Vor einiger Zeit haben wir darüber gesprochen, ob man seinem Browser erlauben sollte, sich Passwörter zu merken.
In diesem Artikel haben wir darauf hingewiesen, wie wichtig Verschlüsselung ist.
„ Mit einem Browser-Passwortmanager könnte jemand, der Zugriff auf Ihren Browser hat, Ihre Passwörter im Klartext sehen, obwohl …“ Windows kann so eingestellt werden, dass eine Authentifizierung angefordert wird (dieselbe, die Sie beim Start Ihres Geräts verwenden).
In der Regel speichern Passwortmanager in Browsern Passwörter verschlüsselt auf der Festplatte, verknüpft mit Ihrem Benutzerkonto und geschützt durch das Betriebssystem.
Kürzlich testete ein Sicherheitsforscher systematisch alle gängigen Chromium-basierten Browser hinsichtlich ihrer Speicherverwaltung von Anmeldeinformationen. Der Forscher stellte fest, dass Edge war die einzige, die den gesamten Passwort-Tresor beim Start in den Klartext-Prozessspeicher lud, wo er für die Dauer der Sitzung verbleibt.
Chrome Es wurde beobachtet, dass andere Chromium-Browser das Passwort nur bei Bedarf entschlüsseln (Autofill oder „Passwort anzeigen“), nicht aber den gesamten Tresor, und dass sie Mechanismen wie die anwendungsgebundene Verschlüsselung für Schlüssel verwenden. Edge Diese Schutzmechanismen werden in diesem Kontext nicht angewendet.
Der Forscher beschloss daher, einen Proof-of-Concept (PoC) zu erstellen, um zu zeigen, dass der Zugriff auf diesen Speicherbereich weder Zero-Day-Lücken noch komplexe Exploits erfordert. Er beruht vielmehr auf der relativ einfachen Möglichkeit, den Prozessspeicher auszulesen, wofür jedoch erweiterte Berechtigungen erforderlich sind.
Als der Forscher das Problem jedoch an Microsoft meldete, fiel die Reaktion eher verhalten aus. Die offizielle Stellungnahme des Unternehmens lautete, dass dieses Verhalten „beabsichtigt“ sei. Die Begründung dürfte sein, dass dieses Verhalten die Anmeldung und das automatische Ausfüllen beschleunigt und Angreifer ohnehin einen kompromittierten Rechner oder erweiterte Zugriffsrechte benötigen würden, um den Arbeitsspeicher auszulesen – was Microsoft im Rahmen dieser Designentscheidung als außerhalb des Geltungsbereichs liegend betrachtet.
Das ist im Grunde richtig. Ein Angreifer benötigt bereits einen erheblichen Sicherheitsvorsprung: beispielsweise die Möglichkeit, Code auf dem System auszuführen und die Daten zu lesen. Edge Der Prozessspeicher wird ausgenutzt, was häufig erhöhte Berechtigungen erfordert. Es handelt sich hierbei nicht um einen entfernten, nicht authentifizierten Fehler im Browser, sondern um eine Designschwäche, die das Abgreifen von Zugangsdaten nach einer Kompromittierung erleichtert. Und viele IT-Sicherheitsexperten verfügen bereits über diese Fähigkeit.
Das ist nur eine weitere Möglichkeit, die ein Angreifer nutzen kann, sobald er sich Zugriff auf Ihren Computer verschafft hat. In Verbindung mit dieser wissenschaftlichen Studie aus dem Jahr 2024, die ergab, dass viele Passwortmanager unter bestimmten Umständen Passwörter im Klartext in den Arbeitsspeicher ausgeben, veranlasst uns dies, unseren Rat erneut zu bekräftigen.
Sollten Sie Ihrem Browser erlauben, sich Ihre Passwörter zu merken?
Der Passwort-Manager Ihres Browsers bietet Ihnen zwar Komfort, geht jedoch zu Lasten der Sicherheit. Natürlich sind auch Passwort-Manager nicht absolut sicher, daher ist es wichtig, dass Sie selbst entscheiden, wo Sie Ihre Passwörter speichern.
Wenn Sie sicher sind, dass die Website sicher ist und niemand, der über Ihr Konto darauf zugreifen kann, etwas Neues erfahren wird, können Sie das Passwort gerne in Ihrem Browser speichern – deaktivieren Sie jedoch die automatische Ausfüllfunktion, damit Sie die Kontrolle behalten.
Verwenden Sienach Möglichkeit die Multi-Faktor-Authentifizierung (MFA). Dies verringert das Risiko erheblich, falls jemand Ihr Passwort in die Hände bekommt. Und vermeiden Sie es, den Passwort-Manager Ihres Browsers zum Speichern Ihrer Kreditkartendaten oder anderer sensibler personenbezogener Daten, wie beispielsweise medizinischer Informationen, zu verwenden.
Wir möchten jedoch hinzufügen, dass unter den wichtigsten Browsern Edge Dies scheint die schwächste Option zu sein, wenn Sie sich dennoch für die Verwendung eines integrierten Passwortmanagers entscheiden.
Beugen Sie Bedrohungen vor, bevor sie Schaden anrichten können.
Malwarebytes Browser Guard Blockiert automatisch Phishing-Seiten und schädliche Websites. Kostenlos, Installation mit einem Klick. Zum Browser hinzufügen →
