey deshalb der richtige Schritt – vorausgesetzt, Backup-Passkey, Wiederherstellungscodes und der Zugriff auf das Hauptkonto sind sauber vorbereitet. Wer besonders sensible Konten schützen möchte, sollte zusätzlich einen Hardware-Key einsetzen und die alte Passwort-Hintertür konsequent schließen.

Dieser Beitrag wurde mit Unterstützung von Künstlicher Intelligenz (KI) erstellt und vor der Veröffentlichung von der Redaktion sorgfältig geprüft.