Nutzer der Passwortmanagement-Software LastPass berichteten vergangene Woche, dass sie E-Mails von dem Unternehmen über unbefugte Anmeldeversuche unter der Verwendung ihres individuellen Masterpassworts erhielten. LastPass bezog Stellung zu Geschehnissen und versicherte, dass keine Benutzerinformationen an Dritte weitergegeben worden waren.
Was ist passiert?
Am 28. Dezember 2021 machten Nutzer des Passwort-Managers LastPass über die Plattform Hacker News darauf aufmerksam, dass sie E-Mails von dem Dienstleister erhalten hatten, die sie über geblockte Anmeldeversuche mit ihrem Masterpasswort an ungewöhnlichen Standorten informierten. Die E-Mails wiesen keine typischen Merkmale von Phishing-E-Mails auf und schienen authentisch. Der Verdacht, dass LastPass einem Datenleck zum Opfer gefallen war und Informationen an unbefugte Dritte weitergegeben hat, wurde laut.
Nach eingehender Prüfung der ungewöhnlichen Aktivitäten versicherte LastPass, dass weder Benutzerdaten kompromittiert worden waren, noch dass der Dienstleister einem Malware-Angriff oder einer Phishing-Kampagne zum Opfer gefallen war. Bot-Aktivitäten wurden stattdessen hinter den Geschehnissen vermutet.
Weitere Untersuchungen ergaben letztendlich, dass der Versand der E-Mails auf einen Fehler im Alarmsystem zurückzuführen war. Eine begrenzte Anzahl an LastPass-Nutzern hatte fälschlicherweise automatisierte Sicherheitswarnungen von dem Unternehmen erhalten, die unbegründet ausgelöst worden waren.
LastPass passte als Reaktion auf den Vorfall seine Sicherheitswarnsysteme an und versicherte, dass durch die Verwendung des Zero-Knowledge-Sicherheitsmodells zu keiner Zeit Master-Passwörter von Nutzern auf den Servern des Unternehmens gespeichert würden.
Was kann ich tun?
Verwenden Sie stets sichere Passwörter und diese nie mehrmals für unterschiedliche Anwendungen.
Sollten Sie das Master-Passwort Ihres Passwort-Managers auch für andere Applikationen oder Tools verwenden, passen Sie dies umgehend an.
In jedem Fall sollten Sie als Nutzer eines sensiblen Tools wie eines Passwortmanagers die Zwei-Faktor-Authentifizierung aktivieren. So können Sie sicherstellen, dass Unbefugte keinen Zugriff auf Ihre Systeme erhalten.
Wenn der Verdacht besteht, dass Ihr Passwort kompromittiert worden ist, ändern Sie dieses umgehend! Hier gilt: Vorsicht ist besser als Nachsicht.