Digital
Wir verwenden Cookies und Analysetools, um die Nutzerfreundlichkeit der Internetseite zu verbessern und passende Werbung von watson und unseren Werbepartnern anzuzeigen. Weitere Infos findest Du in unserer Datenschutzerklärung.
LastPass Passwort-Manager

Lastpass-Nutzer sollten gewisse Vorsichtsmassnahmen beachten.
Bild: watson

Der populäre Passwortmanager Lastpass hat eine gefährliche Schwachstelle – so verhindert man den GAU

Nicht auszudenken, welchen Schaden Kriminelle mit dem Master-Passwort anrichten können. Doch genau dieses Worst-Case-Szenario droht laut einem Sicherheitsforscher. Ein Ratgeber.



In Kürze: Das müssen Lastpass-Nutzer tun, um sich vor gefährlichen Phishing-Attacken zu schützen:

Die Story:

Passwortmanager sind genial – und brandgefährlich. Vor allem, wenn man sich der Risiken nicht bewusst ist.

Das beste Beispiel ist Lastpass.

Am Montag hat das Online-Magazin Motherboard, das zum Medienkonzern «Vice» gehört, auf eine gefährliche Schwachstelle des populären Passwort-Managers hingewiesen. Der Sicherheitsforscher Sean Cassidy hat offenbar einen relativ einfachen Weg gefunden, um an die sensiblen Daten der Lastpass-Nutzer zu gelangen.

Ein Angreifer kann die Opfer auf eine präparierte Website locken und ihnen über eine gefälschte Browser-Meldung vorgaukeln, dass sie nicht mehr bei Lastpass angemeldet seien. In der Folge tippten die Ahnungslosen ihr Master-Passwort ein, um sich erneut anzumelden ...

Lostpass greift an

Wer sich von einem solchen Phishing-Angriff täuschen lässt, übermittelt die Daten natürlich nicht an die Lastpass-Server, sondern an den (kriminellen) Angreifer. Und dieser könnte dank Master-Passwort alle Daten ergaunern und anschliessend auf Raubzug gehen.

Seine Methode, die er Lostpass getauft hat, veröffentlicht Cassidy dieser Tage an einer Sicherheitskonferenz. Nicht ohne schon Monate vorher das Unternehmen diskret vorgewarnt zu haben. Lastpass bestätigte laut Bericht von Motherboard die Sicherheitslücke und veröffentlichte ein Update, das die Kunden bei Angriffsversuchen warnen soll.

Cassidy hält dies aber nicht für ausreichend, weil die präparierte Webseite die Alarmmeldung entdecken und im Browser unterdrücken könnte.

Zwei-Faktor-Authentifizierung biete keinen ausreichenden Schutz

Lastpass legt den sogenannten «Tresor» der Kunden, der hauptsächlich aus Benutzernamen und Passwörtern besteht, verschlüsselt auf eigenen Servern ab. Von dort können die Daten bei Bedarf jederzeit abgerufen werden. Vorausgesetzt, es besteht eine Internetverbindung.

Die Kunden können die kostenlose Lastpass-App oder die Browser-Erweiterung (für Chrome, Firefox und Co.) nutzen, um sich mit dem Smartphone, Tablet oder PC bequem und sicher bei Web-Diensten anzumelden.

Zusätzlichen Schutz verspricht die sogenannte Zwei-Faktor-Authentifizierung, die von Lastpass im letzten Jahr eingeführt wurde. Sie soll gewährleisten, dass die Daten nach einem Diebstahl nicht missbraucht werden können. Doch nun scheint selbst dies infrage gestellt ...

Dank Zwei-Faktor-Authentifizierung (ZFA) konnten sich Lastpass-Nutzer bislang sicher fühlen. Um sich unter fremdem Namen bei einem Online-Dienst anmelden zu können, benötigen die Angreifer zusätzlich auch noch das Mobilgerät des Opfers, um den Authentifizierungs-Code (PIN) zu erhalten. Wie der Sicherheitsforscher Sean Cassidy auf seiner Website schreibt, garantiere dies aber keinen Schutz vor Angriffen. Das Problem: Wenn die ZFA aktiviert ist, wird bei fremden Anmelde-Versuchen keine E-Mail-Bestätigung verschick t...

Lastpass hat kürzlich die Sicherheitsmassnahmen verstärkt und unter anderem eine Notfall-Funktion eingeführt. In der Vergangenheit sind mehrere Hackerangriffe auf die Firmen-Server vom Unternehmen selbst bestätigt worden. Einen erfolgreichen Datenklau im grosse Stil, bei dem mehrere Kunden betroffen waren, gab es bislang nicht.

via Macwelt

Hacker-News auf watson

«Ihr habt nicht begriffen, wie das Internet funktioniert!» – ein Student zeigt, wie leicht wir im Netz überwacht werden

Link zum Artikel

«Ich bin schon in mehrere Atomkraftwerke eingebrochen»

Link zum Artikel

Das sind die 10 gefährlichsten Programme, die du auf deinem Windows-PC oder Mac haben kannst

Link zum Artikel

«Wenn ich eine andere Identität vortäusche, kann ich in das Leben einer Person eindringen»

Link zum Artikel

Was passiert, wenn Autos gehackt werden? Hacker zielen auf neuartige Sicherheitslücken

Link zum Artikel
Alle Artikel anzeigen

Sieben eindrückliche Hacker-Attacken

Du hast watson gern?
Sag das doch deinen Freunden!
Mit Whatsapp empfehlen
DANKE FÜR DIE ♥
Würdest du gerne watson und Journalismus unterstützen? Mehr erfahren
(Du wirst umgeleitet um die Zahlung abzuschliessen)
5 CHF
15 CHF
25 CHF
Anderer
Oder unterstütze uns per Banküberweisung.

Das könnte dich auch noch interessieren:

Abonniere unseren Newsletter

Tschüss WhatsApp? Threema, die Schweizer Alternative, erhält sehr gute Noten

Unabhängige IT-Experten haben die iPhone- und Android-App unter die Lupe genommen. Zudem will die Firma den Quellcode in Kürze offenlegen.

Die Schweizer Smartphone-App Threema, die es für iPhones und Android-Handys gibt und die über den Browser auf dem PC genutzt werden kann, ist von unabhängigen IT-Experten einer professionellen Sicherheitsüberprüfung unterzogen worden. Über den sogenannten «Sicherheitsaudit» informiert die Threema GmbH im Firmenblog (siehe Quellen).

watson hat den 19-seitigen Bericht gelesen und fasst die wichtigsten Erkenntnisse zusammen. Die Entwickler versprechen zudem, «volle Transparenz» zu schaffen. Darum …

Artikel lesen
Link zum Artikel