Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in Zusammenarbeit mit dem Forschungszentrum Informatik (FZI) zehn weit verbreitete Passwortmanager einer gründlichen technischen Prüfung unterzogen. Die Ergebnisse zeigen deutliche Unterschiede in den Bereichen Verschlüsselung, Softwarearchitektur und Zugriffsmodalitäten. Diese Untersuchung bietet nicht nur einen Einblick in die Sicherheitsleistung der Produkte, sondern unterstreicht auch, warum Passwortmanager trotz gewisser Schwächen weiterhin essenzielle Werkzeuge zur Verbesserung der digitalen Sicherheit sind.
Besondere Aufmerksamkeit galt den Sicherheitsmerkmalen wie der genutzten Kryptografie, der Handhabung von Cloud-Synchronisationen und der Frage, ob Hersteller potenziellen Zugriff auf die gespeicherten Passwörter haben könnten. Drei der getesteten Programme erlauben es technisch, dass Hersteller auf die Daten zugreifen können. Zusätzlich gab es Defizite bei der Verschlüsselung, wie unzureichende Standardkonfigurationen oder das Fehlen einer erneuten Verschlüsselung nach einem Wechsel des Masterpassworts.
Bezüglich der Kryptografie bestehen erhebliche Unterschiede zwischen den Programmen. Lediglich vier der analysierten Passwortmanager verwenden durchgängig etablierte, korrekt konfigurierte Verfahren. Einige Anbieter greifen auf veraltete Kryptographie-Techniken wie RSA-2048 zurück oder nutzen nicht empfohlene Algorithmen. Ebenfalls problematisch ist, dass nur wenige Programme sämtliche Datenfelder verschlüsseln – viele lassen Metadaten wie URLs oder Nutzernamen im Klartext, was potenziell Angriffswege eröffnet.
Der Umgang mit Synchronisationstechniken variiert ebenfalls stark: Während einige Produkte ausschließlich auf clientseitige Verschlüsselung setzen, benötigen andere serverseitige Prozesse, bei denen zeitweise Schlüssel auf den Servern der Anbieter gespeichert sind. Die Standardkonfigurationen der Passwortmanager weisen Schwächen auf: Bei acht von zehn Anwendungen wird der Datencontainer nach einer Änderung des Masterpassworts nicht vollständig neu verschlüsselt, was mögliche Sicherheitslücken schafft. Auch die Option, Passwörter über biometrische Funktionen zu ändern oder zurückzusetzen, birgt Risiken bei der Nutzung gestohlener oder kompromittierter Geräte.
Trotz der aufgedeckten Schwächen spricht sich das BSI klar für die Nutzung von Passwortmanagern aus. Sie erhöhen die Sicherheit maßgeblich, indem sie die Erstellung starker, eindeutiger Passwörter ermöglichen und das Risiko schwacher oder mehrfach verwendeter Zugangsdaten mindern. Die Studie liefert Verbrauchern eine wertvolle Vergleichsgrundlage und motiviert Hersteller zur Umsetzung von Zero-Knowledge-Architekturen und zur Einhaltung etablierter Kryptostandards. Bereits einige Unternehmen haben angekündigt, ihre Produkte entsprechend zu verbessern.
In einem weiteren Bestreben zur Verbesserung der Cybersicherheit hat Deutschland mit der Zustimmung des Bundesrats zum NIS2UmsuCG ein aktualisiertes IT-Sicherheitsgesetz, das neue BSIG, verabschiedet. Rund 29.000 Unternehmen werden verpflichtet sein, diese neuen Vorgaben zu befolgen, was die Geschäftsleitungen stärker in die Verantwortung nimmt. Zudem arbeitet Google daran, sein Produktportfolio sicherer zu gestalten, indem sie eine neue KI-Funktion für Google Drive einführen, die Ransomware-Angriffe erkennen und die Verschlüsselung von Dateien abwehren soll.
In einem ähnlichen Vorstoß hat Kingston Digital den IronKey D500S vorgestellt, ein USB-Stick, der kürzlich die FIPS 140-3 Level 3 Validierung durch das US-amerikanische NIST erhalten hat, womit er einen besonders strengen Sicherheitsstandard erfüllt. Dieser Stick gehört zu den ersten mobilen Speichergeräten, die diese Zertifizierung besitzen und darüber hinaus mit einer vertrauenswürdigen Lieferkette aufwarten können.
Erst wirkt es wie ein kurzer Ausfall – bis klar wird: Es ist ein KI-gestützter Angriff. Warum diese Attacken sich wie Alltag anfühlen und was Sie jetzt tun können, um schneller zu erkennen und handlungsfähig zu bleiben.
Fachkräfte in der Softwareentwicklung zu finden, ist heute alles andere als einfach. Recruiting-Prozesse ziehen sich oft über Wochen oder sogar Monate – und selbst dann ist nicht garantiert, dass am Ende der passende Kandidat gefunden wird. Genau deshalb haben wir uns eine spannende Frage gestellt: Was wäre, wenn wir einen neuen Mitarbeiter einfach selbst erschaffen? […]
Wenn IT nur „funktioniert“, fehlt die Richtung – und Entscheidungen werden teuer. Der Beitrag zeigt, wie KMU mit klaren Leitplanken, Roadmap und BSI-Grundschutz aus Betrieb echten Geschäftsnutzen machen.
Veraltete WLAN-Technik ist in vielen Unternehmen ein unterschätztes Risiko: Sicherheitslücken durch alte Verschlüsselungsstandards, unkontrollierte Gastzugänge und End-of-Life-Hardware ohne Updates können den laufenden Betrieb gefährden – während der Bedarf durch mehr Endgeräte, mehr Cloud-Anwendungen und mehr KI-Nutzung stetig weiter wächst. Wir von woelke it-solution aus Paderborn bieten Unternehmen deshalb eine professionelle WLAN-Analyse an: von der Vor-Ort-Ausleuchtung […]
Updates, Tickets, Sicherheitslücken: IT-Betrieb wird schnell zur Dauerbaustelle und bremst Entscheidungen aus. Managed Services schaffen Entlastung, klare Zuständigkeiten und eine IT, die stabil, sicher und planbar läuft.
Mit der europäischen NIS-2-Richtlinie steigen die Anforderungen an die Informations- und Cybersicherheit für viele Unternehmen deutlich. Während einige Organisationen bereits unter die neuen Regelungen fallen, stellt sich für viele andere zunächst die Frage: Sind wir überhaupt betroffen? Der IT Quality Circle (ITQC) bietet Unternehmen Unterstützung bei der Einordnung der gesetzlichen Anforderungen und begleitet sie auf […]
powered by Borlabs Cookie