Passwort-Manager sind doch nicht so sicher

Hacker können sich in manchen Fällen mittels Brute-Force-Attacken Zugang verschaffen. [...]

Forscher der University of York stellen Passwort–Managern nur bedingt ein gutes Zeugnis aus. Einige seien nicht sicher. Sie sind nicht gegen Cyber-Attacken gefeit, sodass ein Angreifer die Codes ausspähen kann, so das Urteil. Die Experten haben eine Schadsoftware entwickelt, die sich als reguläre App tarnte. Damit ließen sich zwei von fünf der getesteten Passwort–Manager überlisten. Oft waren die Kriterien bei der Identifizierung einer App zu weich definiert.

Rigorose Sicherheitsanalyse

„Die Verletzlichkeit von Passwort–Managern ermöglicht es Hackern, Zugangsdaten zu stehlen, kommerzielle Daten abzurufen und Mitarbeiter falsch zu informieren“, so Siamak Shahandashti, Computerwissenschaftler an der Hochschule. Weil sie die Türöffner für große Mengen an sensiblen Daten sind, sei eine rigorose Sicherheitsanalyse von Passwort–Managern unumgänglich. „Unsere Studie zeigt, dass Phishing durch eine Schadsoftware machbar ist, wenn das spätere Opfer das Programm herunterlädt, weil es trickreich getäuscht wird.“

In manchen Programmen fehlen sogar einfache Vorkehrungen gegen Hacker, mahnt der Fachmann. So werde der Manager in manchen Fällen auch nach mehr als drei Fehlversuchen, die Master-PIN einzugeben, nicht gesperrt. Hacker, die sich Zugriff verschaffen wollen, könnten so eine Brute-Force-Attacke starten, also unzählige Kombinationen ausprobieren, ohne getoppt zu werden. Eine solche Gewaltaktion führe nach etwa zweieinhalb Stunden zum Erfolg.

Immer noch die bessere Wahl

Die Forscher haben untersucht, ob Sicherheitslücken, die in früheren Studien aufgedeckt worden waren, von den Herstellern geschlossen wurden. Sie fanden heraus, dass die meisten seriösen Anbieter reagiert haben, aber eben nicht alle. Michael Carr, Seniorautor der Studie, fordert eine Intensivierung der Bemühungen, um rigorose Sicherheiten für Passwort-Manager festzulegen. Trotz der festgestellten Mängel rät er zur Nutzung von Passwort–Managern. Das sei immer noch sicherer als die Entscheidung für leicht zu merkende Passwörter.