Passkeys als Köder: Der Angriff beginnt vor dem Login

Ein Mitarbeiter erhält auf seinem privaten Telefon einen Anruf. Der angebliche IT-Support erklärt, sein Passkey müsse dringend aktualisiert werden. Sonst verliere er den Zugriff auf wichtige Anwendungen. Kurz darauf folgt ein Link zu einer Anmeldeseite, die vertraut aussieht.

Der Angriff beginnt mit Vertrauen, nicht mit einem technischen Defekt. Microsoft Security Research beschreibt aktive Cloud-Angriffe, bei denen Passkeys, Mehrfaktor-Authentisierung oder Single Sign-on als Vorwand dienen. Die Passkey-Kryptografie wird dabei nicht gebrochen. Missbraucht wird die Erwartung, dass eine neue Anmeldemethode erklärt, eingerichtet und gelegentlich korrigiert werden muss.

Passkeys bleiben ein Sicherheitsgewinn

Ein Passkey ist eine kryptografische Anmeldemethode nach dem offenen FIDO2-Standard. Der private Schlüssel wird bei der Anmeldung nicht an den Dienst übertragen. Zudem ist der Passkey an den Dienst gebunden, für den er registriert wurde. Eine klassische Phishing-Seite kann ihn deshalb nicht wie ein Passwort oder einen Einmalcode abgreifen. Microsoft empfiehlt Passkeys weiterhin als phishing-resistente Authentisierung. Die Schwachstelle liegt im beobachteten Fall ausserhalb dieses Schutzes: bei Einführung, Support, Wiederherstellung und parallel verfügbaren Anmeldewegen.

Der Angriff folgt dem Vertrauensweg

Am Anfang steht häufig ein Anruf oder eine Nachricht auf dem privaten Telefon. Der Absender gibt sich als Helpdesk aus, kennt möglicherweise Namen und Rolle des Opfers und erzeugt Zeitdruck. Die anschliessende Webseite trägt Begriffe wie Passkey, MFA oder SSO und wirkt wie ein normaler Teil des Unternehmensprojekts.

Die angebliche Passkey-Registrierung führt das Opfer tatsächlich in einen anderen Authentisierungsablauf. Bei einem Adversary-in-the-Middle-Angriff steht der Täter technisch zwischen Benutzer und Anmeldedienst und versucht, Zugangsdaten sowie Sitzungstoken abzugreifen. Beim Gerätecode-Phishing gibt das Opfer einen Code auf einer legitimen Microsoft-Seite ein und autorisiert damit unbemerkt eine Sitzung des Angreifers. Der Passkey wird nicht geknackt. Der Benutzer wird um seinen Schutz herumgeführt.

Nach dem ersten Zugang versucht der Täter, den Zugriff abzusichern. Microsoft beobachtete neu registrierte Authentisierungsmethoden, die vom Angreifer kontrolliert wurden. Danach folgte die Erkundung der Cloud-Umgebung über Microsoft Graph, die zentrale Schnittstelle zu Microsoft-365-Diensten. Später wurden Dateien und E-Mails in SharePoint, OneDrive und Exchange gesucht und heruntergeladen. Aus einem glaubwürdigen Telefonat war ein Cloud-Incident geworden.

Ein einzelner Alarm erzählt diese Geschichte nicht

Eine ungewöhnliche Anmeldung allein beweist noch keinen Angriff. Dasselbe gilt für eine neue Authentisierungsmethode oder eine einzelne Graph-Abfrage. Aussagekräftig wird die zeitliche Verbindung dieser Ereignisse mit auffälligen Datei- und Postfachzugriffen. Microsoft empfiehlt deshalb, Identity- und Cloud-Signale als zusammenhängende Sequenz zu untersuchen. Wenn verschiedene Teams jeweils nur ihren eigenen Alarm sehen, bleibt der Angriff in organisatorischen Lücken verborgen.

Bestätigt sich eine Kompromittierung, genügt eine Passwortänderung nicht. Aktive Sitzungen und Aktualisierungstoken müssen widerrufen, fremde Authentisierungsmethoden und Mailboxregeln entfernt sowie legitime Anmeldemethoden kontrolliert neu registriert werden. Erst die anschliessende Prüfung von Anwendungen und Datenzugriffen zeigt, wie weit der Angreifer gekommen ist.

Der Rollout bestimmt, wem Mitarbeitende vertrauen

Eine Passkey-Einführung braucht einen verbindlichen Kommunikationsweg, eine eindeutig erkennbare Registrierungsadresse und eine einfache Meldemöglichkeit für unerwartete Aufforderungen. Der Helpdesk benötigt klare Regeln für Identitätsprüfung und Änderungen an Authentisierungsmethoden. Technisch sollte die Organisation prüfen, welche alternativen Anmeldewege noch verfügbar sind. Microsoft empfiehlt, Gerätecode- und Authentisierungsübertragungen zu blockieren, wenn kein ausdrücklicher geschäftlicher Bedarf besteht. Die Registrierung neuer Sicherheitsinformationen lässt sich zusätzlich mit risikobasierten Zugriffsrichtlinien, verwalteten Geräten und phishing-resistenter Authentisierung absichern.

Konsequenz

Passkeys erschweren Phishing. Sie ersetzen aber keinen belastbaren Identitätsprozess. Wer sie einführt, muss auch den Weg zur Registrierung, den Support und die Erkennung absichern. Genau dort setzt der Angreifer an: vor dem Login, in einem Moment, der für Mitarbeitende wie legitime Hilfe aussieht.

Quellen

• Microsoft Security Research: Passkey-themed social engineering leads to identity and cloud compromise
• Microsoft Learn: Microsoft Entra authentication overview
• Microsoft Learn: How to enable passkeys in Microsoft Entra ID
• The Hacker News: Fake IT Calls Target Executives in Microsoft 365 Data Theft and Extortion Attacks