LastPass

LastPass
Screenshot (niederländisch)
Basisdaten
Entwickler	GoTo
Erscheinungsjahr	22. August 2008
Aktuelle Version	4.139.0[1] (31. Januar 2025)
Betriebssystem	plattformunabhängig
Programmier­sprache	JavaScript
Kategorie	Passwortmanager
Lizenz	proprietär
deutschsprachig	ja
www.lastpass.com

LastPass ist ein webbasierter Passwortmanager-Online-Dienst. Er wird seit 2008 im Freemium-Modell angeboten.^[2] Er bietet ein Webinterface, zahlreiche Browser-Add-ons und eigene Apps für Android, iOS und Windows Phone.^[3] Zwischen 2011 und 2022 kam es bei LastPass zu erheblichen Sicherheitsvorfällen.

Die Verschlüsselung geschieht mit dem AES-Algorithmus und 256 Bit Länge sowie PBKDF2 SHA-256 und Salted Hashes.^[3] Die Verschlüsselung der Passwörter und aller im Passwort Vault (Passwort-Tresor) gespeicherten Daten geschieht rein lokal. Der Hersteller kennt das Masterpasswort nicht.^[4][5]

LastPass wurde im Oktober 2015 für 125 Millionen US-Dollar von dem Softwareunternehmen LogMeIn übernommen. Der neue Eigentümer plante, den Passwortmanager verstärkt auch für Unternehmen anzubieten.^[6]

Im Dezember 2019 gab LogMeIn per Pressemitteilung bekannt, an Tochtergesellschaften von Francisco Partners verkauft zu werden.^[7] Der Verkauf wurde im März 2020 von den Aktionären genehmigt und im August 2020 durchgeführt.^[8] Am 14. Dezember 2021 gab GoTo bekannt, dass LastPass unabhängig werde. Die Abspaltung wurde im Mai 2024 abgeschlossen. LastPass wird nun direkt von Francisco Partners und Elliott Management kontrolliert, den Private-Equity-Firmen, die GoTo im Jahr 2020 übernahmen.

LastPass ist eine Browsererweiterung und App zur Verwaltung von Passwörtern.^[9][10] Es speichert Benutzernamen und Passwörter und verwendet diese Daten dann, um Anmeldeformulare auf der Grundlage der Einstellungen des Benutzers automatisch auszufüllen.^[11] Die Anmeldedaten des Benutzers werden in einer zentralen, verschlüsselten Datenbank gespeichert und dann auf jedem Gerät verfügbar gemacht, auf dem LastPass installiert ist.^[12] Um auf alle in LastPass gespeicherten Passwörter zuzugreifen, wird ein Master-Passwort verwendet.^[13]

Benutzer können Passworthinweise einrichten^[14]; 2014 wurde ein Zufallspasswort-Generator hinzugefügt.^[15] LastPass basiert auf einem Freemium-Geschäftsmodell mit kostenpflichtigen Lizenzen für Unternehmen oder Benutzer mit erweiterten Ansprüchen^[16], um Zugangsdaten im Team freizugeben, Benutzerberechtigungen anzupassen,^[13] die verschlüsselte Dateispeicherung zu nutzen oder andere Sicherheitsfunktionen hinzuzufügen.^[17][18]

Als Passwortmanager wurde LastPass mehrmals Ziel von Angriffen, so im Mai 2011, Juni 2015 und Juli 2016. Im Juni 2015 konnten die Angreifer E-Mail-Adressen, Passworterinnerungen und Authentifizierungshashes, die für das Einloggen in LastPass benötigt werden, entwenden, diese entsprechen jedoch nicht den Passwörtern und können nur mit sehr hohem Aufwand zurückgerechnet werden. LastPass empfahl die Änderung des Masterpassworts.^[5]

Im Juli 2016 entdeckte die Sicherheitsfirma Detectify eine Lücke im LastPass-Browser-Add-on. Diese wurde bereits vor der öffentlichen Bekanntmachung geschlossen.^[19]

Im März 2017 fand Tavis Ormandy von Googles Project Zero mehrere Lücken in der Version 4.1.43.^[20] Diese wurde vom Hersteller mit der Version 4.1.44 auch umgehend geschlossen.^[21]

Im April 2017 wurde bekannt, dass LastPass in der Implementierung der Zwei-Faktor-Authentifizierung (2FA) elementare Fehler begangen hatte. Damit war es möglich, den zweiten Faktor abzufangen, wenn auch nicht das Masterpasswort. Die Schwachstelle wurde nach eigenen Angaben geschlossen.^[22]

Laut Angaben des Online-Nachrichtenportals Golem.de vom Februar 2019 speichert LastPass die Passwörter im Arbeitsspeicher: „Die Passwortdatenbank wird ebenfalls komplett im RAM vorgehalten – und verbleibt dort, auch wenn Lastpass gesperrt wurde.“^[23]

Ende 2021 meldete das Online-Magazin BleepingComputer in einem Artikel, dass LastPass-Nutzer gewarnt wurden, dass ihr Masterpasswort kompromittiert wurde.^[24]

LastPass veröffentlichte im August 2022 einen Blogartikel, in dem die Firma angab, „ungewöhnliche Netzwerkaktivitäten“ festgestellt zu haben. Hier wurde auf interne Entwicklungsumgebungen zugegriffen und Teile des Quellcodes sowie andere interne Technologien kopiert. Laut eigenen Angaben sind keine Kundendaten betroffen gewesen.^[25]

Ende November 2022 veröffentlichte die Firma einen Blogartikel zu einem weiteren Sicherheitsvorfall. Es wurden „ungewöhnliche Aktivitäten“ bei einem Drittanbieter für Storage-Server festgestellt. Laut LastPass wurden für den unberechtigten Zugriff Erkenntnisse aus den Daten des Sicherheitsvorfalls von wenigen Monaten zuvor verwendet. Es seien diverse Kundendaten betroffen, nicht jedoch die verschlüsselten Passwörter.^[26] In einer späteren Stellungnahme im Dezember 2022 gab LastPass zu, dass sowohl unverschlüsselte (etwa URLs) wie auch verschlüsselte Daten der Kunden wie E-Mail-Adressen und Passwörter abgegriffen worden seien (Passwort-Safes).^[27] Die Sicherheit der verschlüsselten Daten hinge dabei nur von der Stärke des Masterpasswortes ab, das die Kunden vergeben hatten.^[28]

Der Sicherheitsforscher Marek Tóth stellte am 9. August 2025 auf der DEF CON 33 eine Schwachstelle in Browser-Erweiterungen mehrerer Passwort-Manager (darunter LastPass) vor. In ihren Standardkonfigurationen waren diese Erweiterungen einer DOM-basierten Clickjacking-Technik ausgesetzt, die es Angreifern ermöglichte, mit nur einem Klick Benutzerdaten zu exfiltrieren.^[29] Die betroffenen Anbieter von Passwort-Managern wurden im April 2025 benachrichtigt. Laut Tóth ist LastPass Version 4.146.8 (12. September 2025)^[30], die das Problem beheben sollte, weiterhin anfällig.^[31]

In der Android-Version von LastPass werden mehrere Programmbibliotheken verwendet, die zur Fehlerdiagnose, aber auch zum Tracking von Nutzerverhalten verwendet werden können. Teilweise werden dabei personenbezogene Daten an Dritte übermittelt. Neben diesen Datenschutzproblemen wird kritisiert, dass die verwendeten Programmbibliotheken grundsätzlich ein Einfallstor für Angreifer darstellen können.^[32]

• Xmarks