Mehrere Angriffspfade auf Passkeys aufgedeckt — wo FIDO2 an seine Grenzen stößt

Passkeys gelten als die sicherste Alternative zum Passwort — und das stimmt, solange man die richtigen Angriffsziele im Blick behält. Sicherheitsforscher von Palo Alto Networks haben mehrere Methoden demonstriert, mit denen Angreifer Konten übernehmen können, obwohl diese per Passkey gesichert sind. Das Bemerkenswerte: Der FIDO2-Standard selbst bleibt dabei unangetastet. Die Angriffe zielen auf die Schicht darum herum.

Was Passkeys schützen — und was danach passiert

FIDO2 und Passkeys sind kryptografisch stark. Der private Schlüssel verlässt das Gerät nie; klassische Phishing-Angriffe, die auf Passworteingaben abzielen, scheitern daran. Genau deshalb haben große Plattformen den Standard in den vergangenen Jahren aktiv vorangetrieben — und deshalb gilt er zu Recht als Fortschritt.

Was FIDO2 aber nicht abdeckt: was nach dem erfolgreichen Login passiert. Ein authentifiziertes Konto erzeugt eine Sitzung — einen Session-Token, der die Identität des Nutzers für Stunden oder Tage repräsentiert. Wer diesen Token kontrolliert, kontrolliert das Konto. Das Passkey-basierte Login war dann korrekt und sicher — und hat trotzdem nichts gebracht.

Welche Angriffspfade die Forscher beschreiben

Die Forscher beschreiben mehrere voneinander unabhängige Angriffswege. Dabei ist ein wesentlicher Hinweis zu beachten: Die Angriffe setzen bestimmte Voraussetzungen voraus — ein vollständig passiver Angriff ohne jede Interaktion des Opfers ist nach bisherigen Erkenntnissen nicht beschrieben. Das schränkt das Risikoprofil ein, hebt es aber nicht auf.

Zu den beschriebenen Methoden gehören nach Angaben der Forscher Ansätze, die Session-Tokens nach erfolgter Passkey-Authentifizierung abfangen, Angriffe auf geräteübergreifende Authentifizierungsflows sowie die Ausnutzung von Kontowiederherstellungswegen, die neben Passkeys weiterhin aktiv sind. Die Kombination mehrerer paralleler Angriffspfade — kein einzelner Typ, sondern ein Fächer unabhängiger Methoden — ist das eigentliche Signal dieser Forschung.

Was das für Ihren Betrieb bedeutet

Wer Passkeys einführt und dabei alles andere unverändert lässt, hat die halbe Arbeit gemacht. Die Angriffsfläche verlagert sich — von Zugangsdaten auf Sitzungen und Wiederherstellungsmechanismen. Drei Punkte sollten Sie prüfen:

Session-Token-Schutz aktivieren. Wer Microsoft 365 und Entra ID einsetzt, sollte prüfen, ob Token Protection und Continuous Access Evaluation (CAE) in den Conditional-Access-Richtlinien aktiv sind. Beide Mechanismen binden Tokens stärker an Gerät und Kontext, sodass ein gestohlener Token deutlich schwieriger nutzbar wird. In komplexen Produktivumgebungen ist das mit Testaufwand verbunden; in überschaubareren Setups lässt sich die Konfiguration in wenigen Stunden abschließen.

Wiederherstellungswege prüfen. Welche Fallback-Optionen existieren, wenn ein Nutzer seinen Passkey verliert? Eine SMS-basierte Wiederherstellung auf eine ungesicherte Nummer macht die stärkste Passkey-Richtlinie angreifbar. Wiederherstellungswege sollten dieselbe Sorgfalt erhalten wie die Primärauthentifizierung.

Mitarbeitersensibilisierung nicht vergessen. Angriffe auf geräteübergreifende Authentifizierungsflows setzen voraus, dass ein Nutzer eine fremde Anfrage aktiv bestätigt. Wer seine Mitarbeiter dafür sensibilisiert, verkleinert die Angriffsfläche erheblich.

Passkeys sind besser als Passwörter — das bleibt nach dieser Forschung unverändert. Die Lektion ist eine andere: Phishing-resistente Authentifizierung ist ein wichtiger Baustein, kein vollständiges Sicherheitskonzept.

Quellen: b2b-cyber-security.de — „Forscher finden neue Angriffsmöglichkeiten auf Passkeys“ (https://b2b-cyber-security.de/forscher-finden-neue-angriffsmoeglichkeiten-auf-passkeys/)