mSecure: Passwort-Datenbank kopiert. Ihre Checkliste für jetzt

Wenn Sie Ihre Passwörter in mSecure speichern, verdient die E-Mail des Entwicklers aus dieser Woche einen Abend Ihrer Zeit. Am 3. November teilte mSeven Software aktuellen und ehemaligen Kunden mit, es habe "kürzlich verdächtige Aktivitäten" im Zusammenhang mit dem Passwortmanager festgestellt, ermittelt, Gegenmaßnahmen ergriffen und externe Cybersicherheitsexperten hinzugezogen, berichteten Malwarebytes und TechRadar.

Was bekannt ist und was nicht

Eine zweite Mitteilung, zitiert von TechRadar, besagt, dass "ein Unbefugter eine verschlüsselte Kopie einer Datenbank erlangt hat", mit Daten aktueller und ehemaliger Nutzer. Das Unternehmen erklärt, es gebe "keine Hinweise", dass der Angreifer auf die vertraulichen Informationen zugegriffen habe, betroffen seien nur Nutzer, die mit mSecure Cloud synchronisiert haben, und das Löschen der App helfe nicht.

Was fehlt: wie der Angreifer eindrang, wann, wie viele Nutzer betroffen sind und ob sich die verschlüsselten Daten jemals knacken lassen. Malwarebytes merkte an, dass die erste Mitteilung offenließ, ob auf gespeicherte Daten zugegriffen wurde; einige Reddit-Nutzer nannten sie laut TechRadar "völlig unzureichend".

Die richtige Reihenfolge

Die Mitteilung des Unternehmens und die Hinweise von Malwarebytes laufen auf dieselbe Checkliste hinaus. Arbeiten Sie sie in dieser Reihenfolge ab:

• Ändern Sie zuerst das mSecure-Masterpasswort, wie mSeven empfiehlt.
• Erneuern Sie die Passwörter, die alles andere öffnen: Haupt-E-Mail, Banking, Arbeit und jedes Konto, über das sich andere Konten wiederherstellen lassen.
• Ändern Sie jedes Passwort auf der offiziellen Website oder in der App des Dienstes, nie über einen Link in einer E-Mail; Datenleck-Nachrichten ziehen Phishing an.
• Richten Sie die im Tresor gespeicherten Zwei-Faktor-Codes neu ein.
• Für Passkeys in mSecure: Legen Sie bei einem anderen Anbieter einen neuen an und entfernen Sie die alte Registrierung, aber erst, wenn ein anderer Anmeldeweg sicher funktioniert.
• Erwägen Sie, neue Zugangsdaten vorerst in einem anderen Passwortmanager zu speichern, bis die Fakten klar sind, wie Malwarebytes rät.

Eine gestohlene verschlüsselte Datenbank ist eine tickende Uhr, keine Katastrophe. Ihre Aufgabe: jedes Geheimnis darin wertlos machen, bevor die Uhr abläuft.

Die Familie mitdenken

Wenn Sie mSecure für Partnerin, Eltern oder ein Kind im Teenageralter eingerichtet haben, wurde deren Tresor womöglich ebenfalls synchronisiert. Setzen Sie sich zusammen, beginnen Sie mit E-Mail und Banking und nehmen Sie sich die nötigen Stunden; manche Nutzer haben Hunderte Logins. Danach gilt eine feste Regel: ein langes, einzigartiges Masterpasswort, das nirgendwo sonst verwendet wird, und Zwei-Faktor-Schutz für das E-Mail-Konto, über das sich alles zurücksetzen lässt. Wenn Sie glauben, dass ein Konto bereits missbraucht wurde, wenden Sie sich direkt an den Anbieter und Ihre Bank.