Die Betreiber des Passwort-Managers 1Password informieren über einen Sicherheitsvorfall im Zusammenhang mit einer Schwachstelle bei dem für 1Password tätigen Cloud-Dienstleister Okta. Daten von 1Password-Nutzern sind der Stellungnahme zufolge allerdings nicht betroffen.
1Password zufolge wurden die Unregelmäßigkeiten frühzeitig erkannt und die Angreifer seien bereits bei dem Versuch aufgefallen, sich unentdeckt in dem von Okta für 1Password betriebenen System für Zugriffsmanagement zu etablieren, um Daten für einen größer angelegten Angriff zu sammeln.
Keine Nutzerdaten involviert
Im Zusammenhang mit dem Angriff ist es wichtig zu differenzieren: Den Aussagen von 1Password zufolge hat der Angriff ausschließlich ein System für die Verwaltung von Zugängen für Supportmitarbeiter betroffen. Die Passwort-Tresore der 1Password-Nutzer sind davon komplett unabhängig und es gilt als unmöglich, diese zu entschlüsseln.
Der Angriff könnte das Ziel gehabt haben, einen gefälschten Support-Kanal anzubieten, um auf diese Weise an sensible Informationen der 1Password-Nutzer zu gelangen.
Beide Unternehmen haben weiterführende fachliche Informationen zu den Vorfällen veröffentlicht. Die bereits am Freitag veröffentlichte Stellungnahme von Okta findet sich hier, 1Password hat ergänzende Details in diesem PDF zusammengefasst. Aufgefallen sind die Unstimmigkeiten bei den Betreibern des Passwort-Managers bereits Ende September.
Cloud-Angebote mit versteckten Risiken
Auch wenn es wie gesagt keinen Anlass gibt, an den Aussagen von 1Password zu zweifeln, dass keinerlei Nutzerdaten betroffen sind, macht dieser Vorfall einmal mehr die mit Cloud-Angeboten verbundenen Risiken deutlich. Die Unternehmen selbst stehen teilweise wiederum in Abhängigkeit von Drittanbietern, was zusätzliche Angriffsflächen bietet.
Reine Offline-Lösungen gehen zwar mit zum Teil deutlichen Einschränkungen beim Benutzerkomfort einher, tragen aber abgesehen von der meist auch damit verbundenen Kostenersparnis auch dazu bei, seine relevanten Daten besser zu schützen.