KeePassXC 2.8.0: Update schließt Schwachstellen und bringt Windows-ARM

Aktuelle Fachbeiträge und Sicherheitsanalysen beleuchten die Gefahren, die mit der Speicherung von Zugangsdaten direkt im Webbrowser verbunden sind. Die Berichte thematisieren sowohl die potenziellen Einfallstore der integrierten Komfortfunktionen als auch praktische Schritte zur Deaktivierung und Absicherung für Anwender und Administratoren.

Viele Internetnutzer verlassen sich beim täglichen Anmelden auf die automatischen Funktionen ihrer Webbrowser. In gängigen Browsern lässt sich die Passwortspeicherung über die erweiterten Einstellungen für das automatische Ausfüllen steuern. Dort können Anwender über Ausnahmelisten festlegen, für welche Webadressen keine Daten hinterlegt werden dürfen, oder gespeicherte Anmeldedaten in der Formulardatenverwaltung einsehen und manuell anpassen.

Die Bequemlichkeit der Browserfunktionen birgt jedoch erhebliche Sicherheitsrisiken. In Mozilla Firefox lassen sich gespeicherte Kennwörter über die Sicherheitseinstellungen im Klartext anzeigen, sofern Anwender kein separates Master-Passwort eingerichtet haben.

Bei Google Chrome existiert kein solches Master-Passwort; Google verweist hierbei auf die Systemsicherheit, womit der Schutz der über die Einstellungen einsehbaren Kennwörter am Windows-Anmeldekennwort hängt.

Zusätzliche Risiken entstehen durch Cloud-Synchronisationen: Ist in Chrome die Standardeinstellung zur vollständigen Synchronisation aktiviert, werden Kennwörter, Kreditkartendaten und Browserverläufe in der Cloud gespeichert.

Gelingt es Angreifern, aktive Sitzungs-Cookies zu entwenden, erhalten sie unter Umständen auch ohne Passworteingabe und ohne Zwei-Faktor-Authentifizierung Zugriff auf verbundene Konten.

Wer noch Passwörter im Browser speichert oder auf Zetteln notiert, geht ein unnötiges Risiko für Datenverlust und Identitätsdiebstahl ein. Dieser kostenlose Guide erklärt Schritt für Schritt, wie Sie alle Ihre Zugangsdaten stattdessen sicher und verschlüsselt auf dem eigenen Computer verwalten. Kostenlosen Guide für sichere Passwort-Verwaltung herunterladen

Technische Abwehrmaßnahmen und Schwachstellen

Da Standardkonfigurationen von Webbrowsern häufig Kompatibilität über restrikte Sicherheit stellen, bleiben Ausführungskontexte für Cross-Site-Injection-Angriffe offen. Bereits der Besuch einer manipulierten Internetseite kann zu Remote-Code-Ausführung, Cookie-Diebstahl oder Malware-Infektionen führen.

Auf Entwicklerseite existieren verschiedene technische Ansätze, um eine Speicherung im Browser zu unterbinden. Das Setzen einfacher HTML-Attribute wie autocomplete="off" bedeutet zwar geringen Aufwand, zeigt jedoch nur schwache Wirkung, da ältere Browser dies ignorieren.

Ein mittlerer Aufwand entsteht beim Einsatz von HTTP-Headern wie Cache-Control no-cache in Verbindung mit JavaScript-Interventionen auf Login-Pfaden. Der wirksamste, aber aufwendigste Ansatz besteht in der Nutzung von Session-Tokens mit dynamischen Feldnamen und Verschlüsselung, wodurch eine Speicherung im Klartext verhindert wird.

Sicherheitsempfehlungen raten dazu, Browser stets aktuell zu halten, Berechtigungen von Erweiterungen zu minimieren und für Zugangsdaten auf dedizierte Passwortmanager zurückzugreifen. Für die quelloffene Software KeePassXC steht die Version 2.8.0 bereit.

Das Update behebt Schwachstellen früherer Versionen bis einschließlich 2.7.x beim Import älterer Datenbanken sowie in der Browser-Erweiterung und bietet neben schnellerem Entsperren unter macOS und Linux erstmals eine native Unterstützung für Windows-ARM.

Während Browser oft den Komfort über die Sicherheit stellen, vertrauen Experten bereits auf spezialisierte Lösungen zur Verwaltung digitaler Identitäten. Erfahren Sie in diesem kostenlosen PDF, wie auch Einsteiger eine professionelle Passwort-Datenbank in wenigen Minuten sicher einrichten können. Gratis-Anleitung zur sicheren Passwort-Software sichern

Grenzen alternativer Anmeldeverfahren

Auch neuere Anmeldeverfahren erfordern Achtsamkeit. Google hat Passkeys im Chrome-browser geräteübergreifend für Windows, macOS, Linux und Android nutzbar gemacht, wobei private Schlüssel auf dem Endgerät verbleiben und öffentliche Schlüssel auf Servern liegen.

Gleichzeitig wiesen Sicherheitsforscher in mehreren Arbeiten Angriffswege gegen Passkey-Implementierungen nach, die ohne das Brechen der eigentlichen Kryptografie auskommen — etwa durch das Wiederverwenden signierten Authentifizierungsmaterials oder das Ausnutzen hardwaregebundener Schlüssel durch Malware in bereits angemeldeten Sitzungen. Für eine Logging-Schwachstelle mit der Einstufung CVSS 6.5 (CVE-2026-34348) stellte Microsoft bereits ein Sicherheitsupdate bereit.