mSecure fordert Nutzer zum Zurücksetzen der Passkeys auf, während Angriffe auf synchronisierte Schlüssel bekannt werden

mSeven Software hat am 3. November mSecure-Kunden per E-Mail aufgefordert, Passwörter zu ändern, die Zwei-Faktor-Authentifizierung zurückzusetzen und Passkeys zu entfernen. Der Grund: verdächtige Aktivitäten. Die Warnung kam nach einer am 31. Oktober veröffentlichten Anleitung, die beschreibt, wie die Einrichtung auf einem PC in etwa einer Minute abgeschlossen ist.

Die Warnung ist eine Anweisung zum Zurücksetzen, keine Diagnose. Wie viele Nutzer betroffen sind oder ob alle Angriffswege geschlossen sind, hat das Unternehmen nicht gesagt.

Die mSecure-E-Mail ging vier Tage nach einem Bericht von eSecurity Planet ein, der drei Techniken zum Hijacking synchronisierter Google-Passkeys beschrieb. Millionen Menschen werden derzeit dazu gedrängt, Passkeys für Konten anzulegen, die sie täglich nutzen. Die Wiederherstellungswege rund um diese Passkeys sind inzwischen die Schwachstelle. Ein kompromittierter Windows-PC oder ein übernommenes Postfach kann den Schutz zunichtemachen. Die E-Mail ging an aktuelle und ehemalige Kunden. Darin heißt es, mSeven Software habe kürzlich von verdächtigen Aktivitäten im Zusammenhang mit der App erfahren. Was passiert ist oder ob gespeicherte Daten offengelegt wurden, steht nicht darin.

mSeven Software erklärte, eine Untersuchung eingeleitet, Maßnahmen zur Begrenzung des Problems ergriffen und externe Cybersecurity-Experten hinzugezogen zu haben.

Danach blieb es öffentlich still. Stand 18:00 UTC am 3. November hatte mSeven Software auf den X- und Facebook-Konten von mSecure nichts zu der E-Mail veröffentlicht. Kein Mitarbeiter hatte im Thread des Support-Forums geantwortet. Die neueste iPhone-Version von mSecure im Apple App Store war 7.1.0, veröffentlicht am 23. Oktober. Die Warnung ging elf Tage später raus. Die E-Mail nennt die Schritte als Möglichkeiten. Ob Kunden mSecure weiter nutzen sollten, sagt sie nicht.

Warum Passkeys plötzlich alle betreffen

note hat die Zwei-Faktor-Authentifizierung per Passkey am 26. Oktober 2026 für alle Nutzer geöffnet, auch für Nutzer des kostenlosen Tarifs.

Zuvor war die Funktion auf Business-Tarife beschränkt. Eine am 31. Oktober veröffentlichte Anleitung beschreibt, wie die Einrichtung auf einem PC in etwa einer Minute abgeschlossen ist. note hat das Passwort nicht abgeschafft. Es bleibt bestehen, der Passkey kommt als zweite Prüfung hinzu. Dieses Design ist für die Wiederherstellung entscheidend. Wer sein Gerät verliert, kann sich mit einem sechsstelligen Code anmelden, der an die hinterlegte E-Mail-Adresse geht. Das ist bequem, und es ist eine zweite Tür.

Synchronisierte Passkeys lassen sich laut Forschern kapern

Palo Alto Networks Unit 42 nannte drei Techniken. Malware auf einem Windows-Rechner könnte damit Passkeys kapern, die über den Google Password Manager synchronisiert werden, berichtete eSecurity Planet am 30. Oktober.

Sie heißen Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key. Die einfache Variante nutzt den TPM-gestützten Geräteidentitätsschlüssel von Chrome, um eine gültige Authentifizierungsassertion anzufordern, ohne Administratorrechte, Biometrie, PIN oder Interaktion des Nutzers. Unit 42 testete das gegen eBay, das das User-Verified-Flag nicht prüfte. eBay hat den Fehler nach der Offenlegung behoben. Die dritte Technik geht tiefer. Golden Pass-ta-key zielt auf das Security Domain Secret, das synchronisierte Passkeys verschlüsselt. Google entfernte das Secret nach der Offenlegung aus den internen FIDO-Protokollen von Chrome. Laut den Forschern erhält Chrome es weiterhin, und es bleibt kurzzeitig im Prozessspeicher lesbar. Unit 42 berichtete nicht über eine Ausnutzung in freier Wildbahn. Die Untersuchung nennt keine betroffenen Chrome-Versionen und bestätigt nicht, dass alle Angriffswege geschlossen sind.

Die Schlüssel sind nicht die ganze Geschichte

mSecure erklärt, Tresordaten würden auf dem Gerät des Kunden verschlüsselt, bevor sie synchronisiert werden. Die Entwickler könnten die Kundendaten nicht lesen.

Das deutsche BSI kam in einer im Dezember 2025 veröffentlichten Studie zu dem Ergebnis, dass mSeven Software theoretisch auf gespeicherte Daten in mSecure 6.1.5 für Android zugreifen könnte. Das Amt testete nur diese Version. Adam Lowe, Chief Technology Officer bei CompoSecure und Gründer von Arculus, sagte gegenüber PaymentsJournal, ein Passkey sei ein phishing-sicheres Credential und allein dennoch nicht ausreichend. "Ich habe gerootete Handys gesehen, ich habe gehackte Clouds gesehen", sagte er. Amazon plane, bis 2030 ohne Passwörter auszukommen.

Was weiterhin offen ist

Die mSecure-E-Mail nennt nicht die beteiligten Systeme, sagt nicht, wann die Aktivitäten stattfanden oder ob sie aufgehört haben, und nennt keine Zahl der Empfänger. Sie sagt nicht, ob die Aktivitäten bis zu den Tresordaten oder den Schlüsseln reichten, die diese schützen. Ob die Synchronisierungsmethode eine Rolle spielt, sagt sie nicht.

Unit 42 wirft eine ähnliche offene Frage auf. Dasselbe Secret schützt bestehende und künftige synchronisierte Passkeys, und Googles Umsetzung bietet Berichten zufolge keine Möglichkeit, es zu rotieren oder zu widerrufen.