Sicherheitsverletzung im Unternehmensnetzwerk von LastPass – Was Sie wissen sollten

Update vom Montag, 29. August : CyberHoot ist nicht der Einzige, der davor warnt, nach dem LastPass-Datendiebstahl voreilig Schlüsse zu ziehen. Hier ist ein weiterer hervorragender Artikel unserer Freunde von Naked Security (einer weiteren großartigen Quelle für Cybersicherheitsinformationen und -analysen) zu diesem Thema. Sie sprechen sich weiterhin entschieden für die Nutzung von Passwortmanagern aus und beantworten die häufigsten Fragen im Zusammenhang mit dem LastPass-Datendiebstahl.

Am 25. August 2022 meldete LastPass den Nutzern seiner Passwortverwaltungslösung einen Angriff auf das Unternehmensnetzwerk. Sie gaben an, dass keine Benutzerdaten, sondern nur der Quellcode gestohlen wurden. Da CyberHoot die Einführung eines Passwortmanagers empfiehlt, stellen wir unseren Kunden und Nutzern diese Diskussionspunkte zur Verfügung. 

Fakten und Diskussionspunkte zum LastPass-Datenleck

1. Nicht das LastPass-Produkt wurde gehackt, sondern das Unternehmensnetzwerk. Es wurden keinerlei Kundendaten gestohlen.
2. Keine Software ist perfekt, auch nicht LastPass, Excel oder andere Passwort-Manager. Kompromisse können und werden passieren.
3. Studien und die Erfahrung haben gezeigt, dass Unternehmen, die keinen Passwort-Manager einsetzen, aufgrund der Wiederverwendung von Passwörtern häufiger Sicherheitsverletzungen erleiden als Unternehmen, die einen solchen Manager einsetzen. (Quelle: Verizon-Bericht zum Datenschutzverstoß)
4. Dass es bei LastPass zu einem Datenleck gekommen ist, ist definitiv ein schlechtes Zeichen, aber die Transparenz in dieser Angelegenheit ist eine gute Sache.
5. Es wurde unabhängig überprüft, dass LastPass die Best Practices zur Verschlüsselung Ihrer Daten und zum Salting und Hashing Ihres Master-Passworts befolgt.
6. Sicherheitsexperten haben überprüft und bestätigt, dass LastPass keinen Zugriff auf Ihre verschlüsselten Daten und Master-Passwörter hat und auch keinen derartigen Zugriff erlangen könnte.
7. CyberHoot befolgt die Empfehlung der Sicherheitsbranche, einen Passwort-Manager einzusetzen, da dieser den Mitarbeitern mehr Sicherheit bietet.
8. LastPass hat eine Bug Bounty Programm White-Hat-Hacker zu ermutigen, Sicherheitsprobleme in ihren Produkten verantwortungsvoll zu melden. Das ist eine sehr gute Sache.
9. Sonnenwind, Cisco, MicrosoftBei allen von ihnen kam es in letzter Zeit zu Sicherheitsverletzungen bei ihren Produkten oder ihrem Unternehmensnetzwerk. Sicherheitsverletzungen kommen vor.
10. HaveIBeenPwned.com meldet 11.9 Milliarden öffentlich zugängliche Online-Konten. CyberHoot schätzt, dass im Darknet 5- bis 15-mal mehr Konten offengelegt werden.
11. Auch Sicherheitsfirmen wie Carbon Black und RSA Ihre Netzwerke wurden in der Vergangenheit gehackt und ihre IP-Adresse gestohlen. Die Frage ist nicht, ob, sondern wann. 

Angesichts der Tatsache, dass es in jedem Unternehmen zu Sicherheitsverletzungen kommt, auch in sicherheitsorientierten Unternehmen, stellt sich die Frage, worauf Sie bei der Auswahl der Unternehmen achten sollten, deren Software Sie kaufen.

CyberHoot ist der Ansicht, dass Sie berücksichtigen sollten, wie transparent die einzelnen Unternehmen im Falle eines Datenlecks agieren. LastPass hat sich lobenswerterweise sowohl hier als auch in der Vergangenheit in Bezug auf Sicherheitsfragen als sehr transparent erwiesen.

Sollte ich LastPass nicht mehr verwenden?

Nein. CyberHoot sieht derzeit keinen Grund, LastPass nicht mehr zu verwenden. Wir werden die Situation weiterhin beobachten und berichten, sobald sie sich weiterentwickelt.

Empfehlungen von CyberHoot im Lichte der LastPass-Sicherheitslücke:​

Derselbe Rat, den wir schon immer gegeben haben, gilt auch für Ihr Unternehmen. Es mag zwar abgedroschen klingen, aber jetzt ist es wichtiger denn je, die Cybersicherheit in Ihrem Unternehmen ernst zu nehmen und die folgenden Praktiken umzusetzen. 

1. ​Aktivieren Sie MFA immer, um auf alle Passwort-Manager zuzugreifen, einschließlich LastPass.
2. Teilen Sie Ihren Benutzern diesen Vorfall mit und sagen Sie ihnen, dass Sie die Verwendung eines Passwort-Managers weiterhin unterstützen.
3. Schulen Sie Ihre Mitarbeiter zu MFA, Phishing-Angriffen, Passworthygiene, Ransomware und vielem mehr. Führen Sie die Schulung regelmäßig (monatlich) durch.
4. Verwalten Sie Ihre Mitarbeiter mit Richtlinien zur Cybersicherheits-Governance, einschließlich einer Kennwortrichtlinie.
5. Bauen Sie in Ihrem Unternehmen ein Rahmenwerk für das Risikomanagement auf, um solche Situationen zu beurteilen und die Risiken für Ihr Unternehmen zu steuern und zu mindern.
6. Erwägen Sie die Einstellung eines vCISO, der Sie beim Aufbau Ihres Cybersicherheitsprogramms und Ihrer Risikoresilienz unterstützt.

Indem Sie diese bewährten Methoden zur Cybersicherheit befolgen, können Sie das Risiko für Ihr KMU oder Ihren MSP erheblich reduzieren.

Zusätzliche Lektüre und Ressourcen:

Naked Security-Artikel vom 23. Dezember zum LastPass-Datenleck

Diskussionsartikel zu Naked Security zum LastPass-Datenleck

LastPass-Blog beschreibt den Verstoß und die Reaktion