LastPass betroffen von neuem Datenleck - 4 Schritte, die Sie jetzt unternehmen sollten

Ein Sicherheitsverstoß bei einem Drittanbieter hat dazu geführt, dass Namen, Telefonnummern und weitere Daten von LastPass-Kunden preisgegeben wurden. So schützen Sie sich.

Wichtigste Erkenntnisse

• Ein Datenleck bei einem Drittanbieter hat die LastPass-Kunden betroffen.
• Der Datenschutzverstoß machte Namen, Telefonnummern und andere Daten öffentlich.
• Keine Master-Passwörter oder Passworttresore wurden kompromittiert.

Verwenden Sie LastPass als Passwort-Manager? Falls ja, habe ich schlechte Nachrichten für Sie. Ja, es gab erneut einen Datenleck - allerdings ereignete er sich bei einem der externen Dienstleister des Unternehmens.

In einem Blogbeitrag am Dienstag gab LastPass bekannt, dass ein Sicherheitsvorfall bei einem Drittanbieter namens Klue dazu führte, dass bestimmte Kontakt- sowie CRM-Daten (Kundenbeziehungsmanagement) kompromittiert wurden. Zu den gestohlenen Informationen gehören Kundennamen, Telefonnummern, E-Mail-Adressen und physikalische Adressen sowie Details zu Support-Anfragen und Verkäufen. Das Einzige, was bisher als positiv gewertet werden kann, ist, dass bei dem Vorfall keine Master-Passwörter oder Passworttresore kompromittiert wurden.

Wie im Blogbeitrag erläutert wird, ist Klue eine externe Marktforschungsplattform, die von LastPass genutzt wird, um es mit den Systemen Salesforce und Gong zu integrieren. Dadurch kann LastPass mit Kundendaten arbeiten und Marktforschung betreiben. Die Hacker gelang es, die OAuth-Sicherheitstoken zu erhalten, die Klue zur Verbindung mit den Kundendaten in diesen Systemen verwendet. Anschließend nutzten sie diese Tokens, um die bei Salesforce gespeicherten LastPass-Benutzerdaten zu stehlen.

Wie reagiert LastPass?

Als Reaktion auf den Sicherheitsverstoß erklärte LastPass, dass es allen Mitarbeitern den Zugriff auf Klue entzogen habe, die kompromittierten Tokens zurückgesetzt habe, eine Untersuchung in Zusammenarbeit mit Klue und Salesforce eingeleitet sowie mit den Strafverfolgungsbehörden zusammengearbeitet habe.

Das Unternehmen gab außerdem bekannt, dass es Informationen mit der breiteren Cybersicherheits-Community teilt, um diese neueste Angriffskampagne zu vereiteln. Natürlich versprach LastPass, zukünftig bessere Schutzmaßnahmen einzuführen, um solche Sicherheitsverstöße zu verhindern.

In einem eigenen Blogbeitrag erklärte Klue, dass es den Sicherheitsverstoß am 12. Juni entdeckt habe. Seitdem arbeitet das Unternehmen außerdem mit Cybersicherheitsexperten zusammen, um herauszufinden, was passiert ist, und alle kompromittierten Verbindungen wiederherzustellen.

LastPass war bei weitem nicht das einzige Unternehmen, das von diesem Sicherheitsvorfall betroffen war. Zu den weiteren Betroffenen zählen laut TechCrunch Gong, Jamf, HackerOne, Insurity, OneTrust, Recorded Future, Snyk, Sprout Social und Tanium. Die Ransomware-Gruppe Icarus hat die Verantwortung für den Vorfall übernommen und drohte damit, die kompromittierten Daten zu veröffentlichen, falls Klue das Lösegeld nicht zahlt.

Was sollten LastPass-Nutzer tun?

Zunächst hätten Sie eine E-Mail von LastPass erhalten sollen, in der Sie über den Sicherheitsverstoß informiert und zu weiteren Schritten aufgefordert werden.

Zweitens sollten Sie auf mögliche Phishing-Angriffe oder Betrügereien mittels Social Engineering achten, bei denen gestohlene Kontaktdaten ausgenutzt werden sollen. Wie immer bedeutet das, dass Sie alle E-Mails, Texte oder Anrufe genau prüfen sollten, in denen die Person sensible Informationen anfordert.

Drittens: Auch wenn keine Passwörter oder Passwortspeicher kompromittiert wurden, sollten Sie Ihr Master-Passwort eventuell trotzdem ändern. Es sollte stark sein - aber dennoch leicht zu merken. Ein Passphrase ist immer eine gute Wahl, da er komplex sein kann, aber dennoch leicht zu behalten ist.

Viertens: Denken Sie darüber nach, einen anderen Passwort-Manager zu verwenden. Es ist nicht das erste Mal, dass LastPass-Nutzer von einem Datenleck oder anderen erheblichen Problemen betroffen sind.

Keine besonders gute Erfolgsbilanz

Im Jahr 2022 gelang es einem Hacker, durch Ausnutzung eines kompromittierten Kontos einige Quellcodes sowie vertrauliche technische Daten von LastPass zu erlangen. Doch damit war es nicht vorbei. Später in demselben Jahr gab das Unternehmen bekannt, dass die bei dem ersten Angriff gestohlenen Informationen zu einem zweiten Angriff führten, bei dem Kundennamen, Rechnungsadressen, E-Mail-Adressen, Telefonnummern und IP-Adressen abgegriffen wurden.

Im Jahr 2020 verhinderte ein schwerer Ausfall, dass LastPass-Nutzer sich bei ihren Konten anmelden konnten. Einige Nutzer berichteten, dass sie mehrere Tage lang betroffen waren. Im Jahr 2019 entdeckten Sicherheitsforscher ein Sicherheitsproblem bei LastPass, durch das Anmeldeinformationen, die auf einer zuvor besuchten Website eingegeben wurden, preisgegeben wurden.

Das ist keine besonders gute Bilanz. Ja, dieser jüngste Sicherheitsverstoß war nicht direkt die Schuld von LastPass. Das Unternehmen hat versprochen, nach diesen Vorfällen seine Arbeitsweise zu verbessern. Doch es gibt andere Passwort-Manager mit besseren Ergebnissen. Zu den Beispielen zählen 1Password, NordPass und Bitwarden.

Ist es aber nicht umständlich, von einem Passwort-Manager zu einem anderen zu wechseln? Es ist nicht so schlimm, wie man vielleicht denkt. Ich bin vor mehr als einem Jahr von einem zum anderen gewechselt - der Prozess verlief viel reibungsloser, als ich erwartet hatte.