Microsoft Edge: Passwörter im Klartext auslesbar

Microsoft Edge gerät erneut in die Kritik: Sicherheitsexperten haben eine kritische Sicherheitslücke im Passwortmanager des Browsers aufgedeckt, die es Angreifern ermöglicht, gespeicherte Login-Daten im Klartext auszulesen. Das Problem betrifft potenziell Millionen von Nutzern weltweit und wirft Fragen zur grundsätzlichen Sicherheitsarchitektur des Microsoft-Browsers auf.

Das Sicherheitsproblem im Detail

Die Schwachstelle liegt in der Art und Weise, wie Microsoft Edge mit gespeicherten Passwörtern umgeht. Sobald der Browser geladen und in Betrieb ist, werden alle vom Nutzer gespeicherten Login-Daten dekodiert und bleiben für die gesamte Dauer der Browser-Sitzung unverschlüsselt im Arbeitsspeicher (RAM) des Systems abrufbar. Dies ist ein erheblicher Verstoß gegen grundlegende Sicherheitsprinzipien.

Im Gegensatz zu modernen Sicherheitsstandards, bei denen sensitive Daten auch während der aktiven Nutzung verschlüsselt bleiben sollten, präsentiert Edge seine Passwörter praktisch auf dem Tablett dar – zumindest für jeden, der Zugriff auf den Speicher des Computers hat. Dies macht die Implementierung deutlich anfälliger gegenüber verschiedenen Angriffsszenarien.

Nach Aussagen von Sicherheitsexperten war dieses Problem bereits seit längerer Zeit bekannt, ist aber bisher kaum in der breiten Öffentlichkeit wahrgenommen worden. Das Ausmaß der Sicherheitslücke und ihre potenziellen Konsequenzen verlangen jedoch nach unmittelbarer Aufmerksamkeit.

Angriffsszenarios in der Praxis

Ein Angreifer mit lokalen Systemzugriff könnte relativ einfach ein Skript oder Malware einschleusen, um die unverschlüsselten Passwörter direkt aus dem RAM zu extrahieren. Dies ist erheblich einfacher und schneller, als versuchen zu müssen, eine Verschlüsselung zu brechen. Besonders kritisch wird die Situation, wenn Nutzer ihre Browser-Sitzung nicht beenden oder ihren Computer entsperren, während sie abwesend sind.

Mehrere konkrete Angriffsvektoren zeichnen sich ab:

• Malware-Infektionen: Ein infizierter Computer könnte im Hintergrund laufende Malware nutzen, um permanent auf die Passwörter zuzugreifen
• Physischer Zugriff: Ein Angreifer mit kurzzeitigem physischem Zugang könnte ein USB-Gerät nutzen, um den Speicher abzulesen
• Netzwerk-basierte Angriffe: Bei kompromittierten Systemen könnten sensible Daten über das Netzwerk exfiltriert werden
• Privilege-Escalation: Ein Angreifer mit eingeschränkten Rechten könnte diese nutzen, um auf den Speicher eines anderen Nutzers zuzugreifen

Risiken für Unternehmen und Privatnutzer

In Unternehmensumgebungen stellt diese Schwachstelle ein erhebliches Risiko dar. Bei gemeinsam genutzten Computern oder in Büros mit potenziell unsicherem physischem Zugang können sensible Zugangsdaten von mehreren Personen kompromittiert werden. Ein Angreifer könnte Zugriff auf E-Mail-Konten, Banking-Systeme oder unternehmenskritische Anwendungen erlangen.

Für Privatnutzer ist das Risiko ebenfalls erheblich. Wer seine Passwörter in Edge speichert und beispielsweise seinen Laptop in der Öffentlichkeit nutzt oder bei Familie und Freunden zu Besuch ist, setzt sich unnötigen Gefahren aus.

Empfehlungen für betroffene Nutzer

Experten empfehlen betroffenen Nutzern dringend, ihre Passwörter bei Edge nicht zu speichern. Stattdessen sollten spezialisierte Passwortmanager wie Bitwarden, 1Password oder KeePass verwendet werden. Diese Tools verschlüsseln die Daten deutlich sicherer und halten sie nicht im Klartext im RAM bereit.

Als Sofortmaßnahmen sollten Nutzer folgende Schritte einleiten:

1. Passwörter in sensiblen Online-Diensten (E-Mail, Banking, soziale Medien) regelmäßig ändern
2. Den Browser komplett beenden, wenn der Computer verlassen wird
3. Den Computer sperren (mit Passwort schützen), wenn man den Schreibtisch verlässt
4. Zu einem vertrauenswürdigen Passwortmanager wechseln
5. Sicherheitsupdates des Browsers regelmäßig einspielen

Microsofts Reaktion bleibt aus

Bislang hat Microsoft sich zu der Sicherheitslücke nicht öffentlich geäußert. Unklar ist, ob das Unternehmen bereits an einem Patch arbeitet oder ob dies ein grundsätzliches Design-Problem des Edge-Passwortmanagers darstellt, das tiefgreifendere Änderungen erfordern würde.

Dies ist nicht das erste Sicherheitsproblem, mit dem Edge konfrontiert wurde. Die Tatsache, dass sich Microsoft nicht aktiv äußert, verschärft die Besorgnis. Nut