LastPass

LastPass ist eine Browsererweiterung und App zur Verwaltung von Passwörtern.[9][10] Es speichert Benutzernamen und Passwörter und verwendet diese Daten dann, um Anmeldeformulare auf der Grundlage der Einstellungen des Benutzers automatisch auszufüllen.[11] Die Anmeldedaten des Benutzers werden in einer zentralen, verschlüsselten Datenbank gespeichert und dann auf jedem Gerät verfügbar gemacht, auf dem LastPass installiert ist.[12] Um auf alle in LastPass gespeicherten Passwörter zuzugreifen, wird ein Master-Passwort verwendet.[13]

Benutzer können Passworthinweise einrichten[14]; 2014 wurde ein Zufallspasswort-Generator hinzugefügt.[15] LastPass basiert auf einem Freemium-Geschäftsmodell mit kostenpflichtigen Lizenzen für Unternehmen oder Benutzer mit erweiterten Ansprüchen[16], um Zugangsdaten im Team freizugeben, Benutzerberechtigungen anzupassen,[13] die verschlüsselte Dateispeicherung zu nutzen oder andere Sicherheitsfunktionen hinzuzufügen.[17][18]

Als Passwortmanager wurde LastPass mehrmals Ziel von Angriffen, so im Mai 2011, Juni 2015 und Juli 2016. Im Juni 2015 konnten die Angreifer E-Mail-Adressen, Passworterinnerungen und Authentifizierungshashes, die für das Einloggen in LastPass benötigt werden, entwenden, diese entsprechen jedoch nicht den Passwörtern und können nur mit sehr hohem Aufwand zurückgerechnet werden. LastPass empfahl die Änderung des Masterpassworts.[5]

Im Juli 2016 entdeckte die Sicherheitsfirma Detectify eine Lücke im LastPass-Browser-Add-on. Diese wurde bereits vor der öffentlichen Bekanntmachung geschlossen.[19]

Im März 2017 fand Tavis Ormandy von Googles Project Zero mehrere Lücken in der Version 4.1.43.[20] Diese wurde vom Hersteller mit der Version 4.1.44 auch umgehend geschlossen.[21]

Im April 2017 wurde bekannt, dass LastPass in der Implementierung der Zwei-Faktor-Authentifizierung (2FA) elementare Fehler begangen hatte. Damit war es möglich, den zweiten Faktor abzufangen, wenn auch nicht das Masterpasswort. Die Schwachstelle wurde nach eigenen Angaben geschlossen.[22]

Laut Angaben des Online-Nachrichtenportals Golem.de vom Februar 2019 speichert LastPass die Passwörter im Arbeitsspeicher: „Die Passwortdatenbank wird ebenfalls komplett im RAM vorgehalten – und verbleibt dort, auch wenn Lastpass gesperrt wurde.“[23]

Ende 2021 meldete das Online-Magazin BleepingComputer in einem Artikel, dass LastPass-Nutzer gewarnt wurden, dass ihr Masterpasswort kompromittiert wurde.[24]

LastPass veröffentlichte im August 2022 einen Blogartikel, in dem die Firma angab, „ungewöhnliche Netzwerkaktivitäten“ festgestellt zu haben. Hier wurde auf interne Entwicklungsumgebungen zugegriffen und Teile des Quellcodes sowie andere interne Technologien kopiert. Laut eigenen Angaben sind keine Kundendaten betroffen gewesen.[25]

Ende November 2022 veröffentlichte die Firma einen Blogartikel zu einem weiteren Sicherheitsvorfall. Es wurden „ungewöhnliche Aktivitäten“ bei einem Drittanbieter für Storage-Server festgestellt. Laut LastPass wurden für den unberechtigten Zugriff Erkenntnisse aus den Daten des Sicherheitsvorfalls von wenigen Monaten zuvor verwendet. Es seien diverse Kundendaten betroffen, nicht jedoch die verschlüsselten Passwörter.[26] In einer späteren Stellungnahme im Dezember 2022 gab LastPass zu, dass sowohl unverschlüsselte (etwa URLs) wie auch verschlüsselte Daten der Kunden wie E-Mail-Adressen und Passwörter abgegriffen worden seien (Passwort-Safes).[27] Die Sicherheit der verschlüsselten Daten hinge dabei nur von der Stärke des Masterpasswortes ab, das die Kunden vergeben hatten.[28]

In der Android-Version von LastPass werden mehrere Programmbibliotheken verwendet, die zur Fehlerdiagnose, aber auch zum Tracking von Nutzerverhalten verwendet werden können. Teilweise werden dabei personenbezogene Daten an Dritte übermittelt. Neben diesen Datenschutzproblemen wird kritisiert, dass die verwendeten Programmbibliotheken grundsätzlich ein Einfallstor für Angreifer darstellen können.[29]

• Xmarks