Einführung in die Studie des BSI zu Passwortmanagern

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in Zusammenarbeit mit dem Forschungszentrum Informatik (FZI) zehn weit verbreitete Passwortmanager einer gründlichen technischen Prüfung unterzogen. Die Ergebnisse zeigen deutliche Unterschiede in den Bereichen Verschlüsselung, Softwarearchitektur und Zugriffsmodalitäten. Diese Untersuchung bietet nicht nur einen Einblick in die Sicherheitsleistung der Produkte, sondern unterstreicht auch, warum Passwortmanager trotz gewisser Schwächen weiterhin essenzielle Werkzeuge zur Verbesserung der digitalen Sicherheit sind.

Hauptunterschiede bei Verschlüsselung und Sicherheitsarchitektur

Besondere Aufmerksamkeit galt den Sicherheitsmerkmalen wie der genutzten Kryptografie, der Handhabung von Cloud-Synchronisationen und der Frage, ob Hersteller potenziellen Zugriff auf die gespeicherten Passwörter haben könnten. Drei der getesteten Programme erlauben es technisch, dass Hersteller auf die Daten zugreifen können. Zusätzlich gab es Defizite bei der Verschlüsselung, wie unzureichende Standardkonfigurationen oder das Fehlen einer erneuten Verschlüsselung nach einem Wechsel des Masterpassworts.

Kryptografische Standards und deren Anwendung

Bezüglich der Kryptografie bestehen erhebliche Unterschiede zwischen den Programmen. Lediglich vier der analysierten Passwortmanager verwenden durchgängig etablierte, korrekt konfigurierte Verfahren. Einige Anbieter greifen auf veraltete Kryptographie-Techniken wie RSA-2048 zurück oder nutzen nicht empfohlene Algorithmen. Ebenfalls problematisch ist, dass nur wenige Programme sämtliche Datenfelder verschlüsseln – viele lassen Metadaten wie URLs oder Nutzernamen im Klartext, was potenziell Angriffswege eröffnet.

Synchronisation und Sicherheitskonfigurationen

Der Umgang mit Synchronisationstechniken variiert ebenfalls stark: Während einige Produkte ausschließlich auf clientseitige Verschlüsselung setzen, benötigen andere serverseitige Prozesse, bei denen zeitweise Schlüssel auf den Servern der Anbieter gespeichert sind. Die Standardkonfigurationen der Passwortmanager weisen Schwächen auf: Bei acht von zehn Anwendungen wird der Datencontainer nach einer Änderung des Masterpassworts nicht vollständig neu verschlüsselt, was mögliche Sicherheitslücken schafft. Auch die Option, Passwörter über biometrische Funktionen zu ändern oder zurückzusetzen, birgt Risiken bei der Nutzung gestohlener oder kompromittierter Geräte.

Warum Passwortmanager weiterhin sinnvoll sind

Trotz der aufgedeckten Schwächen spricht sich das BSI klar für die Nutzung von Passwortmanagern aus. Sie erhöhen die Sicherheit maßgeblich, indem sie die Erstellung starker, eindeutiger Passwörter ermöglichen und das Risiko schwacher oder mehrfach verwendeter Zugangsdaten mindern. Die Studie liefert Verbrauchern eine wertvolle Vergleichsgrundlage und motiviert Hersteller zur Umsetzung von Zero-Knowledge-Architekturen und zur Einhaltung etablierter Kryptostandards. Bereits einige Unternehmen haben angekündigt, ihre Produkte entsprechend zu verbessern.

Relevante Entwicklungen im Bereich IT-Sicherheit

In einem weiteren Bestreben zur Verbesserung der Cybersicherheit hat Deutschland mit der Zustimmung des Bundesrats zum NIS2UmsuCG ein aktualisiertes IT-Sicherheitsgesetz, das neue BSIG, verabschiedet. Rund 29.000 Unternehmen werden verpflichtet sein, diese neuen Vorgaben zu befolgen, was die Geschäftsleitungen stärker in die Verantwortung nimmt. Zudem arbeitet Google daran, sein Produktportfolio sicherer zu gestalten, indem sie eine neue KI-Funktion für Google Drive einführen, die Ransomware-Angriffe erkennen und die Verschlüsselung von Dateien abwehren soll.

In einem ähnlichen Vorstoß hat Kingston Digital den IronKey D500S vorgestellt, ein USB-Stick, der kürzlich die FIPS 140-3 Level 3 Validierung durch das US-amerikanische NIST erhalten hat, womit er einen besonders strengen Sicherheitsstandard erfüllt. Dieser Stick gehört zu den ersten mobilen Speichergeräten, die diese Zertifizierung besitzen und darüber hinaus mit einer vertrauenswürdigen Lieferkette aufwarten können.