Eine neue Untersuchung von ETH Zürich und der Università della Svizzera italiana stellt die Sicherheitsversprechen führender Passwortmanager infrage. Die Forscher analysierten die Zero-Knowledge-Modelle von Bitwarden, LastPass und Dashlane und kamen zu dem Ergebnis, dass alle drei Produkte Passwörter preisgeben können, wenn Angreifer die Server kompromittieren.
Zero-Knowledge-Verschlüsselung soll eigentlich sicherstellen, dass Anbieter selbst bei vollständiger Serverkontrolle keine Nutzerdaten entschlüsseln können.
Der Passwortmanager Bitwarden zeigte sich laut Studie am anfälligsten: Zwölf Angriffe funktionierten gegen den Open-Source-Manager, sieben gegen LastPass und sechs gegen Dashlane. Die Angriffe zielten nicht auf klassische Remote-Exploits, sondern darauf, wie gut die Systeme Geheimnisse schützen, wenn der Server selbst manipuliert ist. In vielen Fällen konnten die Forscher verschlüsselte Passwörter auslesen oder sogar Einträge verändern.
Die Schwachstellen resultieren häufig aus Legacy-Kryptografie und komplexen Codebasen, die aus Gründen der Abwärtskompatibilität alte Formate unterstützen. Die Forscher betonen, dass viele Angriffe durch alltägliche Nutzeraktionen ausgelöst werden könnten – etwa das Öffnen des Tresors, das Synchronisieren oder das Teilen von Zugangsdaten.
Dashlane hat die kritischste Lücke bereits geschlossen und die Unterstützung veralteter Kryptografie entfernt. Bitwarden und LastPass erklärten, die Ergebnisse ernst zu nehmen und an Verbesserungen zu arbeiten. Die Forscher gehen davon aus, dass ähnliche Probleme auch bei anderen Anbietern auftreten könnten und möglicherweise bereits von fortgeschrittenen Angreifern ausgenutzt werden.
