Hacker greifen Authentifizierungsdient LastPass an

Der Single Sign-on-Service LastPass meldet verdächtige Aktivitäten im eigenen Netzwerk. Inzwischen sei der Angriff aber blockiert, versichert der Anbieter. Durch den Übergriff sollen laut Angaben des Unternehmens E-Mail-Adressen, Passwort-Erinnerungen und Authentication Hashes kompromittiert worden sein. Die unbekannten Täter sollen aber keine verschlüsselten Tresore mit Nutzer-Passwörtern erbeutet haben.

“Wir sind zuversichtlich, dass unsere Verschlüsselung ausreichend ist, um die große Mehrheit der Nutzer zu schützen”, schreibt Joe Siegrist, CEO von LastPass, in einem Blog. Sein Unternehmen stärke alle Authentifizierungs-Hashes mit einem zufälligen Wert und dem serverseitigen, passwortbasierten Hash-Algorithmus PBKDF2-SHA256.

PBKDF2-SHA256 soll das Master-Passwort für einen Passwort-Tresor vor Brute-Force-Angriffen schützen. Der Algorithmus wandelt zudem das Master-Passwort auf PCs und anderen Geräten in einen Verschlüsselungsschlüssel um. Vor allem Nutzern, die ein schwaches Master-Passwort verwenden, rät das Unternehmen, dieses unverzüglich zu ändern.

Ein Mitarbeiter des Unternehmens stuft Passwörter, die nur aus einem Wort bestehen, dass sich zudem in Wörterbüchern findet, als schwach ein. Gleiches gelte auch für Kennwörter, die in abgewandelter Form für andere Sites oder Dienste verwendet werden.

Als Sicherheitsmaßnahme werden Nutzer, die sich mit einer neuen IP-Adresse oder einem neuen Gerät anmelden, aufgefordert, ihr Konto per E-Mail zu bestätigen. Das gilt jedoch nicht, wenn die Mehrschritt-Authentifizierung aktiv ist. Zudem will LastPass alle Nutzer auffordern, ihr Master-Passwort zu aktualisieren. Wer sein Passwort vergessen hat, kann sich den bei der Eröffnung des LastPass-Kontos angegebenen Passworthinweis zusenden lassen.

“Da keine verschlüsselten Nutzerdaten erbeutet wurden, müssen Sie die Passwörter für Sites, die sie in ihrem LastPass Vault hinterlegt haben, nicht ändern”, so Siegrist weiter. “Selbstverständlich empfehlen wir als zusätzliche Sicherheitsmaßnahme für ihr Konto, die Mehrschritt-Authentifizierung zu aktivieren.”

Nutzer des Passwortdiensts kritisieren indes, dass das Unternehmen erst am Montag über den Angriff informiert hat, obwohl der Einbruch schon am Freitag stattfand. Zudem haben viele Kunden wohl erst aus den Medien von dem Datenverlust erfahren – und nicht von LastPass selbst.

Außerdem soll der Dienst derzeit überlastet sein. Viele Nutzer sind offenbar gar nicht in der Lage, der Empfehlung zur Änderung ihres Master-Passworts nachzukommen. Sie sehen angeblich nur eine Fehlermeldung und werden aufgefordert, es in Kürze erneut zu versuchen.

Schon 2011 war LastPass das Opfer eines Hackerangriffs. Damals stellte das Unternehmen sein Angebot vorübergehend ein, um einen Datenverlust zu vermeiden.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Martin Schindler

Martin Schindler schreibt nicht nur über die SAPs und IBMs dieser Welt, sondern hat auch eine Schwäche für ungewöhnliche und unterhaltsame Themen aus der Welt der IT.

View Comments

  • Die sehr späte Meldung an die Kunden ist völlig inakzeptabel. Die Ansicht, das "bessere" Passworts nicht geändert werden brauchen, zeugt selbst nicht von Kompetenz - bringen diese letztlich auch nur einen Zeitvorsprung für den Anwender, denn auch diese sind über den Hash per heute force angreifbar - wenngleich plumpe dictionary only attacks wohl am Anfang stehen dürften. Das klingt schon fast wie eine Einladung an die Angreifer....

Recent Posts

Aktives Scannen: den Hackern einen Schritt voraus

In der vernetzten Produktion wachsen IT und OT zusammen. Damit steigt das Sicherheitsrisiko deutlich bis…

3 seconds ago

Covid-19-Impfkampagne: Digitale Koordination von Impfterminen

Kassenärztliche Vereinigung Schleswig-Holstein setzt auf Online-Portal mit Oracle-Technologie.

2 Stunden ago

Allianz Risk Barometer 2022: Cyberangriffe weltweites Top-Risiko für Unternehmen

Elfte Umfrage der Allianz: Cyber, Betriebsunterbrechung und Naturkatastrophen sind weltweit die drei größten Geschäftsrisiken in…

24 Stunden ago

Worauf es bei der Banken-IT besonders ankommt

Finanzinstitute unterliegen strengen Auflagen, wenn es um die Digitalisierung geht. Doch der Finanzbereich kommt an…

1 Tag ago

Patentstreit zwischen Apple und Ericsson eskaliert

Apple reagiert auf Ericssons Klagen mit einer eigenen ITC-Beschwerde. Das Unternehmen aus Cupertino bekundet aber…

4 Tagen ago

Google fordert sichere Rahmenbedingungen für Datenaustausch zwischen USA und EU

Googles Chief Legal Officer kritisiert in einem Blogeintrag die Datenschutzgrundverordnung. Auslöser ist eine Entscheidung aus…

4 Tagen ago