Passkeys gelten als ein entscheidender Schritt in Richtung einer passwortlosen, phishing-resistenten Zukunft. Doch gerade die Einführung solch robuster Authentifizierungsmechanismen wird zunehmend von raffinierten Hackern als Einfallstor missbraucht.
Aktuelle Analysen einer groß angelegten Angriffswelle zeigen, wie eine unter dem Namen O-UNC-066 (in Sicherheitskreisen auch „Pink“ genannt) bekannte Gruppierung seit April 2026 gezielt die Passkey-Registrierungsprozesse von Microsoft 365-Kunden ins Visier nimmt. Die Täter haben es dabei branchenübergreifend auf große Unternehmen aus den Bereichen Lebensmittel, Technologie, Gesundheitswesen, Automobil, Bauwesen und Luftfahrt abgesehen. Primäres Ziel dieser Kampagnen ist der Datendiebstahl und die anschließende Erpressung der betroffenen Organisationen.
Voice-Phishing trifft auf perfekte Vorwände
Der Erfolg dieses speziellen Angriffsvektors beruht auf einem perfiden psychologischen Hebel: der Ausnutzung legitimer Sicherheitsinitiativen des Unternehmens. Seit Mai 2026 haben Administratoren in den entsprechenden IT-Umgebungen die Möglichkeit, „Nudge“-Kampagnen zu aktivieren, die Nutzer beim regulären Login auffordern, zeitnah einen Passkey einzurichten. Die Angreifer nutzen diese gut gemeinte und oft standardmäßig aktivierte Sicherheitsfunktion als perfekten Vorwand. Sie registrieren gezielt bösartige Domains, die das Wort „Passkey“ enthalten, und rufen die Zielpersonen direkt an (Voice-Phishing, kurz „Vishing“). Am Telefon geben sie sich höchst professionell als interner IT-Support aus und überzeugen die Opfer davon, dass eine dringende Passkey-Registrierung erforderlich sei. Viele Anwender sind durch interne Initiativen bereits an derlei Kommunikation gewöhnt worden, deshalb schöpfen sie in der Regel keinen Verdacht und folgen den Anweisungen.
Ein interaktives Katz-und-Maus-Spiel
Werden die Nutzer schließlich auf die präparierten Links geleitet, offenbart sich die enorme technische Raffinesse der Kampagne. Die Opfer landen auf zielgruppenspezifischen Subdomains, die täuschend echt die vertrauten Login-Seiten nachbilden – inklusive korrekter Firmenlogos und Hintergrundbilder, gepaart mit generischen Designelementen aus offiziellen Content-Netzwerken.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenInteressanterweise handelt es sich bei dem eingesetzten Phishing-Kit nicht um einen klassischen, transparenten Adversary-in-the-Middle (AitM) Proxy, der rein automatisiert dem Abgreifen von Anmeldeinformationen dient. Stattdessen basiert die Infrastruktur auf einem manuell gesteuerten PHP-Panel. Durch einen 1-Sekunden-Heartbeat-Polling-Mechanismus lenkt der Angreifer das Opfer nahezu in Echtzeit durch die verschiedenen Authentifizierungsphasen.
Dieser Ansatz ermöglicht eine beispiellose Flexibilität: Die gefälschte Webseite wird dynamisch an die individuellen Multi-Faktor-Authentifizierungsanforderungen (MFA) des Opfers angepasst. Ob zeitbasierte Einmalpasswörter (TOTP), SMS-Codes oder Push-Benachrichtigungen mit Number-Matching – das System präsentiert immer exakt die Eingabemaske, die der Täter im Hintergrund für den echten Login-Versuch benötigt. Während der Anrufer das Opfer beruhigt und instruiert, werden die eingegebenen Daten im Panel des Angreifers sichtbar, der diese zeitgleich im echten Firmenportal eingibt.
Die Illusion der Passkeys-Registrierung
Der kritischste und innovativste Teil des Angriffs ist die eigentliche Registrierung. Das Phishing-Kit macht sich zunutze, dass Endanwender oft nicht wissen, wie ein systemseitiger Passkey-Enrollment-Prozess auf Betriebssystemebene aussieht. Anstatt einen echten Systemdialog aufzurufen, präsentiert das Kit eine gefälschte Seite, die den Nutzer zur Speicherung eines „Recovery Keys“ auffordert.
Hierbei bedienen sich die Angreifer einer Methode, die primär aus der Kryptowährungs-Welt stammt: Sie generieren eine Liste von BIP-39-Wörtern (Seed Phrases) und lassen das Opfer diese notieren. Zur Bestätigung muss das letzte Wort manuell eingegeben werden. Technisch haben diese Phrasen absolut keine Relevanz für den regulären Registrierungsprozess. Sie dienen einem einzigen Zweck: Ablenkung. Dieser digitale Taschenspielertrick beschäftigt das Opfer lange genug, damit der Angreifer unbemerkt seinen eigenen, von ihm kontrollierten Passkey im echten Konto des Opfers hinterlegen kann. Am Ende präsentiert das Kit eine gefälschte Bestätigungsseite. Das Opfer geht davon aus, erfolgreich einen sicheren Passkey eingerichtet zu haben, während der Angreifer in Wahrheit eine persistente, kryptografisch gesicherte Hintertür in das Unternehmensnetzwerk eingebaut hat, für die er weder das ursprüngliche Passwort noch das MFA-Gerät des Nutzers benötigt.
Fazit
Der geschilderte Vorfall beweist eindrücklich: Die bloße Einführung starker, moderner Authentifizierungsverfahren löst nicht das Problem des Social Engineerings, sondern verlagert es lediglich auf den kritischen Registrierungsprozess. Um sich gegen diese hochentwickelten Angriffsvektoren wirksam zu wappnen, sollten Organisationen primär restriktive Enrollment-Prozesse etablieren. Die Registrierung neuer Passkeys oder MFA-Methoden darf niemals ohne zusätzliche Verifizierung und aus unbekannten Netzwerken heraus möglich sein. Die Einrichtung muss auf vertrauenswürdige Umgebungen (z. B. das Firmenbüro oder per VPN) oder auf verifizierte, verwaltete Endgeräte beschränkt werden. Alternativ ist ein durch den Support ausgegebener, befristeter Zugangscode für das Hinzufügen neuer Faktoren zwingend notwendig.
Flankierend zu diesen technischen Begrenzungen ist ein engmaschiges Monitoring unerlässlich, das bei Anmelde-Registrierungen unter ungewöhnlichen Bedingungen (etwa unbekannte IPs oder Standorte) sofort Alarm schlägt. Ebenso entscheidend ist die gezielte Sensibilisierung der Belegschaft für Vishing-Taktiken: Mitarbeiter müssen verinnerlichen, wie echte Systemdialoge aussehen und dass der IT-Support niemals unaufgefordert anruft, um bei Login-Prozessen zu assistieren. Dies erfordert zudem strikte Helpdesk-Vorgaben, bei denen Support-Anfragen ausschließlich über definierte Ticketsysteme abgewickelt und Nutzeridentitäten am Telefon stets durch sichere Rückruf-Routinen verifiziert werden.
Mehr bei Okta.com
Über Okta Okta ist der führende unabhängige Anbieter von Identity- und Access-Management-Lösungen für Unternehmen. Die Okta Identity Cloud ermöglicht es Unternehmen, die richtigen Personen zum richtigen Zeitpunkt sicher mit den richtigen Technologien zu verbinden. Mit 7.000 vorgefertigten Integrationen zu Anwendungen und Infrastrukturanbietern können Okta-Kunden die besten Technologien für ihr Unternehmen einfach und sicher nutzen.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Wie Cyberkriminelle die Passkeys-Registrierung kapern
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Analysen von Okta zu den Angriffsmethoden der Akteursgruppe O-UNC-066 („Pink“) als richtungsweisendes Warnsignal für Identity-and-Access-Management (IAM)-Strategien im Jahr 2026 ein. Die Kampagne zeigt eine gefährliche Evolution im Bereich Social Engineering: Die Täter nutzen legitime Passkey-Standardisierungs- und „Nudge“-Kampagnen in Microsoft 365 aus, um über hochgradig personalisiertes Voice-Phishing (Vishing) und manuell gesteuerte Phishing-Kits FIDO2/Passkey-Enrollment-Prozesse zu kapern. Dadurch gelingt es Angreifern, eigene Passkeys im Konto der Opfer zu hinterlegen und sich einen dauerhaften, phishing-resistenten Zugang an Passwörtern und MFA vorbei zu verschaffen.
Key-Takeaways
- Missbrauch von Sicherheitsinitiativen: Angreifer nutzen M335-Passkey-Aufforderungen („Nudge“-Kampagnen) als Vorwand, um Nutzer per Telefon (Vishing) zur Registrierung auf gefälschten Portalen zu bewegen.
- Manuell gesteuertes Phishing-Panel: Statt reiner AitM-Automatisierung steuern Täter die Opfer via Heartbeat-Polling in Echtzeit durch dynamisch angepasste MFA-Abfragen (TOTP, SMS, Push-Number-Matching).
- BIP-39-Ablenkungs-Trick: Eine gefälschte Einblendung von Seed-Phrase-Wörtern (Recovery Keys) beschäftigt das Opfer, während der Angreifer im Hintergrund seinen eigenen Passkey im echten Nutzerkonto registriert.
- Persistente Hintertür ohne MFA-Bedarf: Nach erfolgreicher Registrierung besitzt der Angreifer einen kryptografisch gültigen Passkey und benötigt weder Passwort noch das MFA-Gerät des Nutzers für künftige Logins.
- Fokus auf Großunternehmen: Betroffen sind branchenübergreifend Konzerne aus den Bereichen Lebensmittel, Tech, Health, Automotive, Bau und Luftfahrt mit dem Ziel der Erpressung und Exfiltration.
Strategische Analyse
Die Kampagne von O-UNC-066 offenbart die Schwachstelle moderner FIDO2- und Passkey-Infrastrukturen: Während das Authentifizierungsverfahren selbst als phishing-resistent gilt, bleibt der initiale Registrierungsprozess (Enrollment) anfällig für Social Engineering. Wenn Unternehmen FIDO2-Passkeys flächendeckend ausrollen, ohne die Erstellung neuer Faktoren an vertrauenswürdige Bedingungen zu knüpfen, verlagert sich das Angriffsrisiko lediglich vom Anmeldevorgang auf die Registrierung. CISOs müssen verinnerlichen, dass die Absicherung des Lifecycle-Managements von Identitäten (MFA-Reset, Faktoren-Hinzufügung) dieselbe Priorität wie die eigentliche Login-Sicherheit besitzen muss.
Handlungsempfehlung:
Sicherheitsverantwortliche sollten umgehend technische Kontrollen zur Absicherung des Passkey-Enrollments etablieren:
- Restriktive Registrierungs-Richtlinien (Conditional Access): Erlauben Sie die Registrierung neuer Passkeys und MFA-Methoden ausschließlich von verwalteten Endgeräten (Compliant Devices) oder aus vertrauenswürdigen Netzwerken (z. B. Firmen-IP/VPN).
- Verwendung von Temporary Access Passes (TAP): Erzwingen Sie für das Hinzufügen neuer Authentifikatoren die Ausgabe befristeter, zeitlich stark begrenzter Zugangscodes über verifizierte IT-Helpdesk-Tickets.
- Echtzeit-Monitoring auf ungewöhnliches Enrollment: Implementieren Sie Alerts für Passkey-Registrierungen, die von unbekannten IP-Adressen, unerwarteten Standorten oder direkt nach Vishing-Verdachtsfällen durchgeführt werden.
- Härtung des IT-Supports: Richten Sie verbindliche Rückruf-Routinen für den Helpdesk ein, um Identitäten am Telefon zweifelsfrei zu verifizieren, und untersagen Sie unaufgeforderte Support-Anrufe zur Login-Unterstützung.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200