Der Passwort-Manager Dashlane ist in den vergangenen Wochen zum Ziel einer massiven Brute-Force-Kampagne geworden. Dabei setzen Angreifer automatisierte Software ein, um die Zwei-Faktor-Authentifizierung auszuhebeln. Die Taktik ist dabei bemerkenswert präzise: Die Täter versuchten, in schneller Abfolge alle möglichen numerischen Kombinationen einzugeben, um den zeitlich begrenzten Sicherheitscode zu erraten, bevor dieser verfällt.
Nach erfolgreicher Überwindung der 2FA konnten sich die Angreifer neue Geräte auf den betroffenen Konten registrieren. Dies ist ein entscheidender Schritt, denn wer ein Gerät auf einem Dashlane-Account registriert hat, erhält Zugriff auf den verschlüsselten Vault – das digitale Tresor, in dem sämtliche Passwörter und Zugangsdaten gespeichert sind. In diesem Fall gelang es den Angreifern, die verschlüsselten Vaults von weniger als 20 Nutzern herunterzuladen.
Die gute Nachricht: Dashlane’s Sicherheitssysteme erkannten die Angriffe schnell und sperrten betroffene Accounts automatisch. Zudem betont das Unternehmen, dass die Vault-Daten ohne das Master-Passwort nicht zu entschlüsseln sind. Die verwendete Verschlüsselung ist so robust, dass selbst intensivste Entschlüsselungsversuche über längere Zeit hinweg statistisch praktisch aussichtslos sind.
Ein wichtiges Detail: Das einzige realistische Mittel, um an das Master-Passwort eines Nutzers zu gelangen, ist ein Phishing-Angriff. Die Angreifer in diesem Fall hätten also nicht nur die verschlüsselten Vaults knacken müssen, sondern auch das Passwort selbst in Erfahrung bringen müssen – ein deutlich höherer Aufwand.
Dashlane versichert zudem, dass keine Hinweise auf eine Kompromittierung seiner eigenen Systeme vorliegen. Die betroffenen Nutzer wurden bereits benachrichtigt und ihre Konten wiederhergestellt.
Für Nutzer in Deutschland ist dieser Vorfall ein wichtiger Anlass zur Reflexion über Cybersicherheit. Das BSI empfiehlt fortlaufend, Zwei-Faktor-Authentifizierung zu nutzen, doch auch diese Schutzmaßnahme ist nicht unfehlbar. Ein zusätzliches Sicherheitsbewusstsein gegenüber Phishing-Versuchen bleibt daher essenziell.