Passwort-Manager mit Lücken

Forscher der University of York stellen Passwort-Managern nur bedingt ein gutes Zeugnis aus. Einige seien nicht sicher. Sie sind nicht gegen Cyber-Attacken gefeit, sodass ein Angreifer die Codes ausspähen kann, so das Urteil. Die Experten haben eine Schadsoftware entwickelt, die sich als reguläre App tarnte. Damit liessen sich zwei von fünf der getesteten Passwort-Manager überlisten. Oft waren die Kriterien bei der Identifizierung einer App zu weich definiert.

«Die Verletzlichkeit von Passwort-Managern ermöglicht es Hackern, Zugangsdaten zu stehlen, kommerzielle Daten abzurufen und Mitarbeiter falsch zu informieren», so Siamak Shahandashti, Computerwissenschaftler an der Hochschule. Weil sie die Türöffner für grosse Mengen an sensiblen Daten sind, sei eine rigorose Sicherheitsanalyse von Passwort-Managern unumgänglich. «Unsere Studie zeigt, dass Phishing durch eine Schadsoftware machbar ist, wenn das spätere Opfer das Programm herunterlädt, weil es trickreich getäuscht wird.»

In manchen Programmen fehlen sogar einfache Vorkehrungen gegen Hacker, mahnt der Fachmann. So werde der Manager in manchen Fällen auch nach mehr als drei Fehlversuchen, die Master-PIN einzugeben, nicht gesperrt. Hacker, die sich Zugriff verschaffen wollen, könnten so eine Brute-Force-Attacke starten, also unzählige Kombinationen ausprobieren, ohne getoppt zu werden. Eine solche Gewaltaktion führe nach etwa zweieinhalb Stunden zum Erfolg.