Online-Passwortmanager: Lastpass meldet Hackerangriff

"Wir wollen Sie warnen, dass unser Team in unserem Netz verdächtige Aktivitäten entdeckt und sofort blockiert hat". So fängt die E-Mail an, die der Online-Passwortmanager Lastpass derzeit an seine Nutzer weltweit verschickt. Nach Angaben des US-Unternehmens wurden bei dem Angriff allerdings keine verschlüsselten Benutzerdaten entwendet. Dennoch war der Beutezug zumindest insoweit erfolgreich, dass die Angreifer von etlichen Nutzern die E-Mailadressen, deren Passworthinweise und die Hashdateien mit den Passwörtern ergattert hätten. Lastpass hat den Vorfall nach eigenen Angaben bereits am Freitag registriert. Die Information der Nutzer erfolgte somit erst vier Tage später.

In einigen Fällen muss das Masterpasswort geändert werden

Ganz ohne Konsequenzen wird der Angriff dennoch nicht bleiben. Lastpass sei zwar zuversichtlich, dass die verwendeten Verschlüsselungsalgorithmen die Nutzer ausreichend schützen. Um die Sicherheit zu gewährleisten, sei es dennoch bei der Anmeldung neuer Geräte nötig, dass die Nutzer sich per E-Mail authentifizieren. In der Mail werden die Nutzer zudem aufgefordert, ihr Master-Passwort zu aktualisieren.

Mit Lastpass lassen sich Passwörter online verwalten. Zudem erleichtert der Dienst die Anmeldung auf Webseiten mit Kennwortschutz. Ruft der Nutzer zum Beispiel die Webseite von Facebook oder Twitter auf, so füllt Lastpass automatisch den Benutzernamen und das Passwort aus. Bei der Einrichtung des Dienstes muss der Nutzer ein Masterpasswort vergeben, das sich von den Passwörtern auf den Webseiten unterscheiden sollte. Lastpass hilft dabei, möglichst sichere Passwörter zu generieren. Der Dienst ist für die Nutzung mit PCs und Notebooks kostenlos, wird Lastpass auf mobilen Endgeräten von Apple oder mit Android eingesetzt, wird eine Jahresgebühr fällig.

Wie Lastpass ausführt, wurden die Hashdateien mit den Passwörtern so gespeichert, dass eine Rekonstruktion der eigentlichen Passwörter nur mit sehr aufwendigen Berechnungen möglich ist. In der Konsequenz bedeutet dies aber, dass die Passwörter nur noch einen eingeschränkten Schutz bieten. Eine ausführliche Beschreibung des Vorfalls hat Lastpass in einem Blogbeitrag gepostet.