Update von LastPass: Auch Passwort-Tresore bei Datenleck kompromittiert

In den vergangenen Wochen haben wir bereits mehrfach über die Sicherheitslücken beim Passwort-Manager LastPass (App Store-Link) berichtet. Nachdem man bereits im August dieses Jahres ein Datenleck entdeckte, musste das Entwicklerteam die Kundschaft Ende November über einen neuen Angriff informieren. Im zweiten Fall wurden auch Nutzerinformationen offengelegt, da Hacker auf einen Cloud-Speicherdienst eines Drittanbieters zugegriffen hatten, der von dem Passwort-Manager genutzt wird. Laut LastPass konnten die Hacker „Zugang zu bestimmten Elementen“ der „Kundeninformationen“ erlangen.

LastPass meldet sich nun mit der neuesten Erklärung zum Schaden, der durch den Sicherheitsverstoß entstanden ist, zurück. Anfang dieses Monats war das Ausmaß des Schadens noch nicht klar, doch nun teilt man mit, dass Kopien der Passwort-Tresore der Kundschaft zusammen mit Namen, E-Mails, Rechnungsadressen, Telefonnummern und mehr erlangt wurden. Der CEO von LastPass, Karim Toubba, informierte gestern über das Update im Blog des Unternehmens.

„Bisher haben wir festgestellt, dass der Angreifer, sobald er den Zugriffsschlüssel für den Cloud-Speicher und die Entschlüsselungsschlüssel für die beiden Speichercontainer erlangt hatte, Informationen aus dem Backup kopiert hat, die grundlegende Kundenkontoinformationen und zugehörige Metadaten enthielten, darunter Firmennamen, Endbenutzernamen, Rechnungsadressen, E-Mail-Adressen, Telefonnummern und die IP-Adressen, von denen aus die Kunden auf den LastPass-Dienst zugriffen.“

Noch beunruhigender ist, dass während des Vorfalls auch die Passwortspeicher der Kunden und Kundinnen kopiert wurden:

„Der Angreifer war auch in der Lage, eine Sicherungskopie der Daten des Kundentresors aus dem verschlüsselten Speichercontainer zu kopieren, der in einem proprietären Binärformat gespeichert ist, das sowohl unverschlüsselte Daten wie Website-URLs als auch vollständig verschlüsselte sensible Felder wie Website-Benutzernamen und -Passwörter, sichere Notizen und in Formulare eingegebene Daten enthält. Diese verschlüsselten Felder sind mit einer 256-Bit-AES-Verschlüsselung gesichert und können nur mit einem eindeutigen Verschlüsselungsschlüssel entschlüsselt werden, der mit Hilfe unserer Zero Knowledge-Architektur aus dem Master-Passwort jedes Benutzers abgeleitet wird. Zur Erinnerung: Das Master-Passwort ist LastPass niemals bekannt und wird von LastPass weder gespeichert noch verwaltet. Die Ver- und Entschlüsselung der Daten wird nur auf dem lokalen LastPass-Client durchgeführt.“

Auch wenn die Tresore der Benutzerpasswörter weiterhin durch die Master-Passwörter geschützt sind, kann der Hacker weiterhin Brute-Force-, Phishing- oder Social-Engineering-Angriffe versuchen. Man sollte also weiter Vorsicht walten lassen, wenn man zur Kundschaft von LastPass gehört(e). LastPass empfiehlt im Blogbeitrag, ein möglichst starkes Master-Passwort für den eigenen Account zu verwenden. Seit 2018 ist es Pflicht, ein Passwort mit mindestens 12 Zeichen zu erstellen und dieses nicht auch an anderen Stellen erneut zu nutzen, zudem kommen weitere Sicherheits-Algorithmen zum Einsatz.

„Wenn Sie die obigen Standardeinstellungen verwenden, würde es Millionen von Jahren dauern, um Ihr Master-Passwort mit einer allgemein erhältlichen Technologie zum Knacken von Passwörtern zu erraten. Ihre sensiblen Daten im Tresor, wie z.B. Benutzernamen und Passwörter, sichere Notizen, Anhänge und Felder zum Ausfüllen von Formularen, bleiben auf der Grundlage der Zero Knowledge-Architektur von LastPass sicher verschlüsselt. Es gibt keine empfohlenen Maßnahmen, die Sie zu diesem Zeitpunkt ergreifen müssen.“

LastPass erklärt weiter, dass die Untersuchung noch andauert und verpflichtet sich, die User über die Ergebnisse auf dem Laufenden zu halten sowie über Maßnahmen zu informieren, die sie ergreifen, ebenso über alle Maßnahmen, die man möglicherweise selbst ergreifen muss.

Download QR-Code

‎LastPass Passwort-Manager

Entwickler: LogMeIn, Inc.

Preis: Kostenlos⁺