In meinem üblichen Streifzug durchs Netz auf der Suche nach relevanten News im Bereich Informationssicherheit bin ich über brisante Erkenntnisse gestoßen:
Browserbasierte Passwortmanager und ihre Extensions (Add-ons) sind aktuell stark im Visier von Forschern und in vielen Fällen verwundbar.
1. DOM-basierte Clickjacking-Angriffe: „Ein Klick genügt“
Beim DEF CON 33 präsentierte der Sicherheitsforscher Marek Tóth eine neue Clickjacking-Technik. Über manipulierte Webseiten lassen sich automatisch Login-Daten, 2‑FA‑Codes und sogar Kreditkartendetails abgreifen.
Der Clou:Unsichtbare Overlays oder opakitätslose UI‑Elemente täuschen Nutzenden einen regulären Klick vor, während im Hintergrund die autofill‑Funktion der Passwortmanager auslöst. Diese Technik funktioniert zielgerichtet, indem das skript erkennt, welcher Manager aktiv ist, und sich entsprechend anpass.
Getestet wurden 11 verbreitete Manager betroffen sind u. a. 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass und LogMeOnce. Einige Anbieter wie Dashlane, NordPass, ProtonPass, RoboForm und Keeper haben bereits Patches veröffentlicht. Andere etwa LastPass oder LogMeOnce arbeiten noch an Fixes.
Laut Socket.dev waren Stand 19. August 2025 (aktuelles Update) weitere Manager wie Bitwarden, 1Password, LastPass und iCloud Passwörter weiterhin angreifbar nur Bitwarden hat inzwischen eine Version mit Patch veröffentlicht.
2. Browser-Add-ons im Fokus: Supply-Chain-Risiken
Mozilla warnt derzeit vor gezielten Phishing‑Attacken auf Entwickler von Firefox‑Add‑ons.
Ziel:über kompromittierte Dev‑Konten Malware in populäre Erweiterungen einzuschleusen darunter auch Passwortmanager-Add‑ons. Sollte dies gelingen, könnten Kriminelle Zugang zu Logins, Cookies, Bankdaten, Krypto-Guthaben und mehr erlangen.
Damit wird klar: Nicht nur der Autofill‑Mechanismus selbst ist riskant auch die Extensions als Lieferkette können zur Schwachstelle werden.
Aus Informationssicherheits- und Datenschutzperspektive
Single Point of Failure: Browser und ihre Add-ons fungieren häufig als zentraler Speicher für jede Menge sensible Informationen von Passwörtern über 2FA bis hin zu Kreditdaten bzw. persönlichen Details. Wird diese zentrale Stelle kompromittiert, hat ein Angreifer Zugang zu nahezu allem.Schwache Verschlüsselung & zentrale Speicherung: Browser speichern Logins oft zwar verschlüsselt, lassen aber die Schlüssel ungeschützt angreifbar durch Malware oder physischen Zugriff.Regulatorisches Risiko & DSGVO: Unternehmen, in denen solche Manager genutzt werden, riskieren massive Datenschutzverstöße. Automatische Speicherung geschäftskritischer Zugänge über Browser widerspricht dem Privacy by Design–Prinzip. Im Fall eines Leaks drohen Bußgelder, Compliance-Gefährdung und Reputationsverlust.Marktrisiko durch Gift‑Supply‑Chain‑Angriffe: Ein infiziertes Add-on kann sich schnell über Hunderttausende Nutzer verbreiten und ist daher ein sehr wirksamer Angriffspfad. Mozilla's Warnung unterstreicht genau dieses Szenario.
3 Learnings daraus:
Autofill deaktivieren: solange es keine sicheren Patches gibt, besser manuell per Copy‑Paste arbeiten.Browserverhalten sensibilisieren: Aufklärung bei Mitarbeitenden über die Risiken von Fake‑Pop‑ups, verstecken Clickstrings, Phishing.Externe, seriöse Passwortmanager bevorzugen: mit Zero‑Knowledge‑Prinzip, starker Verschlüsselung (z. B. AES‑256), Multi-Faktor‑Authentifizierung und kontrollierten Browserrechten.Add-on-Sicherheit prüfen: Unternehmensbrowser sollten über Policies verfügen, die Erweiterungen überwachen oder Limits setzen (z. B. via Tools wie LayerX).
Die kritische Gegenperspektive
Die Gegenposition lautet, dass zusätzliche Sicherheitsanforderungen Aufwand schaffen, Projekte verlangsamen und gerade kleinere Organisationen überfordern können. Dieser Einwand ist berechtigt. Er spricht aber für risikogerechte, umsetzbare Kontrollen bei „Aktuelle Sicherheitslücken bei browserbasierten Passwortmanagern“ – nicht dafür, bekannte Risiken einfach auszublenden.
Was beide Seiten leicht übersehen
Oft liegt der entscheidende Punkt zwischen Technik und Organisation. Werkzeuge können Grenzen setzen, aber Menschen vergeben Rechte, definieren Prozesse und reagieren auf Warnungen. Bei „Aktuelle Sicherheitslücken bei browserbasierten Passwortmanagern“ müssen deshalb technische Maßnahmen, verständliche Kommunikation und eindeutige Verantwortung zusammenpassen.
Mein Fazit
Meine regelmäßige Recherche hat mich aktuell vorgeführt, wie nahe wir an der Komfort-Grenze zur Sicherheits-Katastrophe operieren.
Browserbasierte Passwortmanager wirken simpel und praktisch doch genau diese Einfachheit macht sie massiv angreifbar.
Quellen und Einordnung
Grundlage dieses Beitrags ist mein ursprünglich am 2025-08-25 auf LinkedIn veröffentlichter Artikel. Die dort enthaltenen Verweise und fachlichen Einordnungen wurden für diese Fassung übernommen und um die Perspektiven dieses Blogs ergänzt.
Themen: #Cybersecurity · #Informationssicherheit · #IT-Sicherheit