Passwort-Manager-Sicherheit: Neue Schwachstelle in Browser-Erweiterungen entdeckt
Die Passwort-Manager-Sicherheit steht wieder im Fokus. Eine neue Angriffsmethode zeigt, wie über Browser-Erweiterungen vertrauliche Daten abgegriffen werden könnten. Besonders betroffen sind Tools, die viele Nutzer*innen täglich verwenden. Die Passwort-Manager-Sicherheit hängt dabei nicht nur von der Software, sondern auch vom Verhalten der Anwender*innen ab.
Passwort-Manager-Sicherheit: So funktioniert der Angriff
Ein IT-Forscher stellte auf der Sicherheitskonferenz DEF CON einen Trick vor, der das sogenannte DOM ausnutzt. Dabei legen Webseiten unsichtbare Elemente über sichtbare Inhalte – etwa Cookie-Banner oder Captchas. Nutzer*innen klicken auf etwas Harmloses, lösen dabei aber unbemerkt Funktionen der Passwort-Manager-Erweiterung aus. So können persönliche Informationen wie Name, Anschrift oder Zahlungsdaten übertragen werden.
Diese Tools waren betroffen
Untersucht wurden mehrere weit verbreitete Passwort-Manager. Unter anderem: 1Password, Bitwarden, Dashlane, Keeper, LastPass, NordPass und weitere. In vielen Fällen konnten Angreifer*innen auf nicht-domain-spezifische Daten zugreifen. Zugangsdaten oder Zwei-Faktor-Codes blieben meist geschützt – jedoch nur, wenn keine weiteren Sicherheitslücken wie XSS oder Subdomain-Übernahmen vorlagen.
Passwort-Manager-Sicherheit: Was Nutzer*innen jetzt tun können
Einige Anbieter haben die Lücke bereits geschlossen. Wer zum Beispiel Bitwarden nutzt, sollte auf Version 2025.8.0 aktualisieren. Auch Dashlane, Keeper, NordPass, ProtonPass und RoboForm haben reagiert. Wichtig ist, dass Nutzer*innen ihre Erweiterung regelmäßig aktualisieren.
Darüber hinaus empfiehlt es sich, das automatische Ausfüllen von Daten zu deaktivieren. Wer zusätzlich auf Nummer sicher gehen möchte, kann in Chromium-Browsern einstellen, dass Erweiterungen nur bei Klick aktiv werden. So behalten Nutzer*innen die Kontrolle darüber, wann ihre Daten verwendet werden.
Fazit: Sicherheit bewusst gestalten
Die entdeckte Schwachstelle zeigt, dass selbst vertrauenswürdige Tools wie Passwort-Manager nicht vollkommen sicher sind. Wer mit sensiblen Daten arbeitet, sollte technische Einstellungen bewusst wählen und Software regelmäßig aktualisieren. Sicherheit beginnt oft bei den Nutzer*innen selbst.
Links und Hinweise:
DOM-based Extension Clickjacking | Sicherheitsforscher Marek Tóth beschreibt, wie Angreifer*innen mit einem Klick über DOM-Manipulation sensible Daten aus Passwort-Manager-Erweiterungen abgreifen können.
procado: Unser Angebot | Mehr Informationen zu unseren Leistungen im Bereich Informationssicherheit.
