Pass-the-Passkey: Neue Angriffe treffen den Passwort-Nachfolger

Hardware-Keys sind phishing-resistent und lassen sich nicht aus der Ferne kopieren.

Passkeys lösen das Passwort ab, und Microsoft macht sie ab September zum Standard. Ausgerechnet jetzt zeigt Sicherheitsforscher Michael Grafnetter auf der Black Hat die Angriffsfamilie Pass-the-Passkey. Das Follow-up zu unserem Passkey-Ratgeber erklärt Cloud-Passkey gegen Hardware-Key, was die Forschung fand und wie du die häufigste Passwort-Hintertür schließt.

Steffen Zahn, Veröffentlicht am 27.07.2026 🇺🇸 🇪🇸 ...

Unser Ratgeber Passwort allein reicht nicht ist in der Community gut angekommen, und er war bewusst für Einsteiger gehalten. In den Rückmeldungen kamen genau die Feinheiten auf, die wir damals ausgelassen haben. Ausgerechnet jetzt liefert die Forschung den passenden Anlass: Auf der Black Hat USA (1. bis 6. August, Las Vegas) stellt der Sicherheitsforscher Michael Grafnetter eine Angriffsfamilie vor, die er Pass-the-Passkey nennt. Zeit fürs Follow-up: Was Passkeys wirklich unterscheidet, wo ihre Grenzen liegen und was du besser machen kannst.

Cloud-Passkey oder Hardware-Key, das ist der Unterschied

Passkeys gibt es in zwei Varianten. Die bequeme liegt im Passwort-Manager oder direkt bei Apple, Google oder Microsoft und wird über die Cloud auf all deine Geräte synchronisiert. Das ist praktisch, öffnet aber eine zusätzliche Angriffsfläche: Wer an dein Cloud-Konto kommt, kommt potenziell auch an die synchronisierten Passkeys. Die zweite Variante ist der Hardware-Schlüssel, ein kleiner USB- oder NFC-Stick. Sein privater Schlüssel verlässt den Chip nie und lässt sich nicht exportieren, wie es die FIDO Alliance beschreibt. Für die meisten reicht der Cloud-Passkey, weil er weiter phishing-resistent und klar besser als ein Passwort ist. Wer besonders schützenswerte Konten hat, fährt mit einem Hardware-Key sicherer.

Cloud-Passkey, geräte-gebundener Passkey und Hardware-Schlüssel im Vergleich — Der Unterschied liegt darin, wo der private Schlüssel liegt und ob er sich kopieren lässt.

Was die Pass-the-Passkey-Forschung zeigt

Michael Grafnetter, Sicherheitsforscher bei SpecterOps, hat sich reale Passkey-Umsetzungen genauer angesehen und sie in seinem Blog DSInternals angekündigt. Sein Befund: Wenn die Umgebung schludert, lassen sich alte Angriffsmuster zurückholen, obwohl die Passkey-Kryptografie selbst solide ist. Er nennt das Pass-the-Passkey, in Anlehnung an Pass-the-Hash. Ein Angreifer stiehlt Anmeldedaten und verwendet sie erneut, ohne das Passwort zu kennen. Konkret fand er drei fast ausnutzbare Lücken in Windows 11 und Microsoft Entra ID. Windows 11 schrieb eine komplette Kopie des Schlüssels ins Ereignisprotokoll, und Entra ID verhinderte die Wiederverwendung nicht sauber. Zusammen hätte das gereicht, um privilegierte Cloud-Konten zu übernehmen und selbst phishing-resistente Mehr-Faktor-Anmeldung auszuhebeln. Die Hauptlücke trägt die Kennung CVE-2026-34348 und wurde am 14. Juli geschlossen, den Cloud-Teil hat Microsoft still nachgebessert. Wichtig zur Einordnung: Das betrifft vor allem Firmen-Setups mit Entra ID, Windows Hello oder FIDO2-Keys, nicht deinen privaten Passkey auf dem Handy. Grafnetters eigenes Fazit: Passkeys sind ein großer Fortschritt, aber kein Zaubertrick, und die Angriffswege bleiben deutlich komplexer als bei klassischen Passwörtern.

Hardware-Keys sind nicht alle gleich

Ein Hardware-Schlüssel ist nicht automatisch die perfekte Lösung. Achte zuerst auf den Standard: FIDO2 mit WebAuthn ist der moderne, phishing-resistente Weg, während ältere Einmalcode-Verfahren wie TOTP das nicht leisten. Zweitens sind die bekanntesten Marken wie YubiKey (hier bei Amazon erhältlich) oder Googles Titan zwar ausgereift, aber gerade wegen ihrer Verbreitung ein beliebtes Ziel, und auch bei ihnen gab es schon Schwachstellen. Der EUCLEAK-Angriff zeigte 2024, dass sich bestimmte ältere YubiKeys unter Laborbedingungen klonen lassen. Wer die Angriffsfläche verkleinern will, kann bewusst ein weniger verbreitetes, aber zertifiziertes Modell wählen. Und für alles, was fest im Gerät steckt, etwa im iPhone, gilt die nüchterne Annahme: Was heute sicher im Chip liegt, könnte irgendwann doch ausgelesen werden. Ein separater Key, den du im Zweifel abziehst, bleibt die konservativere Wahl.

Neben dem bequemen Verfahren bleibt fast immer der alte Weg über Code oder Passwort offen — Genau hier sitzt die Hintertür: Wer den Passkey einrichtet, das alte Passwort aber aktiv lässt, hat den bequemen Angriffsweg nicht geschlossen.

Der häufigste Fehler: das alte Passwort bleibt an

Der teuerste Fehler ist unsichtbar. Viele aktivieren einen Passkey, lassen aber das alte, schwache Passwort als Login bestehen. Dann ist die Hintertür weiter offen, und der Passkey bringt wenig. So machst du es richtig:

Passkey oder Hardware-Key für das Konto einrichten.
Die Wiederherstellungscodes sichern, am besten ausgedruckt oder in einem Offline-Passwort-Manager.
Das alte Passwort deaktivieren, wo der Dienst das erlaubt.
Geht das nicht, das Passwort durch ein langes, komplexes ersetzen und nur an einem sicheren Ort aufbewahren.

Lohnt sich der Umstieg trotzdem?

Ja. Passkeys verschieben das Angriffsziel, sie beseitigen es nicht, das ist die ehrliche Botschaft der neuen Forschung. Trotzdem sind sie klar sicherer als Passwörter, unabhängig von Datenlecks und resistent gegen Phishing. Microsoft macht Passkeys ab dem 1. September sogar zum Standard-Login für seine Cloud-Konten. Für die meisten ist der synchronisierte Passkey der richtige Schritt. Wer mehr Schutz braucht, ergänzt einen Hardware-Key und schließt die Passwort-Hintertür. Die Details zu Pass-the-Passkey zeigt Grafnetter auf der Black Hat, samt Werkzeugen, die er quelloffen bereitstellt, damit andere weitere Schwachstellen finden.