Klartext?
Ein zweiter Blick auf Passwortmanager unter Windows
Software zur Verwaltung Ihrer Passwörter geizt gemeinhin nicht mit Analogien zur Sicherheitstechnik: Schlüssel, Schlösser und Tresore allenthalben. Wie weit es damit her ist, haben wir uns für die Produkte im vorangehenden Test gefragt. Die Antwort wäre des scheidenden Bundesinnenministers de Mazière würdig: Teile davon könnten Sie verunsichern.
Die Aufgabe von Passwortmanagern ist es, Daten sicher zu verwahren und bei Bedarf auszuspucken. Es liegt also in der Natur der Sache, dass sie solche Daten im Klartext entgegennehmen und wieder in diese Form überführen, um sie bereitzustellen. In der Zwischenzeit sollten sie diese Daten behüten, sodass Dritten der Zugriff darauf möglichst schwerfällt. Das ist dann der Fall, wenn die Daten nicht im Klartext herumliegen, sondern zeitgemäß verschlüsselt sind.
Betrachtet man dabei, wie die Programme arbeiten und Daten auf der Festplatte oder in der Cloud ablegen, so scheinen alle die üblichen Regeln der Verschlüsselung zu beachten. Angesichts jüngster Bedrohungen, wie sie aus den Meltdown- und Spectre-Lücken in Prozessordesigns resultieren, gehört dazu aber auch die Frage, wie sicher die Inhalte im Hauptspeicher sind: Schutzmechanismen, die Prozesse oder privilegierte Systemteile voneinander trennen und die früher als verlässlich galten, sind es nicht mehr wirklich.
Elchtest
Deswegen haben wir für alle Passwortmanager exemplarisch unter Windows überprüft, ob wir den Klartext unserer Testpasswörter im Hauptspeicher ihrer Prozesse wiederfinden. Man muss dazu kein fieser Hacker sein, sondern die üblichen Rechte genügen: Im Windows-Taskmanager lässt sich per Rechtsklick eine „Abbilddatei erstellen“. In der landen Inhalte des Hauptspeichers des ausgewählten Prozesses. Mit einem Hex-Editor beispielsweise kann man diese Daten dann nach den Passwörtern durchsuchen. Die Suche führt man je einmal für ANSI- und Unicode-Kodierung aus.