LastPass-Hack erschüttert Millionen von Nutzern: Sind Passwort-Manager sicher?
Passwort-Manager gehören zu den stärksten Werkzeugen für digitale Sicherheit, da sie Nutzer von der Unordnung befreien, Passwörter auf unsicheren Zetteln oder Dateien zu speichern.
Aber; was passiert, wenn diese Werkzeuge selbst gehackt werden? Und kann man das Vertrauen in sie zurückgewinnen?
Diese Frage steht heute im Mittelpunkt des Interesses von Millionen von LastPass-Nutzern, nach einem der schwerwiegendsten Hacks in der Geschichte des Unternehmens, der persönliche Daten von Einzelpersonen und Unternehmen betroffen hat und eine breite Debatte über die Sicherheit dieser Dienste ausgelöst hat.
* Ein Hack, der Millionen bedroht
LastPass wurde einem großen Sicherheitsvorfall ausgesetzt, der etwa 20 Millionen Einzelbenutzer und 100 Tausend Unternehmen umfasste.
Zu den geleakten Daten gehörten Benutzernamen, E-Mail-Adressen, Telefonnummern und Links zu in dem Dienst gespeicherten Websites, laut einem Bericht von Slashgear.
Obwohl die Passwörter selbst dank des als „ZeroKnowledge“ bekannten Verschlüsselungsmodells nicht entschlüsselt wurden, wurde der Vorfall als ernsthafte Warnung für alle angesehen, die auf LastPass angewiesen sind oder darüber nachdenken, es zu verwenden, und veranlasste einige Nutzer, ihre Daten auf alternative Dienste zu übertragen.
* Begrenzte Strafe inmitten weitreichender Kritik
In einem symbolischen Schritt verhängte das Informationskommissariat im Vereinigten Königreich eine Geldstrafe von 1,2 Millionen Pfund (etwa 1,6 Millionen Dollar) gegen LastPass.
Die Strafe wurde als bescheiden im Vergleich zum Ausmaß des Schadens beschrieben, da sie weniger als einen Dollar pro mehr als Million betroffenen Nutzern allein in Großbritannien entspricht.
* Zwei Vorfälle und nicht nur einer
Das Besorgniserregendste ist, dass der Hack kein Einzelfall war, sondern eine Reihe von Sicherheitsversagen:
• Der erste Vorfall: Ein Angreifer konnte auf den Arbeitscomputer eines Mitarbeiters von LastPass zugreifen und in die interne Entwicklungsumgebung eindringen, ohne dabei Benutzerdaten zu leaken.
• Der zweite Vorfall: Der Hacker zielte auf einen hochrangigen Mitarbeiter über eine bekannte Schwachstelle in einem externen Streaming-Dienst ab, verwendete Malware, um das Passwort zu stehlen, und umging die Zwei-Faktor-Authentifizierung, bevor er auf die Backup-Datenbank zugreifen konnte.
* Systematisches Versagen und kein einfacher Fehler
Experten für Informationssicherheit bestätigten, dass das, was passiert ist, nicht das Ergebnis eines einzelnen Fehlers war, sondern eine Ansammlung von Sicherheitslücken, die den Zugriff auf sensible Daten ermöglichten.
Die Behebung dieses systematischen Fehlers erfordert einen umfassenden Wiederaufbau der Sicherheitsarchitektur und nicht nur schnelle Updates.
Besonders besorgniserregend ist, dass der Vorfall aus dem Jahr 2022 stammt, während die Strafen tatsächlich im Dezember 2025 verhängt wurden, was Fragen über das Ausmaß der tatsächlich umgesetzten Sicherheitsverbesserungen in diesen Jahren aufwirft.
* Ist LastPass noch eine sichere Wahl?
Obwohl die Passwörter nicht entschlüsselt wurden, hat der Vorfall die grundlegende Frage erneut aufgeworfen:
Reicht die Verschlüsselung aus, um Vertrauen aufzubauen?
Für viele ist die Antwort komplizierter geworden, und sie könnten Nutzer dazu bringen, zweimal nachzudenken, bevor sie die Schlüssel zu ihrem digitalen Leben einem Dienst anvertrauen, egal wie bekannt er ist.
