Hackerangriff auf LastPass

LastPass hat nach eigenen Angaben verdächtige Aktivitäten in seinem Netzwerk entdeckt und blockiert. Die Hacker erbeuteten offenbar E-Mail-Adressen und Authentifizierungs-Hashes, haben aber dem Unternehmen zufolge keine verschlüsselten Nutzerdaten entwendet. Nutzer sollten ihr Master-Passwort ändern.

Die unbekannten Täter sollen bei dem Hackerangriff nach Angaben des Unternehmens E-Mail-Adressen, Passwort-Erinnerungen und Authentication Hashes kompromittiert haben, aber keine verschlüsselten Tresore mit Nutzer-Passwörtern erbeutet haben.

Hackerangriff auf LastPass (Screenshot: ZDNet.de)

Hackerangriff auf LastPass (Screenshot: ZDNet.de)

Hackerangriff auf LastPass (Screenshot: ZDNet.de)

Joe Siegrist, CEO von LastPass, schreibt in einem Blogeintrag: „Wir sind zuversichtlich, dass unsere Verschlüsselung ausreichend ist, um die große Mehrheit der Nutzer zu schützen“. Sein Unternehmen stärke alle Authentifizierungs-Hashes mit einem zufälligen Wert und dem serverseitigen, passwortbasierten Hash-Algorithmus PBKDF2-SHA256. PBKDF2-SHA256 soll das Master-Passwort für einen Passwort-Tresor vor Brute-Force-Angriffen schützen.

Der Algorithmus wandelt zudem das Master-Passwort auf PCs und anderen Geräten in einen Verschlüsselungsschlüssel um. Vor allem Nutzern, die ein schwaches Master-Passwort verwenden, rät das Unternehmen, dieses unverzüglich zu ändern.

Ein LastPass-Mitarbeiter stuft Passwörter, die nur aus einem Wort bestehen, dass sich zudem in Wörterbüchern findet, als schwach ein. Gleiches gelte auch für Kennwörter, die in abgewandelter Form für andere Sites oder Dienste verwendet werden.

Nutzer, die sich mit einer neuen IP-Adresse oder einem neuen Gerät anmelden, werden aus Sicherheitgründen aufgefordert, ihr Konto per E-Mail zu bestätigen. Das gilt jedoch nicht, wenn die Mehrschritt-Authentifizierung aktiv ist. Zudem will LastPass alle Nutzer auffordern, ihr Master-Passwort zu aktualisieren. Wer sein Passwort vergessen hat, kann sich den bei der Eröffnung des LastPass-Kontos angegebenen Passworthinweis zusenden lassen.

„Da keine verschlüsselten Nutzerdaten erbeutet wurden, müssen Sie die Passwörter für Sites, die sie in ihrem LastPass Vault hinterlegt haben, nicht ändern“, so Siegrist weiter. „Selbstverständlich empfehlen wir als zusätzliche Sicherheitsmaßnahme für ihr Konto, die Mehrschritt-Authentifizierung zu aktivieren.“

Dass der Passwortdienst erst am Montag über den Angriff informiert hat, obwohl der Einbruch schon am Freitag stattfand, wurde von Nutzer indes kritisiert. Zudem haben viele Kunden wohl erst aus den Medien von dem Datenverlust erfahren – und nicht von LastPass selbst. Außerdem soll der Dienst derzeit überlastet sein. Viele Nutzer sind offenbar gar nicht in der Lage, der Empfehlung zur Änderung ihres Master-Passworts nachzukommen. Sie sehen angeblich nur eine Fehlermeldung und werden aufgefordert, es in Kürze erneut zu versuchen.

Schon 2011 war LastPass das Opfer eines Hackerangriffs. Damals stellte das Unternehmen sein Angebot vorübergehend ein, um einen Datenverlust zu vermeiden.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

 

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Noch keine Kommentare zu Hackerangriff auf LastPass

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *