close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n IT-Sicherheitsforscher der ETH Z\u00fcrich haben drei popul\u00e4re Passwort-Manager genauer untersucht. Sie stie\u00dfen dabei auf einige Sicherheitsl\u00fccken. Deren Missbrauch setzt jedoch die volle Kompromittierung der Server voraus, das Risiko ist daher nach Einsch\u00e4tzung eines Herstellers lediglich mittel bis niedrig. Viele L\u00fccken sind offenbar bereits seit Langem gestopft.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n In ihrem Forschungspapier, das die Schweizer IT-Forscher<\/a> auf der Konferenz \u201eUsenix Security 2026\u201c vorstellen wollen, er\u00f6rtern sie detaillierter, wie sie Bitwarden mit zw\u00f6lf Angriffen (zun\u00e4chst zehn, sp\u00e4ter auf zw\u00f6lf aufgesplittet), LastPass mit sieben und Dashlane mit sechs Attacken konfrontiert haben. Die Auswahl erfolgte anhand der Nutzerzahlen. Zusammen haben diese Passwort-Manager mehr als 60 Millionen Nutzer und Nutzerinnen und einen Marktanteil von 23 Prozent. \u201eDie Schwere der Angriffe reicht von Verletzungen der Integrit\u00e4t gezielter Benutzer-Tresore bis hin zur vollst\u00e4ndigen Kompromittierung aller mit einer Organisation verbundenen Tresore. Bei den meisten Angriffen k\u00f6nnen Passw\u00f6rter wiederhergestellt werden\u201c, erkl\u00e4ren die IT-Forscher. Das breche das Zero-Knowledge-Prinzip, die Ende-zu-Ende-Verschl\u00fcsselung (E2EE), wodurch doch unbefugter Zugang zu Passw\u00f6rtern m\u00f6glich werde.<\/p>\n Die Angriffe ben\u00f6tigen nebst vollst\u00e4ndig kompromittierter Server-Infrastruktur, bei der Angreifer die Antworten im Netz kontrollieren, in der Regel auch die Interaktion von Nutzern. Im Januar vergangenen Jahres haben die IT-Sicherheitsanalysten die Hersteller mit den Ergebnissen konfrontiert und einen 90-Tage-Zeitraum f\u00fcr ein Responsible Disclosure einger\u00e4umt. Die Anbieter haben jedoch mehr Zeit ben\u00f6tigt, um die Schwachstellen auszubessern, und einige erachten sie zudem nicht als zu korrigierendes Problem.<\/p>\n Sicherheitsl\u00fccken bereits gestopft<\/p>\n Die betroffenen Hersteller haben ihrerseits mit Ver\u00f6ffentlichungen zu den Schwachstellen reagiert. Bitwarden erkl\u00e4rt<\/a> in einem Blogbeitrag, dass \u201ealle Probleme, die in dem Bericht identifiziert wurden, vom Bitwarden-Team gel\u00f6st wurden\u201c. Die Entwickler haben zudem einen vollst\u00e4ndigen 35-seitigen Bericht<\/a> mit Zusammenfassung, eigener Analyse und den L\u00f6sungen zu den gemeldeten Problemen zusammengestellt; neun Seiten behandeln die eigene Analyse. \u201eSieben Probleme wurden oder werden derzeit aktiv behoben, w\u00e4hrend drei als bewusste Designentscheidungen akzeptiert wurden, die f\u00fcr die Produktfunktionalit\u00e4t erforderlich sind\u201c, erkl\u00e4ren die Entwickler dort zu den urspr\u00fcnglich als zehn Probleme gemeldeten L\u00fccken, die sp\u00e4ter nochmals aufgesplittet wurden.<\/p>\n Dashlane schreibt in einem Blog-Beitrag<\/a>, dass die Entwickler die Forschungsergebnisse ebenfalls \u00fcberpr\u00fcft und \u201eFehlerkorrekturen verteilt haben, wo das angemessen war\u201c. Der Bugfix wurde am 5. November 2025 ab Version 6.2544.1 der Dashlane-Erweiterung verteilt. Sie erg\u00e4nzen: \u201eEs ist wichtig zu beachten, dass die Ausnutzung dieses Problems eine vollst\u00e4ndige Kompromittierung der Server eines Passwort-Managers erfordern w\u00fcrde, gepaart mit \u00e4u\u00dferst f\u00e4higen Angreifern, die in der Lage sind, kryptografische Angriffe auszuf\u00fchren, sowie einem extrem langen Zeitraum.\u201c<\/p>\n Auch LastPass reagiert mit einem Blog-Beitrag<\/a>. Demnach haben die Entwickler bereits ein Problem mit dem Icon- und URL-Handling behoben und arbeiten aktuell an Verbesserungen der Passwort-St\u00e4rke. Weitere \u00c4nderungen sind f\u00fcr die Konto-Wiederherstellung und Passwort-Sharing geplant. Auch die Integrit\u00e4t der Passwort-Vaults und der Schutz von Metadaten steht demnach auf der To-Do-Liste.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Alle Hersteller betonen, dass es sich um ein hypothetisches Szenario handelt und keine derartigen Exploits in freier Wildbahn beobachtet wurden. Es gebe auch keinen unmittelbaren konkreten Handlungsbedarf. Sie danken einhellig den IT-Forschern f\u00fcr ihre Arbeit und die \u00fcbermittelten Ergebnisse.<\/p>\n Das BSI hat im vergangenen Dezember ebenfalls Passwort-Manager unter die Lupe genommen. Zwar fand die IT-Sicherheitsbeh\u00f6rde Verbesserungspotenzial<\/a>, jedoch gibt es demnach keinen Grund, auf ihren Einsatz zu verzichten.<\/p>\n
\n English<\/a>.<\/p>\n