Passwortmanager mit Browsererweiterung: Gefahr droht - Updates teilweise verfügbar!

[the other]

Moinsen,
bei der Vielzahl an Diensten, die heute in der IT genutzt werden (Konto bei dem, Zugangsdaten, hier, Anmeldedaten dort) wird es schwierig, die Übersicht zu behalten. Da es weiterhin die klare Empfehlung gibt, für jeden Dienst eine eigene NAME / PASSWORT Kombination vorzuhalten, wird es ohne Hilfe schnell unübersichtlich. Deswegen nutzen viele mittlerweile sogenannte Passwortmanager, die die unterschiedlichen Anmeldedaten speichern und verfügbar machen.
Leider sind einige dieser Programm immer wieder in der Vergangenheit durch Sicherheitslücken negativ aufgefallen.

Aktuell gibt es wieder eine neue Warnung: ein Team an IT-Sicherheitsmenschen hat sich einige Passwortmanager und deren Browsererweiterungen genauer angeschaut und ist auf einige gefährliche Lücken gestoßen: https://www.heise.de/news/Passwort-...-koennen-Datenklau-ermoeglichen-10569024.html

Der Artikel bietet eine Übersicht über die getesteten Passwortmanager, ob eine Lücke vorhanden ist und ob (und wo / wie) ein Patch zur Verfügung steht. Es bietet sich daher an, hier selber mal zu schauen und aktiv zu werden!! Passworte können sonst ausgelesen werden!

Nicht getestet wurde (leider) das (von mir genutzte) keepass (bzw. keepassxc oder auch keepass2android). In den vergangenen Jahren wurde keepass durchaus als deutschlandfreundlich (plaudert wenig!) und im Verhältnis recht sicher beurteilt (siehe zB hier: https://www.heise.de/news/Passwort-...he-Schwachstellen-in-Vaultwarden-9982427.html).

Also: schlau machen ob euer Passwortmanager betroffen ist, Update suchen und einspielen, ggf. das Programm wechseln...

 

[Loxley]

Danke für die Warnung. Ich nutze auch keepass, aber der füllt die Login Daten ja nicht selbstständig aus. Ich muss aktiv hingehen und Benutzer / Passwort über die Zwischenablage kopieren. Ich lasse den auch immer geschlossen und öffne ihn nur gezielt für eine Anmeldung. Von daher ist er für den beschriebenen Hack nicht anfällig.

 

[the other]

Moinsen,
ja, du kannst sowohl Browser-Integration als auch Auto-Type (mit Tastenkürzel konfigurierbar) entweder aktivieren oder eben nicht.
Ich selber habe hier aktuell durchaus beides, weil Copy&Paste für mich auf Dauer doch auch nervig ist und auch Copy&Paste ja die Daten durchaus im Zwischenspeicher hat (je nach Konfig). Daher kann ein Arbeiten mit Auto-Type durchaus etwas sicherer sein, als c&p (in bestimmten Settings)!
Leider wurde (warum auch immer, ist j anicht unbekannt) keepass (und derviate) nicht im Test geprüft, bisher waren die Ergebnisse der letzten mir bekannten Tests aber für keepass immer mit die besten bzgl Datenschutz und Sicherheit, wie bereits gesagt. Daher nutze ich das auch weiterhin (bis ich etwas anderes höre) mit sowohl Browser-Integration als auch (b Bed.) auto-type /auto-fill in...

 

[Loxley]

Das Copy&Paste wird ja bei meinem keepass nach wenigen Sekunden aus dem Zwischenspeicher gelöscht, von daher finde ich das sicherer als eine "Ausfüllautomatik". Die meist benutzten Passwörter kann ich mir auch merken, das sind nicht so viele (<10).
Von daher hält sich der Aufwand für öffnen, Master Passwort eingeben und copy/paste in Grenzen.

 

[the other]

Moinsen,
jau, wie so oft im Leben allgemein: kommt auf die Umstände an.
Im LAN zb (also für NAS, Server, Geräte eben) ist die auto-type bzw browser Erweiterung super (da ist ja zunächst mal nix in der Weise kompromittiert wie im Artikel besprochen und SO paranoid bin ich dann auch nicht....jaja, zero-trust und so, HEIMNETZ! ).
Im Internet ist das bei den bekannten großen Seiten imho auch vertretbar. Und jetzt jeden Popel-Eintrag in keepass mit auto-type und /oder Browser Integration zu versehen...nö, das ist zu viel Aufwand, da ist c&p dann schneller.
Und WIE muss am Ende auch jedeR selbst wissen im persönlichen workflow.
Gut ist es, wie du schreibst, immer auch, die Zwischenspeicherzeit stark zu reduzieren und auch ein automatisches Schließen der DB nach x Minuten ist durchaus empfehlenswert.

 

[the other]

Moinsen,
kurzer Nachtrag zum Eingangspost:
für keepass gibt es (wie mir gerade wieder bewusst wurde) keine OFFIZIELLE browser Erweiterung, daher vermutlich auch keine Berücksichtigung im Test. Es gibt zwar eine Erweiterung, die ist aber eben nicht offiziell freigegeben vom Entwickler (eben wegen Sicherheitsbedenken diesbezüglich).
Einige Forks von keepass dagegen bieten das an (so eben zB das plattformübergreifende keepassXC). Und das zumindest hätte mich für den Test durchaus interessiert...sollte da noch ne Info zu kommen, sag ich Bescheid (falls ich es denn mitschneide)...

 

[Loxley]

Danke @the other. Ja melde Dich wenn es neues gibt, das wird nicht nur mich interessieren.