LastPass, der weltweit sehr beliebte Passwort-Manager, ist Ziel eines Hackerangriffes geworden – wieder einmal. Erst im August haben Hacker sich Zugang zu den Entwickler-Tools des Unternehmens verschafft. Der Anbieter versichert, dass dabei keine Kundeninformationen abhanden gekommen sind.

Anfang Dezember, also schon vor etwa drei Wochen, wurde ein zweiter Angriff gemeldet, der auf Basis von den ergaunerten Informationen aus August erst möglich war. Dieses Mal wurden bestimmte Kundeninformationen entwendet. Gestern hat LastPass bekannt gegeben, um welche Information es sich dabei handelt. 

Was genau wurde gestohlen?

Bei den bestimmten Kundeninformationen handelt es sich um folgende Daten:

• Namen von Unternehmen
• Benutzernamen
• Rechnungsadressen
• E-Mail Adressen
• IP-Adressen
• Telefonnummern
• Webseiten URLs
• Verschlüsselte Webseiten-Passwörter und Benutzernamen (256-Bit AES)

LastPass versichert, dass keine Zahlungsinformationen, wie Kreditkartennummern, entwendet worden sind. Wie man allerdings sieht, sind die gestohlenen Daten durchaus brisant und die Kommunikation zu den Kunden wird infrage gestellt.

Das Backup, das die Hacker kopiert haben, enthält zwar auch Benutzernamen und Passwörter für Webseiten, jedoch sind diese stark verschlüsselt und sollten sicher sein. Das Master-Passwort wird nicht bei LastPass gespeichert, aber es schließt sich nicht aus, dass die Hacker probieren, es anhand der anderen gestohlenen Daten zu erraten.

Außerdem sind die Angreifer mit den Daten in der Lage Phishing-Angriffe auf Kunden zu starten und sich beispielsweise als LastPass auszugeben, um so an das Master-Passwort zu gelangen.

Was soll man als Kunde unternehmen?

Wenn ihr ein sicheres Master-Passwort bei LastPass verwendet, sollten eure Daten sicher sein, da es laut dem Unternehmen Millionen von Jahren dauern würde, um ein solches zu erraten. Verwendet ihr ein weniger sicheres Kennwort und ihr verwendet dieses zusätzlich noch auf anderen Webseiten, dann wird dringend empfohlen, alle Passwörter für die gespeicherten Webseiten schnellstmöglich abzuändern. 

Was Phishing-Angriffe angeht: LastPass wird euch nie nach euren Master-Passwort fragen, oder euch zum Abgleich der privaten Daten auffordern. Wie so ein Phishing Betrug ablaufen kann und was man dagegen tun kann, könnt ihr hier nachlesen:

Die hohe Beliebtheit von LastPass macht es leider zu einem populären Ziel von derartigen Angriffen. Bei der Konkurrenz sind deutlich weniger Sicherheitsprobleme in der Vergangenheit gemeldet worden. Für diejenigen die wechseln möchten, haben wir hier fünf Alternativen:

• Dashlane
• Keeper
• LogMeOnce
• Bitwarden
• KeePass

Benutzt ihr selbst einen Passwortmanager oder habt ihr deswegen Sicherheitsbedenken? Schreibt uns eure Meinung dazu in die Kommentare!