Passkeys umgangen, ohne die Kryptografie zu brechen: Drei Techniken zielen auf Windows, Chrome und Entra ID

Die am 10. August 2026 bekannt gewordene Meldung betrifft drei unabhängige Untersuchungen. Sie zeigen, wie sich die operativen Schutzmechanismen von Passkeys umgehen lassen, ohne die FIDO-Kryptografie zu brechen.

Die Angriffe extrahieren die privaten Schlüssel nicht direkt aus den Authenticatoren. Stattdessen verwenden sie bereits erzeugte Signaturen erneut, nutzen die Synchronisierung aus oder greifen auf Schlüssel in bereits kompromittierten Windows-Sitzungen zurück.

Die SpecterOps-Angriffskette zwischen Windows und Entra ID

Am 5. August 2026 stellte Michael Grafnetter, Principal Security Researcher bei SpecterOps, auf der Black Hat USA 2026 die Technik „Pass-the-Passkey“ vor.

Die Angriffskette betrifft Windows 10, Windows 11, Windows Server, den Windows Event Logging Service und Microsoft Entra ID. Laut SpecterOps speicherte Windows bereits von einem YubiKey erzeugte Signaturen im Klartext. Dadurch konnten sie auch von nicht privilegierten, authentifizierten Benutzern – einschließlich Remote-Benutzern – ausgelesen werden.

Ein Angreifer konnte diese Signaturen mit Schwachstellen bei der Validierung von Passkey-Relay-Assertions in Entra ID kombinieren. Dadurch war eine Anmeldung als privilegierter Benutzer möglich – selbst bei phishing-resistenter MFA.

Der private Schlüssel des YubiKeys wurde nicht extrahiert. Stattdessen wurde bereits signiertes kryptografisches Material wiederverwendet.

Die zugehörige Schwachstelle ist CVE-2026-34348 und wurde von Microsoft mit CVSS 6.5 bewertet. Microsoft hat ein Sicherheitsupdate veröffentlicht. Die Liste der betroffenen Produkte umfasst Windows 10, Windows 11 und Windows Server. Daraus geht jedoch nicht hervor, dass die gesamte Angriffskette auf jeder Version identisch funktioniert.

Google Password Manager und Chrome werden zu Zielen für Malware

Unit 42 beschrieb drei Angriffspfade unter der Bezeichnung „Pass-ta-key“. Alle setzen bereits ausgeführte Malware auf dem Endgerät voraus, erfordern jedoch keine Administratorrechte.

Der erste Angriff nutzt die Geräteidentitätsmechanismen von Chrome aus. Dadurch kann sich die Malware als legitimer Client des Google Password Managers ausgeben. So kann sie Signaturen abrufen und sich authentifizieren, ohne dass das Gerät erneut entsperrt oder der Benutzer erneut aktiv werden muss.

Die Technik wurde gegen eBay demonstriert, auch wenn die Website eine Benutzerverifizierung verlangte. Nach der Meldung änderte eBay die Validierung des WebAuthn-Flags für die User Verification.

Die schwerwiegendere Variante namens Golden Pass-ta-key zielt auf das Security Domain Secret – einen 32 Byte langen Master-Schlüssel, der synchronisierte Passkeys schützt. Laut Unit 42 war dieses Geheimnis in den Diagnoseprotokollen von Chrome sichtbar.

Google entfernte es aus den Protokollen. Unit 42 zufolge bleibt es bei einer erneuten Registrierung jedoch vorübergehend im Speicher des Chrome-Prozesses. Eine bestimmte betroffene Chrome-Version wurde nicht genannt.

Auch Windows Hello for Business kann wiederverwendet werden

Dirk-jan Mollema zeigte ein weiteres Szenario: Malware, die in einer bereits authentifizierten Windows-Sitzung ausgeführt wird, kann einen mit der Hardware verknüpften Windows Hello for Business-Schlüssel verwenden, ohne erneut PIN oder biometrische Merkmale anzufordern.

Das Problem besteht weder in der Umgehung des biometrischen Schutzes noch in der Ableitung des privaten Schlüssels. Die kompromittierte Sitzung verfügt bereits über den erforderlichen Kontext, um den Schlüssel zu verwenden.

Dadurch sinkt der Sicherheitswert einer erneuten lokalen Verifizierung, wenn der Endpunkt bereits von einem Angreifer kontrolliert wird.

Was Administratoren und Benutzer tun sollten

• Das Microsoft-Update für CVE-2026-34348 installieren.
• Chrome aktualisieren und, sofern möglich, die Erfassung sensibler Diagnoseprotokolle einschränken.
• Endpoint-Schutz und phishing-resistente Authentifizierung aktiviert lassen.
• Das Least-Privilege-Prinzip und ein Zero-Trust-Modell umsetzen.
• Ungewöhnliche Zugriffe auf Entra ID, Google Password Manager und privilegierte Konten überwachen.
• Eine Windows-Sitzung als kompromittiert betrachten, sobald auf dem Gerät Malware ausgeführt wird.

Microsoft erklärt außerdem, dass Gegenmaßnahmen gegen das Problem mit Passkey-Relay-Assertions eingeführt wurden. Technische Details zum Umfang des Schutzes auf Seiten von Entra ID wurden jedoch nicht veröffentlicht.

Synchronisierte oder an das Gerät gebundene Passkeys erhöhen den Schutz vor Phishing, beseitigen jedoch nicht das Risiko eines bereits kompromittierten Endpunkts oder einer kompromittierten Sitzung.