Passwort-Manager reagieren mit Updates auf Sicherheitskrise

Eine ETH-Studie deckt fundamentale Sicherheitsprobleme in Cloud-basierten Passwort-Managern auf. Anbieter wie Bitwarden rollen Patches aus, während auch Microsoft Authenticator eine kritische Schwachstelle schließt.

Nach der Entdeckung kritischer Lücken in Passwort-Managern rollen Anbieter wie Bitwarden jetzt umfangreiche Sicherheitsupdates aus. Die Branche steht unter Druck, nachdem eine Studie der ETH Zürich fundamentale Schwächen in der Cloud-Infrastruktur aufgedeckt hat. Parallel warnen Experten vor einer neuen Schwachstelle in der Microsoft Authenticator-App.

Anzeige

Da mobile Apps für Banking und Passwörter immer häufiger im Visier von Hackern stehen, ist ein grundlegender Schutz Ihres Geräts unerlässlich. Dieser Gratis-Ratgeber zeigt Ihnen in einfachen Schritt-für-Schritt-Anleitungen, wie Sie Ihr Android-Smartphone effektiv absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Bitwarden schließt mit Update 2026.3.0 Lücken

Als direkte Reaktion auf die Sicherheitsdebatte veröffentlichte Bitwarden diese Woche Version 2026.3.0. Das Update bringt wichtige Verbesserungen unter der Haube – besonders für die mobile Authenticator-App.

Android-Nutzer können jetzt ein automatisches Session-Timeout einstellen. Die App sperrt sich nach einer festgelegten Zeit und verlangt dann erneut PIN oder biometrische Daten. Das erschwert unbefugten physischen Zugriff deutlich. Zusätzlich optimierte Bitwarden die Admin-Konsole für Organisationen und überarbeitete das iOS-App-Symbol.

Branchenbeobachter werten die schnelle Update-Folge als klares Signal: Die Entwickler nehmen die wissenschaftlichen Erkenntnisse ernst und härten ihre Architekturen.

ETH-Studie erschüttert "Zero-Knowledge"-Versprechen

Der aktuelle Handlungsdruck geht auf eine Untersuchung der ETH Zürich zurück, die im Februar veröffentlicht wurde. Forscher analysierten die Cloud-Dienste von Bitwarden, LastPass, Dashlane und 1Password.

Ihr zentrales Ergebnis erschütterte das branchenweite Versprechen: Selbst bei verschlüsselten Daten könnten kompromittierte Server Angriffe ermöglichen. Die Wissenschaftler simulierten 27 verschiedene Angriffsszenarien – mit alarmierenden Ergebnissen.

In gravierenden Fällen war es möglich, gespeicherte Passwörter im Klartext auszulesen oder unbemerkt zu verändern. Von den identifizierten Schwachstellen entfielen zwölf auf Bitwarden, sieben auf LastPass, sechs auf Dashlane und zwei auf 1Password.

Vier kritische Design-Probleme identifiziert

Die Forscher teilten die Schwachstellen in einer vier Hauptkategorien ein. Besonders kritisch: Mechanismen zur Kontowiederherstellung (Key Escrow). Diese Hilfsfunktionen erwiesen sich bei einigen Anbietern als anfällig für Manipulationen.

Ein weiteres Problem ist die fehlerhafte Verschlüsselung auf Einzelposten-Ebene. Statt den gesamten Tresor als Block zu verschlüsseln, behandeln einige Dienste jeden Eintrag separat. Das könnte Metadaten offenlegen oder Einträge austauschbar machen.

Auch Funktionen zum Teilen von Passwörtern bergen Risiken. Ein manipulierter Server könnte theoretisch fiktive Nutzer zu Organisationen hinzufügen und so Zugriff auf geteilte Ordner erhalten.

Microsoft Authenticator hat eigene Schwachstelle

Das gesamte Ökosystem der digitalen Sicherheit steht unter Druck. Mitte März bestätigten Experten eine schwerwiegende Lücke in der Microsoft Authenticator-App für iOS und Android.

Der als CVE-2026-26123 registrierte Fehler könnte Einmal-Passwörter an bösartige Apps auf demselben Smartphone weiterleiten. Die Schwachstelle nutzt sogenannte Deep Links aus – spezielle URLs, die Aktionen in Apps auslösen.

Microsoft betont, dass für einen Angriff Nutzer-Interaktion nötig ist. Dennoch stufen Experten das Risiko als hoch ein. Sie raten dringend zur sofortigen Installation des verfügbaren Patches.

Anzeige

Während Software-Updates kritische Lücken schließen, bleiben oft unterschätzte Einfallstore auf dem Smartphone bestehen. Erfahren Sie in diesem kostenlosen Sicherheitspaket, welche fünf Maßnahmen Ihr Gerät spürbar sicherer gegen Datendiebe machen. Kostenlosen Sicherheits-Ratgeber herunterladen

Branche steht vor Wendepunkt – aber keine Panik

Trotz der alarmierenden Entdeckungen warnen Cybersicherheitsexperten vor überzogenen Reaktionen. Die Nutzung eines Passwort-Managers bleibt deutlich sicherer als die Wiederverwendung schwacher Passwörter.

Das von den Forschern skizzierte Szenario erfordert enorme Ressourcen und tiefen Infrastruktur-Zugriff. Für alltägliche Cyberkriminelle ist es kaum realisierbar.

Dennoch markieren die Erkenntnisse einen Wendepunkt. Fachleute fordern mehr Transparenz über die tatsächlichen Grenzen der Ende-zu-Ende-Verschlüsselung. Die betroffenen Unternehmen investieren massiv in Nachbesserungen – wie Bitwardens aktuelles Update zeigt.

Was Nutzer jetzt tun sollten

Verbraucher sollten automatische Updates für alle Sicherheits-Apps aktivieren. Die Kombination aus starkem Master-Passwort und hardwarebasierter Zwei-Faktor-Authentifizierung bietet derzeit den besten Schutz.

Die Entwicklungen zeigen deutlich: Digitale Sicherheit ist kein statischer Zustand, sondern ein kontinuierlicher Prozess. Er fordert von Entwicklern und Nutzern gleichermaßen ständige Wachsamkeit.