Ein Passkey schützt zuverlässig vor gewöhnlichem Phishing. Auf einem bereits infizierten Windows-Rechner verschiebt sich das Risiko trotzdem. Dann geht es nicht um den Passkey auf einem sauberen Gerät, sondern um das Vertrauen in einen Endpunkt, auf dem bereits Schadsoftware läuft.
Das Wichtigste in 30 Sekunden
- Unit 42 beschreibt drei Angriffsklassen gegen Google-synchronisierte Passkeys in Chrome auf Windows-Systemen mit TPM.
- Alle von Unit 42 beschriebenen Wege setzen voraus, dass Malware bereits auf dem Windows-Gerät vorhanden ist. Ein Fernangriff auf ein sauberes Gerät ist damit nicht belegt.
- Passkeys, FIDO2 und Public-Key-Kryptografie sind dadurch nicht generell gebrochen. Das Problem liegt im Zusammenspiel aus Endpunkt, Credential Manager, User Verification und Dienstprüfung.
- Bei Verdacht sollte die Kontoprüfung von einem vertrauenswürdigen Gerät aus erfolgen: Passkeys, Gerätesitzungen und unbekannte Einträge gehören getrennt kontrolliert.
- Das Löschen eines Passkeys oder ein Passwortwechsel ersetzt keine Bereinigung eines möglicherweise kompromittierten Windows-Geräts.
Die Frage hinter dem Befund
Für Menschen, Familien, Schulen, Vereine und kleine Betriebe ist deshalb nicht die Schlagzeile „Passkeys sind unsicher“ hilfreich. Die praktische Frage lautet: Was passiert, wenn der Rechner, der den Passkey verwaltet oder verwendet, bereits unter fremder Kontrolle steht?
Unit 42 veröffentlichte dazu am 3. August 2026 eine Analyse. Die Berichterstattung vom 10. August brachte den Befund erneut in die Nachrichten. Gemeint ist keine allgemeine Krise der Passkeys, sondern ein eng begrenzter Forschungsscope: Google Password Manager in Chrome auf Windows-Systemen mit TPM. Andere Credential Manager, Browser, Betriebssysteme und Dienste sind damit nicht automatisch eingeschlossen.
Drei Forschungsbegriffe, ein gemeinsamer Ausgangspunkt
Unit 42 nennt die beschriebenen Wege Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key. Diese Namen stammen aus der Forschungsarbeit und sind keine allgemeine Branchenklassifikation. Gemeinsam ist den Szenarien, dass die Malware zuerst auf dem Windows-Endpunkt vorhanden sein muss.
| Begriff aus der Forschung | Worum es laut Unit 42 geht | Wichtige Grenze |
|---|---|---|
| Pass-ta-key | Geräteidentität und ein gültiges Anmeldesignal werden missbraucht, wenn ein Dienst die User Verification nicht streng genug prüft. | Die beschriebene Assertion bleibt kryptografisch gültig; die Schwachstelle liegt bei Vertrauen und Validierung. |
| Silver Pass-ta-key | Der Angriff setzt bei Onboarding oder Recovery des User-Verification-Schlüssels an. | Die Beschreibung bleibt an den Google-/Chrome-/Windows-Scope der Studie gebunden. |
| Golden Pass-ta-key | Synchronisiertes Passkey-Material wird auf dem kompromittierten System zum Angriffsziel. | Unit 42 beschreibt keinen Bruch der zugrunde liegenden Public-Key-Kryptografie. |
Warum Passkeys ihre Stärke behalten
Ein Passkey besteht vereinfacht aus einem Schlüsselpaar. Der jeweilige Dienst speichert den öffentlichen Schlüssel. Der private Schlüssel bleibt beim Credential Manager und wird durch eine Geräteentsperrung wie PIN, Fingerabdruck oder Gesichtserkennung geschützt. Weil der Passkey an die Identität der Website oder App gebunden ist, kann eine gewöhnliche Phishing-Seite nicht einfach denselben Zugang für eine andere Adresse anfordern.
Diese Stärke hängt allerdings von der Umgebung ab. Ein kompromittierter Endpunkt kann Signale, Geräteidentität, Recovery-Abläufe oder synchronisierte Geheimnisse anders behandeln, als Nutzer und Dienst es erwarten. Das ist ein Vertrauens- und Implementierungsproblem – keine mathematische Entschlüsselung des Passkeys.
So prüfen Nutzer Konto und Gerät
Wer eine Infektion vermutet, sollte die folgenden Schritte nicht auf dem verdächtigen Windows-Rechner erledigen. Für die Kontoprüfung ist ein vertrauenswürdiges, sauberes Gerät die bessere Ausgangsbasis.
- Gerät nicht weiter als Vertrauensanker verwenden: Keine neuen Passkeys auf dem möglicherweise kompromittierten Rechner anlegen und keine sensiblen Kontomaßnahmen ausschließlich dort durchführen.
- Passkeys im Google-Konto prüfen: Unter
myaccount.google.com/signinoptions/passkeyskontrollieren, welche Einträge bekannt sind. Unbekannte oder verlorene Passkeys nach der Kontoprüfung entfernen. - Gerätesitzungen kontrollieren: In der Kontoansicht „Manage all devices“ öffnen und Sitzungen eines verlorenen oder unerwünschten Geräts abmelden. Passkey-Liste und Sitzungen sind zwei getrennte Prüfungen.
- Windows-Endpunkt bereinigen: Aktuelle Sicherheitssoftware und gegebenenfalls professionelle Incident Response einsetzen. Google-Kontoschritte beweisen nicht, dass Malware vom Rechner entfernt wurde.
- Ausweichschutz aktivieren: Für Dienste ohne Passkey starke, einzigartige Passwortmanager-Passwörter und Zwei-Faktor-Anmeldung verwenden, soweit verfügbar.
Was der Kontocheck nicht beweist
Ein entfernter Passkey, eine abgemeldete Sitzung oder ein neues Passwort sind sinnvolle Schritte. Jeder beantwortet aber nur einen Teil der Frage. Keiner beweist automatisch, dass Windows frei von Malware ist, keine weiteren Zugangsdaten betroffen sind oder ein bestimmter Dienst die User Verification korrekt durchgesetzt hat.
Auch ein Windows-Reset ist keine pauschale Sofortlösung. Bei einem ernsthaften Verdacht müssen Art und Umfang der Kompromittierung bewertet werden. Die ausgewählten Quellen liefern dafür keine forensische Anleitung und keinen allgemein gültigen Vendor-Patch.
Synchronisierung ist bequem, aber nicht ohne Abhängigkeiten
Google beschreibt Passkeys als Ende-zu-Ende-verschlüsselt und zwischen angemeldeten Geräten und Chrome-Browsern synchronisierbar. Das erleichtert Wiederherstellung und Gerätewechsel. Zugleich entsteht eine zusätzliche Abhängigkeit vom Credential Manager und von den Abläufen, die Passkeys registrieren, wiederherstellen und zur Anmeldung freigeben.
Die NCSC empfiehlt Passkeys weiterhin und verbindet den Schutz mit vertrauenswürdigen Credential Managern, aktuellen Geräten und aktueller Software. Das ist keine Absage an Passkeys, sondern eine nüchterne Sicherheitsregel: Phishing-Resistenz und Endpunkthygiene lösen unterschiedliche Probleme.
Meine Einschätzung
Der Befund lenkt den Blick auf die richtige Stelle. Ein sicherer Login hängt nicht nur vom Schlüssel ab, sondern auch vom Gerät, vom Credential Manager und vom Dienst, der das Anmeldesignal prüft. Für normale Nutzer heißt das: Passkeys weiter nutzen, bei Malware-Verdacht aber Gerät, Konto und Sitzungen getrennt behandeln.
So lassen sich zwei Fehler vermeiden. Ein einzelner Forschungsbefund muss nicht zur Passkey-Krise werden. Umgekehrt reicht ein schneller Passwortwechsel nicht, wenn der Endpunkt selbst nicht mehr vertrauenswürdig ist.
Häufige Fragen
Sind Passkeys auf Windows jetzt generell unsicher?
Nein. Unit 42 beschreibt einen begrenzten Scope rund um Google Password Manager in Chrome auf Windows-Systemen mit TPM. Alle dargestellten Wege setzen zunächst vorhandene Malware voraus. Daraus folgt keine allgemeine Aussage über jeden Dienst, Browser oder Credential Manager.
Kann ich den betroffenen Passkey einfach löschen?
Das Entfernen eines unbekannten oder verlorenen Passkeys kann ein wichtiger Kontoschritt sein. Es ersetzt aber weder die Prüfung der Gerätesitzungen noch die Bereinigung eines möglicherweise kompromittierten Windows-Endpunkts.
Ist ein Hardware-Schlüssel automatisch die vollständige Lösung?
Die ausgewählten Quellen tragen keine pauschale Zusage für eine vollständige Lösung durch ein einzelnes Gerät. Entscheidend bleibt, wie Endpunkt, Credential Manager und der jeweilige Dienst zusammenarbeiten.
Quellen und weiterführende Informationen
- Palo Alto Networks Unit 42: „Pass the Passkey: A Novel Attack Surface in Passwordless Authentication“ – https://unit42.paloaltonetworks.com/passwordless-authentication-security-risks/
- Google Account Help: „Sign in with a passkey instead of a password“ – https://support.google.com/accounts/answer/13548313
- Google for Developers: „Passkeys“ – https://developers.google.com/identity/passkeys
- UK National Cyber Security Centre: „Passkeys: what you need to know“ – https://www.ncsc.gov.uk/passkeys
- The Hacker News: „New Passkey Attacks Can Recover Synced Private Keys or Bypass Phishing-Resistant MFA“ – https://thehackernews.com/2026/08/new-passkey-attacks-can-recover-synced.html
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-11
