LastPass wurde gehackt - wiederum
Die gute Nachricht ist, dass offenbar keine Passwörter vom Passwortspeicherung-Dienst preisgegeben wurden. Die schlechte Nachricht ist, dass der Quellcode des Dienstes kompromittiert wurde.
LastPass, der beliebte Passwort-Manager, hat kürzlich bekanntgegeben, dass es gehackt wurde. Konkret schrieb LastPass-CEO Karim Toubba: „Unbefugte Personen gelangten über ein kompromittiertes Entwicklerkonto in Teile der Entwicklungsumgebung von LastPass und stahlen Teile des Quellcodes sowie einige geschützte technische Informationen von LastPass.“
Dies ist nicht das erste Mal, dass LastPass mit Sicherheitsproblemen zu kämpfen hat. Im Jahr 2021 schien es so, als wären die Master-Passwörter einiger Nutzer von LastPass möglicherweise preisgegeben worden. LastPass erklärte, dass es zu keinem Datenleck gekommen sei - doch die Nutzer, die E-Mails erhalten hatten, in denen sie gewarnt wurden, dass eine unbekannte Person versuchte, sich in ihre Konten einzuloggen, waren davon nicht überzeugt. Dennoch beharrte LastPass darauf, dass es sich lediglich um das Ergebnis eines Credential-Stuffing-Angriffs handelte.
Im Jahr 2020 hatte LastPass einen schweren Ausfall; Nutzer berichteten, dass sie sich nicht in ihre Konten einloggen oder Passwörter automatisch eingeben konnten. Ebenfalls im Jahr 2019 entdeckten Sicherheitsforscher ein erhebliches Sicherheitsproblem bei LastPass.
Keines dieser Probleme ist für sich genommen so schlimm. Ja, es ist schrecklich, dass das Konto eines Entwicklers gehackt wurde - aber das kommt vor.
Dennoch ist es besorgniserregend, dass das größte Unternehmen für Passwort-Sicherheit - mit angeblich 20 Millionen Kunden - jedes Jahr erhebliche Sicherheitsprobleme hat.
Zwar, wie Toubba betonte: „Wir haben keinerlei Hinweise darauf gefunden, dass dieser Vorfall mit einem Zugriff auf Kundendaten oder verschlüsselte Passworttresore zusammenhing.“ Doch nachdem proprietärer Quellcode sowie technische Geheimnisse enthüllt wurden, besteht durchaus die Möglichkeit eines Angriffs, der die Passwörter der Nutzer preisgeben könnte.
Dies ist ein weiteres Beispiel dafür, warum proprietärer Code weniger sicher ist als Open-Source-Code. Bei Open-Source-Passwortprogrammen wie Bitwarden wird der gesamte Code von unabhängigen Experten überprüft. Dadurch können potenzielle Sicherheitslücken erkannt werden, bevor sie zu echten Sicherheitsproblemen werden.
In diesem Fall hat LastPass jedoch „ein führendes Unternehmen für Cybersicherheit und Forensik“ beauftragt, um zu untersuchen, was geschehen ist. Zudem führt LastPass verstärkte Sicherheitsmaßnahmen ein. Bisher gab es „keine weiteren Anzeichen für unbefugte Aktivitäten“.
Meiner Meinung nach ist das zu wenig und kommt zu spät. Aber es ist immerhin etwas.
LastPass ist mit seinem Zero-Knowledge-Modell nach wie vor ein guter Anbieter für Passwortsicherheit. Doch wenn Sie nach einem anderen Passwort-Manager suchen möchten, wird Ihnen das niemand verübeln.