BSI‑Analyse: Sicherheitslage bei Passwortmanagern

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Rahmen einer IT‑Sicherheitsanalyse auf dem digitalen Verbrauchermarkt die Sicherheitsaspekte gängiger Passwortmanager untersucht. Der Bericht basiert auf einer Bewertung von zehn verbreiteten Produkten verschiedener Typen (inkl. browserbasierter Lösungen, Apps und Open‑Source‑Varianten). Ziel ist es, Chancen und Risiken dieser zentralen Tools zur Passwortverwaltung praxisnah aufzuzeigen.

Wesentliche Befunde

• Sicherheitsunterschiede zwischen Anbietern: Die Bewertung zeigt deutliche Unterschiede im konzeptionellen Sicherheitsniveau:
  – Bei mehreren getesteten Passwortmanagern ermöglichen die Konstruktion oder Implementierung theoretischen Herstellerzugriff auf gespeicherte Daten, was die Angriffs‑ und Vertrauensfläche erhöht.
  – Nur wenige Produkte bieten vollständige Verschlüsselung inkl. sicherer Neuverschlüsselung nach Änderung des Masterpassworts, was bei Kompromittierung zentral ist.
• Kryptographie‑ und Konzeptqualität: Die Untersuchung bewertet kryptographische Mechanismen, Phishing‑Schutz, Backup‑Strategien und Konzepte zur Minimierung von Hersteller‑ oder Cloud‑Zugriffen – letztlich ein Maßstab für die Resilienz gegenüber realen Angriffsszenarien.

Nutzen vs. Risiken

Trotz festgestellter Schwächen betont das BSI, dass der Nutzen von Passwortmanagern die Risiken überwiegt: Das Verwalten individueller, starker Passwörter reduziert deutlich das Phishing‑ und Kompromittierungsrisiko im Vergleich zu wiederverwendeten oder schwachen Passwörtern.

Empfehlungen für Verantwortliche

• Bei Auswahl und Einsatz sollten Datenschutz‑ und Sicherheitsverantwortliche auf:
  • Comple­te Verschlüsselung aller gespeicherten Daten, inklusive Metadaten,
  • Transparente kryptographische Konzepte und Audit‑Nachweise,
  • Minimierung von Herstellerzugriffen und klare Kontrollmechanismen,
  • Regelmäßige Software‑Updates und robuste Backup‑Verfahren achten.
• Bei cloudbasierter Synchronisation ist es zudem wichtig, Standort und Rechtsrahmen der Speicherdaten zu kennen und datenschutzrechtlich zu bewerten.

Fazit: Für Datenschutz‑ und Sicherheitsstrategien bleibt die Nutzung von Passwortmanagern ein zentraler Baustein zur Stärkung von Accountschutz und Passworthygiene; die Auswahl geeigneter Produkte und eine sachkundige Risikoabschätzung sind jedoch entscheidend.

(Foto: chinnarach – stock.adobe.com)