Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte überraschend eine Sicherheitswarnung am 19. Juni 2023. Diese Warnung thematisierte eine bedeutende Sicherheitsanfälligkeit in der Version 2.7.5 von KeePassXC, einem weitverbreiteten Open-Source Passwortmanager. Diese Schwachstelle könnte die Veränderung von Nutzerdateien ermöglichen und hebt ein allgemeineres Sicherheitsproblem in Bezug auf KeePassXC hervor.
Passwortmanager mit Schwachstelle
Xantoniorx hatte zuvor seine Enttäuschung über die Sicherheitsprotokolle von KeePassXC geäußert und insbesondere das Fehlen der notwendigen Sicherheitsvorkehrungen beim Exportieren der Datenbank oder beim Ändern des Master-Passworts kritisiert. Er wies darauf hin, dass das Programm kein Master-Passwort benötigt, um diese wichtigen Funktionen auszuführen.
Dies könnte problematisch sein, da es bedeutet, dass jede Person mit lokalem oder Fernzugriff auf den PC eines Nutzers oder einer Nutzerin möglicherweise die gesamte Passwortdatenbank im Klartext exportieren oder das Master-Passwort ändern könnte. Der Nutzer wies zu Recht darauf hin, dass ein solcher Vorfall zwar selten, aber dennoch katastrophal wäre und dem Angreifende möglicherweise ungehinderten Zugang zu sensiblen Daten verschaffen würde.
Die Software KeePassXC wird oft für ihre robusten Funktionen gelobt, darunter die Zwei-Faktor-Authentifizierung, die sichere Passwortgenerierung und die Datenbankverschlüsselung. Dieser Vorfall hat jedoch deutlich gemacht, wie wichtig es ist, für alle wichtigen Vorgänge ein Master-Passwort zu verlangen.
KeePassXC bald wieder sicher?
Die auch vom BSI bemerkte Sicherheitslücke steht zwar nicht in direktem Zusammenhang mit den von xantoniorx aufgeworfenen Problemen, aber beide werfen ein Licht auf mögliche Schwachstellen im Sicherheitsrahmen von KeePassXC. Die Kommentare des Benutzers und die anschließende BSI-Warnung sind ein Weckruf für die KeePassXC-Gemeinschaft und die Entwickler*innen gleichermaßen. Sie unterstreichen die ständige Notwendigkeit von Wachsamkeit, gründlichen Sicherheitsüberprüfungen und kontinuierlichen Verbesserungen bei der Entwicklung von Passwortmanagement-Software.
Die Community hinter dem Passwortmanager ist bekannt für ihr Engagement, ein sicheres und zuverlässiges Produkt zu entwickeln. Als Reaktion auf diese Bedenken wird erwartet, dass Verbesserungen der Sicherheitsmaßnahmen Vorrang haben werden. Wie dieser Vorfall gezeigt hat, können selbst scheinbar kleine Versäumnisse zu erheblichen Sicherheitsrisiken führen.
Quelle: Bundesamt für Sicherheit in der Informationstechnik; Github/xantoniorx
Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.