Benachrichtigung aktivieren Dürfen wir Sie in Ihrem Browser über die wichtigsten Nachrichten des Handelsblatts informieren? Sie erhalten 2-5 Meldungen pro Tag.
Fast geschafft Erlauben Sie handelsblatt.com Ihnen Benachrichtigungen zu schicken. Dies können Sie in der Meldung Ihres Browsers bestätigen.
Benachrichtigungen erfolgreich aktiviert Wir halten Sie ab sofort über die wichtigsten Nachrichten des Handelsblatts auf dem Laufenden. Sie erhalten 2-5 Meldungen pro Tag.
Jetzt Aktivieren
Nein, danke
Digitale Revolution

Studie Spuren im Arbeitsspeicher – Die Achillesferse der Passwortmanager

Passwortmanager sind ein effektives Werkzeug zum Schutz von persönlichen Daten im Internet. Eine Studie zeigt die Grenzen des Sicherheitsversprechens auf.
Update: 28.02.2019 - 12:14 Uhr Kommentieren
Immer mehr Nutzer greifen auf Passwortmanager zurück, um ihre Daten zu schützen. Quelle: Cultura/Getty Images
Laptop

Immer mehr Nutzer greifen auf Passwortmanager zurück, um ihre Daten zu schützen.

(Foto: Cultura/Getty Images)

DüsseldorfAngesichts der jüngsten Datenlecks mit Milliarden veröffentlichten E-Mail-Adressen und Passwörtern greifen immer mehr Nutzer auf Passwortmanager zurück, um ihre digitale Identität zu schützen. Passwortmanager sind Programme, die alle genutzten Passwörter in einem digitalen Schlüsselbund oder Tresor ablegen, bei Bedarf schwer zu knackende Passwörter generieren und diese automatisch in die Anmeldemasken von Webseiten wie E-Mail-Diensten einfügen.

Die bekannten Anbieter sorgen allesamt für einen zeitgemäßen Schutz und verschlüsseln die Passwortdatenbanken der Nutzer mit einer Schlüssellänge von 256 Bit nach dem „Advanced Encryption Standard“ (AES-256). Dieser wird beispielsweise in den USA für Regierungsdokumente der höchsten Geheimhaltungsstufe verwendet.

Die Passwortdatenbanken werden entweder wie im Falle der kostenlosen Variante KeePass lokal auf dem eigenen Gerät gespeichert oder wie im Falle von 1Password, Dashlane und anderen cloudbasierten Lösungen auf den Servern der Cloud-Dienstleister der Anbieter – meist auf Servern von Amazon.

Generell ist der Einsatz von Passwortmanagern empfehlenswert und in jedem Fall sicherer, als schwache Passwörter zu verwenden. Nutzer sollten sich jedoch darüber im Klaren sein, dass jeder Passwortmanager, so sicher er die Daten auch verschlüsseln mag, eine Achillesferse hat: Auf einem mit Schadsoftware infizierten Gerät können Unbefugte trotz der Verschlüsselung sensible Daten aus dem digitalen Schlüsselbund auslesen.

Eine Studie des Sicherheitsunternehmens Independent Security Evaluators (ISE) mit dem Titel „Password Managers: Under the Hood of Secrets Management“ hat die Grenzen des Sicherheitsversprechens von Passwortmanagern aufgezeigt. Demnach hinterlassen die beliebten Passwortmanager LastPass, Dashlane, KeePass und 1Password allesamt Spuren auf dem Arbeitsspeicher des Geräts, auf dem sie verwendet werden – selbst dann, wenn sie gesperrt wurden.

Wenn Passwortmanager aktiv sind, also zum Beispiel die Nutzer einzelne Passwörter aus dem digitalen Schlüsselbund durch Eingabe des Hauptpassworts abrufen, dann gelangen bestimmte Daten auf den Arbeitsspeicher des genutzten Geräts.

Dies ist unvermeidlich, da jede Software zwangsläufig zwischenzeitlich Informationen auf dem Arbeitsspeicher ablegt, während sie genutzt wird. Im Falle der getesteten Passwortmanager betrifft dies laut der ISE-Studie allerdings sehr sensible Daten wie zum Beispiel die gespeicherten Passwörter aus dem digitalen Schlüsselbund oder das Hauptpasswort, mit dem die Nutzer Zugriff auf alle gesammelten Passwörter erhalten.

Die Studienmacher argumentieren wie folgt: Wenn es schon unvermeidlich ist, zwischenzeitlich Informationen aus den Datenbanken auf dem Arbeitsspeicher abzulegen, dann sollten diese Daten möglichst schnell wieder aus dem Arbeitsspeicher gelöscht oder überschrieben werden – vor allem dann, wenn die Passwortmanager inaktiv sind oder vom Benutzer geschlossen werden.

Dies sei aber nicht der Fall: Der vor allem bei Apple-Nutzern beliebte Passwortmanager 1Password lädt laut der ISE-Studie in seiner aktuellen Version alle gespeicherten Passwörter und das Hauptpasswort in den Arbeitsspeicher. In diesem verbleiben sie auch nach einer Sperrung des Passwortmanagers. Das Programm muss komplett beendet werden, um die Daten aus dem Arbeitsspeicher zu löschen.

Bei LastPass verbleibt ebenfalls die komplette Passwortdatenbank im Arbeitsspeicher – selbst wenn das Programm gesperrt wurde. Während der Schlüsselableitung wird auch das Masterpasswort in einem Teil des Arbeitsspeichers abgelegt und nicht gelöscht.

Dashlane legt zwar nur das jeweils verwendete Passwort im Arbeitsspeicher ab, allerdings nur bis zu dem Zeitpunkt, bis zum Beispiel ein Passwort in der Datenbank geändert wurde. Dann lädt Dashlane mit einem Streich alle Passwörter aus der Datenbank in den Arbeitsspeicher. Diese verbleiben auch dann dort, wenn der Passwortmanager gesperrt wird.

Die Kostenlos-Variante KeePass legt während einer Sitzung jedes verwendete Passwort im Arbeitsspeicher ab. Das Masterpasswort wird immerhin aus dem Arbeitsspeicher gelöscht. Eigentlich sollten die hinterlegten Passwörter im gesperrten Zustand aus dem Arbeitsspeicher gelöscht werden, doch laut ISE-Studie klappte das nicht so wie erwartet. Die Forscher konnten nämlich auf Passwörter aus dem Arbeitsspeicher zugreifen.

Warum ist das gefährlich, wenn Passwortdatenbanken im Arbeitsspeicher abgelegt werden?
Sogenannte Keylogger („Tasten-Protokollierer“) können mit Hilfe von Schadsoftware oder -Hardware die Tastatureingaben eines Benutzers an einem Gerät protokollieren, überwachen oder rekonstruieren. Eingeschleuste Schadprogramme können zudem „Clipboard Sniffing“ ermöglichen, also das Ausspähen der Zwischenablage eines Benutzers, während dieser mit der Funktion „Kopieren und Einfügen“ beispielsweise Passwörter aus seinem digitalen Schlüsselbund in die Anmeldefenster einer bestimmten Homepage eingibt.

Da die Betriebssysteme Windows, Linux und MacOS für die Zwischenablage den Arbeitsspeicher nutzen, können Eindringlinge an dieser Stelle mitlesen. Das Gleiche gilt für die Informationsspuren, die die Passwortmanager im Arbeitsspeicher hinterlassen.

Fazit: Die ISE-Studie rät keineswegs davon ab, Passwortmanager zu benutzen. Die Studienmacher appellieren lediglich an die Entwickler, ihre Software so zu optimieren, dass im inaktiven oder gesperrten Zustand die Informationen aus den Passwortdatenbanken schnellstmöglich aus dem Arbeitsspeicher des jeweiligen Geräts gelöscht werden. Die Annahme, die dahinter steckt: Je länger die Daten im Arbeitsspeicher verbleiben, umso größer das potenzielle Sicherheitsrisiko.

Gleichzeitig soll bei Nutzern das Bewusstsein dafür geschärft werden, dass es nicht ausreicht, einen Passwortmanager zu benutzen, um sich komplett abzusichern. Wer auf dubiosen Webseiten surft oder verdächtige Dateianhänge in E-Mails öffnet, der läuft Gefahr, ungewollt Schadsoftware auf dem eigenen Gerät zu installieren.

Sobald das eigene Handy oder der eigene Computer von einem Hacker gekapert wurden, stößt auch die 256-Bit-Verschlüsselung an ihre Grenzen, da der Eindringling dann Zugriff auf den Arbeitsspeicher hat und die Spuren auslesen kann, die die Passwortmanager dort ablegen.

So reagieren die Anbieter
„Das ist ein wohlbekanntes Problem, das schon mehrfach diskutiert wurde, aber die Behebung dieses Problems würde neue, größere Sicherheitsrisiken zur Folge haben“, sagt Jeffrey Goldberg von 1Password. Auf lange Sicht sei es irgendwann vielleicht nicht mehr notwendig, diesen Kompromiss in Kauf zu nehmen. Doch angesichts der aktuellen technischen Möglichkeiten habe man eine Entscheidung treffen müssen, wie man die eigenen Nutzer bestmöglich absichert.

Dieser Sicht widerspricht Stelios Tsaousidis, Geschäftsführer beim deutschen Anbieter AceBIT, der sich mit seiner Software Password Depot auf Firmenkunden spezialisiert hat: „Technisch ist das Problem absolut lösbar.“ Es lasse sich vermeiden, dass das Masterpasswort und die komplette Passwortdatenbank unverschlüsselt im Arbeitsspeicher landen. Dieses Sicherheitsversprechen gibt er auch für das eigene Produkt ab, das unter anderem SAP und die Deutsche Fußball Liga (DFL) nutzen.

Tsaousidis fügt hinzu: „Firmenkunden, die für Datenschutz sensibilisiert sind, würden ihre Daten nie auf Server in den USA hochladen.“ Die Einstellung zum Thema Datenschutz sei in den USA eine andere. Darüber hinaus sei auch die Rechtslage mit der in Deutschland und Europa nicht vergleichbar.

„Es ist in der Tat richtig, dass, wenn ein Angreifer die volle Kontrolle über ein Gerät auf der untersten Betriebssystemebene hat, der Angreifer alle Informationen auf dem Gerät lesen kann. Dies ist nicht nur bei Dashlane oder bei Passwortmanagern der Fall, sondern bei jeder Software oder sogar bei jedem Gerät, das digitale Informationen speichert. In diesem Fall kann der Angreifer auch alles sehen, was vom Benutzer eingegeben wird, einschließlich Passwörter und Kreditkartennummern“, sagt Dashlane-CEO Emmanuel Schalit. „Eine völlige Kontrolle der Windows-Speicherverwaltung ist nicht möglich“, weiß auch AceBIT-Geschäftsführer Tsaousidis.

Der Umkehrschluss, keine Tools zu verwenden, die keine 100-prozentige Sicherheit bieten, sei aber falsch: „Dies ist auch einer der Gründe für die Gleichgültigkeit bei Verbrauchern, wenn es um den Schutz ihrer digitalen Identität geht. Da keine Lösung zu 100 Prozent perfekt ist, sollte man dennoch das Problem nicht ignorieren“, sagt Schalit.

In einem Punkt sind sich alle einig: Das realistische Bedrohungsausmaß eines solchen Szenarios ist begrenzt: „Jemand, der Zugriff auf die Daten aus dem Arbeitsspeicher hat, befindet sich bereits in einer sehr mächtigen Position. Kein Passwortmanager kann das Versprechen abgeben, sicher auf einem befallenen Computer laufen zu können“, sagt Jeffrey Goldberg von 1Password.

Mehr: Die wichtigsten Fragen und Antworten zu Passwortmanagern finden Sie hier.

Startseite

Mehr zu: Studie - Spuren im Arbeitsspeicher – Die Achillesferse der Passwortmanager

0 Kommentare zu "Studie: Spuren im Arbeitsspeicher – Die Achillesferse der Passwortmanager"

Das Kommentieren dieses Artikels wurde deaktiviert.