// HEISE ONLINE — MOBILE & WEB
Passwort-Manager mSecure: Nach IT-Vorfall Zugangsdaten sichern
Die Programmierer des Passwort-Managers mSecure empfehlen nach einem IT-Vorfall, alle gespeicherten Zugänge neu abzusichern.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Nutzerinnen und Nutzer des Passwort-Managers mSecure von mSeven haben eine Benachrichtigung erhalten: Es gab verdächtige Aktivitäten in Verbindung mit der mSecure-Passwort-Manager-App. Wer die App zum Speichern von Zugangsdaten nutzt, muss nun aktiv werden.
Etwa auf Mastodon hat der User Hal Pomeranz einen Screenshot der Nachricht gepostet. Die auf Englisch verfasste Nachricht lautet, dass die Firma mSeven Software kürzlich verdächtige Aktivitäten in Verbindung mit der mSecure-App bemerkt habe. Als Reaktion startete die Firma eine Untersuchung und unternahm nicht näher genannte Schritte, um das Problem einzudämmen. Zudem habe man externe IT-Sicherheitsexperten hinzugezogen. Empfänger der E-Mail seien aktuelle und ehemalige Kunden von mSecure. Den Wortlaut haben Empfänger auch im Supportforum von mSeven veröffentlicht.
Aufgrund der potenziellen Sicherheitsimplikationen, die der IT-Vorfall mit sich bringt, empfiehlt mSeven, umgehend alle vertraulichen, in mSecure gespeicherten Informationen zu sichern. Dazu könne gehören, die Passwörter zu ändern, Zwei-Faktor-Authentifizierung neu einzurichten oder zurückzusetzen oder existierende Passkeys zu entfernen. mSeven bedauert die Unannehmlichkeiten, die das verursachen könnte.
Es fehlen jedwede weiterreichende Informationen, etwa, um was für verdächtige Aktivitäten es sich gehandelt hat, oder ob und wie Angreifer in die IT-Systeme eingebrochen sind. Dass jedoch die Zugangsdaten gefährdet sind, wenn beim Anbieter des Passwort-Managers jemand einbricht, lässt aufhorchen. Die Beschreibung legt den Verdacht nahe, dass es mit der Verschlüsselung der gespeicherten Zugänge nicht weit her ist oder es Zweitschlüssel gibt. Dabei wirbt mSeven in den App-Stores mit AES-256-Verschlüsselung, E2EE und einer Zero-Knowledge-Architektur, die nur den Nutzern Zugriff auf ihre Daten geben soll.
mSecure ist recht populär. In Googles Play Store kommt die App auf mehr als 500.000 Installationen bei mehr als 6200 Rezensionen. Der App Store von Apple nennt keine Downloadzahlen, dort kann die App aber mehr als 3300 Bewertungen vorweisen. Wenn die Nutzerinnen und Nutzer in gleichem Verhältnis bewerten, legt das dort rund 250.000 Nutzer nahe. Zum Vergleich: Allein unter Android weist Bitwarden mehr als 5 Millionen Installationen auf.
Im vergangenen Jahr hatte sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) Passwort-Manager genauer angesehen. Dort fielen einige auf, weil sie theoretisch Hersteller-Zugriff ermöglichten. Darunter war auch mSecure: Hier könne der Hersteller theoretisch auf die Daten zugreifen, das Konzept erfülle nicht die üblichen Erwartungen an Passwort-Manager, urteilte das BSI.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.