BSI deckt Sicherheitslücken in beliebten Passwortmanagern auf

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die beliebten Open-Source-Passwortmanager KeePass und Vaultwarden untersucht. Die Ergebnisse zeigen Licht und Schatten bei der Sicherheit dieser wichtigen Tools für die Verwaltung von Zugangsdaten.

Sicherheitslücken in Passwort-Managern

Passwort-Manager sind für viele Nutzer unverzichtbar geworden, um die Flut an Zugangsdaten sicher zu verwalten. Doch wie sicher sind diese digitalen Tresore wirklich? Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun zwei beliebte Open-Source-Lösungen genauer untersucht: KeePass und Vaultwarden. Die Ergebnisse zeigen, dass selbst bei vertrauenswürdiger Software Vorsicht geboten ist.

Im Rahmen des Projekts zur "Codeanalyse von Open-Source-Software" (CAOS 3.0) nahmen die Experten den Quellcode der beiden Passwort-Manager unter die Lupe. Dabei kamen sie zu durchaus unterschiedlichen Ergebnissen. Während KeePass relativ glimpflich davonkam, wurden bei Vaultwarden einige besorgniserregende Schwachstellen entdeckt.


Das BSI hat die detaillierten Ergebnisse der Untersuchung in einem öffentlich zugänglichen PDF-Dokument zusammengefasst. Interessierte können dieses unter der offiziellen BSI-Website abrufen und sich selbst ein Bild von den Erkenntnissen machen.

Kritische Lücken in Vaultwarden

Bei Vaultwarden, einem alternativen Backend für den bekannten Passwort-Manager Bitwarden, stießen die Prüfer auf zwei als "hoch" eingestufte Sicherheitslücken.

Eine davon betrifft den Offboarding-Prozess für Organisationsmitglieder. Wenn ein Nutzer eine Organisation verlässt, werden die für den Datenzugriff notwendigen Master-Schlüssel nicht ausgetauscht. Dies bedeutet, dass ausgeschiedene Personen theoretisch weiterhin Zugriff auf sensible Daten haben könnten.

Eine weitere Schwachstelle ermöglicht es Angreifern, die Bedingungen für Notfallzugriffe zu manipulieren. So könnten sie sich höhere Zugriffsrechte verschaffen oder Wartezeiten umgehen. Diese Lücken wurden in der CVE-Datenbank unter den Nummern CVE-2024-39925 und CVE-2024-39924 registriert. Infografik: Regelmäßige Passwortänderung für Deutsche kaum ein Thema

KeePass mit leichten Mängeln

Im Gegensatz zu Vaultwarden schnitt KeePass in der Untersuchung deutlich besser ab. Die Prüfer fanden hier nur einige als "niedrig" eingestufte Schwachstellen. Eine davon betrifft die Auto-Type-Funktion, die unter bestimmten Umständen von böswilligen Websites missbraucht werden könnte, um Passwörter abzugreifen. Zudem bemängelten die Experten einige Aspekte des Programmcodes, die künftige Sicherheitsupdates erschweren könnten.

Reaktionen und Verbesserungen

Erfreulicherweise haben die Entwickler beider Projekte bereits auf die Erkenntnisse des BSI reagiert. Für Vaultwarden wurden mit Version 1.32.0 die schwerwiegendsten Lücken geschlossen. Nutzer sollten daher unbedingt auf diese oder eine neuere Version aktualisieren, um ihre Passwörter bestmöglich zu schützen.

Das CAOS-Projekt des BSI leistet einen wichtigen Beitrag zur Verbesserung der Sicherheit von Open-Source-Software. Durch die frühzeitige Erkennung und Behebung von Schwachstellen können Nutzer und Unternehmen vor potenziellen Angriffen geschützt werden. Gleich­zeitig unter­streicht die Unter­suchung, wie wichtig es ist, auch bei vertrauens­würdiger Software stets wachsam zu bleiben und regel­mäßige Updates durch­zuführen.

Was denkt ihr über die Ergebnisse der BSI-Untersuchung? Nutzt ihr selbst einen der getesteten Passwort-Manager, oder setzt ihr auf andere Lösungen? Teilt eure Erfahrungen und Meinungen in den Kommentaren!

Siehe auch: