In meinem üblichen Streifzug durchs Netz auf der Suche nach relevanten News im Bereich Informationssicherheit bin ich über brisante Erkenntnisse gestoßen:
Browserbasierte Passwortmanager und ihre Extensions (Add-ons) sind aktuell stark im Visier von Forschern und in vielen Fällen verwundbar.
1. DOM-basierte Clickjacking-Angriffe: „Ein Klick genügt“
Beim DEF CON 33 präsentierte der Sicherheitsforscher Marek Tóth eine neue Clickjacking-Technik. Über manipulierte Webseiten lassen sich automatisch Login-Daten, 2‑FA‑Codes und sogar Kreditkartendetails abgreifen.
Der Clou:Unsichtbare Overlays oder opakitätslose UI‑Elemente täuschen Nutzenden einen regulären Klick vor, während im Hintergrund die autofill‑Funktion der Passwortmanager auslöst. Diese Technik funktioniert zielgerichtet, indem das skript erkennt, welcher Manager aktiv ist, und sich entsprechend anpass.
Getestet wurden 11 verbreitete Manager betroffen sind u. a. 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass und LogMeOnce. Einige Anbieter wie Dashlane, NordPass, ProtonPass, RoboForm und Keeper haben bereits Patches veröffentlicht. Andere etwa LastPass oder LogMeOnce arbeiten noch an Fixes.
Laut Socket.dev waren Stand 19. August 2025 (aktuelles Update) weitere Manager wie Bitwarden, 1Password, LastPass und iCloud Passwörter weiterhin angreifbar nur Bitwarden hat inzwischen eine Version mit Patch veröffentlicht.
2. Browser-Add-ons im Fokus: Supply-Chain-Risiken
Mozilla warnt derzeit vor gezielten Phishing‑Attacken auf Entwickler von Firefox‑Add‑ons.
Ziel:über kompromittierte Dev‑Konten Malware in populäre Erweiterungen einzuschleusen darunter auch Passwortmanager-Add‑ons. Sollte dies gelingen, könnten Kriminelle Zugang zu Logins, Cookies, Bankdaten, Krypto-Guthaben und mehr erlangen.
Damit wird klar: Nicht nur der Autofill‑Mechanismus selbst ist riskant auch die Extensions als Lieferkette können zur Schwachstelle werden.
Aus Informationssicherheits- und Datenschutzperspektive
Single Point of Failure: Browser und ihre Add-ons fungieren häufig als zentraler Speicher für jede Menge sensible Informationen von Passwörtern über 2FA bis hin zu Kreditdaten bzw. persönlichen Details. Wird diese zentrale Stelle kompromittiert, hat ein Angreifer Zugang zu nahezu allem.Schwache Verschlüsselung & zentrale Speicherung: Browser speichern Logins oft zwar verschlüsselt, lassen aber die Schlüssel ungeschützt angreifbar durch Malware oder physischen Zugriff.Regulatorisches Risiko & DSGVO: Unternehmen, in denen solche Manager genutzt werden, riskieren massive Datenschutzverstöße. Automatische Speicherung geschäftskritischer Zugänge über Browser widerspricht dem Privacy by Design–Prinzip. Im Fall eines Leaks drohen Bußgelder, Compliance-Gefährdung und Reputationsverlust.Marktrisiko durch Gift‑Supply‑Chain‑Angriffe: Ein infiziertes Add-on kann sich schnell über Hunderttausende Nutzer verbreiten und ist daher ein sehr wirksamer Angriffspfad. Mozilla's Warnung unterstreicht genau dieses Szenario.
3 Learnings daraus:
Autofill deaktivieren: solange es keine sicheren Patches gibt, besser manuell per Copy‑Paste arbeiten.Browserverhalten sensibilisieren: Aufklärung bei Mitarbeitenden über die Risiken von Fake‑Pop‑ups, verstecken Clickstrings, Phishing.Externe, seriöse Passwortmanager bevorzugen: mit Zero‑Knowledge‑Prinzip, starker Verschlüsselung (z. B. AES‑256), Multi-Faktor‑Authentifizierung und kontrollierten Browserrechten.Add-on-Sicherheit prüfen: Unternehmensbrowser sollten über Policies verfügen, die Erweiterungen überwachen oder Limits setzen (z. B. via Tools wie LayerX).
Mein Fazit
Meine regelmäßige Recherche hat mich aktuell vorgeführt, wie nahe wir an der Komfort-Grenze zur Sicherheits-Katastrophe operieren.
Browserbasierte Passwortmanager wirken simpel und praktisch doch genau diese Einfachheit macht sie massiv angreifbar.
Immerhin: Viele Anbieter reagieren, einige liefern mittlerweile Patches. Trotzdem bleibt die Empfehlung klar: Entlastet den Browser trennt Komfort von Sicherheit.
Jetzt interessiert mich dein Netzwerk:
Arbeitet euch jemand im Unternehmen gerade an einer Umstellung weg vom Browser-Autofill?Gibt es bereits klare Richtlinien für Passwortmanager-Add-ons im Firmenkontext?
← Alle Beiträge