Der Passwort-Manager LastPass (App Store-Link) wurde 2022 Opfer eines schweren Angriffs, nachdem Hacker durch eine Sicherheitslücke, die auf dem Computer eines Ingenieurs des Unternehmens gefunden wurde, Zugang zu sensiblen Nutzerdaten erhalten hatten. Auch wir berichteten darüber. Nach diesem Vorfall hat LastPass nun neue Maßnahmen angekündigt, um die Daten der Nutzer und Nutzerinnen besser zu schützen: Sie werden aufgefordert, ein stärkeres Master-Passwort festzulegen.
In einem Blogbeitrag vom Mittwoch erklärt LastPass, dass die User nun aufgefordert werden, ein neues Master-Passwort festzulegen, um ihr Konto auf der Plattform zu schützen. Dieses neue Passwort muss mindestens 12 Zeichen lang sein – bisher reichte ein Master-Passwort mit 8 Zeichen aus.
Nach Angaben des Unternehmens müssen Passwörter laut des National Institute of Standards and Technology (NIST) mindestens 8 Zeichen lang sein. Fortschrittlichere Techniken zum Knacken von Passwörtern und Brute-Force-Verfahren haben das Unternehmen allerdings veranlasst, einen neuen, stärkeren Standard festzulegen. Das Passwort muss außerdem mindestens ein Sonderzeichen, eine Zahl und einen Großbuchstaben enthalten.
Datenbank-Überprüfung für neu vergebene Passwörter
LastPass bekräftigt, dass seit letztem Jahr alle neuen oder bestehenden User, die ihr Hauptpasswort zurücksetzen mussten, bereits aufgefordert wurden, ein 12-Zeichen-Passwort festzulegen. Mit der heutigen Änderung muss jeder sein LastPass-Master-Passwort aktualisieren. LastPass berichtet auch, dass es eine Datenbank-Überprüfung geben wird, um sicher zu gehen, dass das neue Passwort nicht schon vorher geleakt wurde.
„Indem wir nun eine Mindestanforderung von 12 Zeichen für das Master-Passwort durchsetzen, zusammen mit den PBKDF2-Iterationserhöhungen, die wir Anfang des Jahres geliefert haben, helfen wir unseren Kunden proaktiv, stärkere und widerstandsfähigere Verschlüsselungsschlüssel für den Zugriff auf und die Verschlüsselung ihrer LastPass-Tresordaten zu erstellen.“
LastPass erwähnt den Sicherheitsvorfall, von dem das Unternehmen 2022 betroffen war, nicht explizit, sondern sagt nur, dass die Änderungen „als Reaktion auf die sich ständig ändernde Cyber-Bedrohungslage“ eingeführt werden. Damals verschafften sich Hacker Zugang zu Kundendaten wie Passwörtern, Namen, E-Mails, Adressen, Telefonnummern und mehr. Letztes Jahr enthüllte LastPass, dass die Zugangsdaten für die vom Unternehmen genutzten Amazon AWS-Server von einem DevOps-Ingenieur über eine in der Medienplattform Plex gefundene Schwachstelle gestohlen wurden. Mehr als 15 Millionen Passwörter wurden entwendet.
Nach diesem Vorfall hat LastPass eine Reihe von Maßnahmen ergriffen, um zukünftige Angriffe zu verhindern. Der betroffene Ingenieur wurde dabei unterstützt, die Sicherheit seines persönlichen Netzwerks zu verstärken, zudem wurden den LastPass-Systemen neue Multifaktor-Authentifizierungen hinzugefügt. Solltet ihr LastPass verwenden, solltet ihr euer Master-Passwort jetzt aktualisieren. Weitere Informationen über LastPass gibt es auch auf der offiziellen Website des Passwort-Dienstes.