Was ist passiert?
Der Passwortmanager-Anbieter Dashlane hat einen Sicherheitsvorfall gemeldet: Kriminelle haben Brute-Force-Angriffe auf bestimmte Nutzerkonten ausgeführt. Dabei gelang es ihnen, nach Angaben des Unternehmens weniger als 20 Passwort-Vaults von Nutzerinnen und Nutzern mit einem „Personal“-Abo zu kopieren. Business-Konten waren demnach nicht betroffen. Die Daten seien verschlüsselt und ohne Master-Passwort nicht zugreifbar, versichert der Dashlane-Support.
Die Details
Laut einem Support-Beitrag von Dashlane begannen die Angriffe am Sonntag, den 31. Mai 2026, gegen bestimmte, nicht näher spezifizierte Konten. Ziel der Angreifer war es, die Zwei-Faktor-Authentifizierung mittels Brute-Force zu umgehen, um neue Geräte in bestehende Nutzerkonten zu registrieren.
Der Mechanismus zur Geräteregistrierung fragt einen sechsstelligen 2FA-Code ab, der entweder per Authenticator-App erstellt oder per E-Mail versendet wird. Stimmt der Code, kann das neue Gerät den Passwort-Vault herunterladen. Genau diesen Ablauf versuchten die Angreifer durch massenhafte Anfragen zu knacken.
Die schiere Menge an Anfragen hat jedoch die automatischen Sicherheitssysteme von Dashlane ausgelöst, die betroffene Konten daraufhin sperrten. Das Dashlane-Team erhielt eine entsprechende Warnung und untersuchte den Vorfall. Als Konsequenz hatten zahlreiche Nutzer mit temporär gesperrten Konten zu kämpfen – der Zugang wurde laut Anbieter inzwischen wiederhergestellt.
Die Untersuchung wurde gegen Ende vergangener Woche abgeschlossen. Dashlane erklärt, dass Betroffene bereits direkt informiert wurden. Wer keine Benachrichtigung erhalten habe, sei demnach nicht betroffen. Weitere Auswirkungen auf die Dashlane-Systeme habe die Untersuchung nicht ergeben.
Einordnung
Selbst wenn Angreifer den Geräteregistrierungs-Mechanismus erfolgreich umgehen und einen Vault herunterladen konnten, bleibt dieser laut Dashlane ohne das Master-Passwort unzugänglich. Das Unternehmen nennt als eingesetzte Verschlüsselungskombination Argon2, AES-256-CBC und HMAC-SHA256. Diese Kombination aus modernen Verfahren soll sicherstellen, dass Zugriffsversuche auf die verschlüsselten Inhalte statistisch unwahrscheinlich erfolgreich sind – auch über längere Zeiträume.
Dass eine robuste Verschlüsselung der Passwort-Vaults unerlässlich ist, zeigt ein Blick auf frühere Vorfälle in der Branche: Bereits Ende 2022 räumte der Passwort-Manager-Dienst LastPass ein, dass Unbefugte in dessen Cloudsysteme eingedrungen waren und Zugriff auf Kundendaten erlangten. Damals enthielten aus Backups kopierte Passworttresore unverschlüsselte URLs sowie verschlüsselte Nutzernamen und Passwörter. Rund ein Jahr später gelang es den Angreifern offenbar, die Tresore zu knacken und damit Kryptowallets von Betroffenen leerzuräumen.
Der aktuelle Dashlane-Vorfall zeigt damit erneut, dass zentral gespeicherte Passwort-Vaults ein attraktives Ziel für Angreifer bleiben – und dass die Qualität der eingesetzten Verschlüsselung darüber entscheidet, wie gravierend ein erfolgreicher Zugriff auf die Cloud-Infrastruktur tatsächlich ausfällt.
Praxis-Tipps
- Nutzer, die von Dashlane keine direkte Benachrichtigung erhalten haben, sind laut Anbieter nicht von dem Vorfall betroffen.
- Ein starkes, einzigartiges Master-Passwort bleibt die zentrale Schutzbarriere, da Vaults ohne dieses laut Dashlane nicht zugreifbar sind.
- Die Nutzung eines Authenticators statt E-Mail-basierter 2FA-Codes kann grundsätzlich die Angriffsfläche für Brute-Force-Versuche auf Geräteregistrierungen reduzieren.
- Betroffene und alle Nutzer sollten offizielle Mitteilungen des Anbieters aufmerksam verfolgen, um über den aktuellen Stand informiert zu bleiben.
Ausblick
Dashlane erklärt, die Untersuchung des Vorfalls sei abgeschlossen und weitere Auswirkungen auf die eigenen Systeme seien nicht festgestellt worden. Die betroffenen Konten wurden wieder freigegeben. Wie der Fall von LastPass zeigt, kann sich jedoch erst mit einiger Verzögerung herausstellen, ob kopierte, verschlüsselte Daten später doch entschlüsselt werden können. Nutzer und Fachöffentlichkeit werden daher beobachten müssen, ob sich aus dem Dashlane-Vorfall langfristig weitere Konsequenzen ergeben.
