Sicherheitsnachrichten der Woche: Versteckte Schwachstelle in Passwortmanagern
Diese Woche im Fokus: Eine geschickte „Clickjacking"-Technik kann beliebte Passwortmanager-Browsererweiterungen dazu bringen, mit einem einzigen Klick Zugangsdaten, Zwei-Faktor-Codes und Kartendaten preiszugeben – und sie betrifft auch Krypto-Wallet-Erweiterungen. Außerdem: Ein FBI-Informant soll einen Darknet-Drogenmarkt mitbetrieben haben, das US-Außenministerium plant ein weltweites Antizensur-„Portal", und die Cybersicherheitsgemeinschaft setzt sich mit den Epstein-Dateien auseinander.
Das Wichtigste in Kürze
- Passwortmanager: Ein „DOM-basiertes Extension-Clickjacking" kann Autofill-Daten unsichtbar abgreifen – ein Klick auf einer Fake-Seite genügt.
- Betroffen: in Tests nahezu alle gängigen Manager; auch Krypto-Wallet-Erweiterungen sind anfällig.
- Schutz: Auto-Ausfüllen deaktivieren bzw. auf „nur bei Klick" stellen, Erweiterungen aktualisieren, Vorsicht bei Popups.
- Darknet: Ein FBI-Informant soll den Markt „Incognito" mitbetrieben und teils Fentanyl-belastete Pillen freigegeben haben.
- Zensur: Das US-Außenministerium entwickelt mit „Freedom.gov" ein VPN-artiges Werkzeug zur Umgehung von Internetsperren.
Im Fokus: Die versteckte Schwachstelle in Passwortmanagern
Der unabhängige Sicherheitsforscher Marek Tóth stellte auf der DEF-CON-Konferenz eine Angriffstechnik vor, die er „DOM-basiertes Extension-Clickjacking" nennt. Vereinfacht gesagt: Passwortmanager-Erweiterungen blenden ihre Ausfüll-Hilfen in die Webseite ein. Eine bösartige Seite kann diese Elemente unsichtbar machen und mit harmlos wirkenden Schaltflächen – etwa einem gefälschten Cookie-Banner – überlagern. Ein einziger Klick irgendwo auf der Seite kann dann das automatische Ausfüllen auslösen und Zugangsdaten, Zwei-Faktor-Codes (TOTP) oder Kartendaten an die Angreifer übergeben. Technische Details und Schritt-für-Schritt-Abläufe lassen wir hier bewusst weg.
Das Ausmaß ist beachtlich: Tóth testete elf weit verbreitete Passwortmanager – nahezu alle waren in irgendeiner Form anfällig; die betroffenen Erweiterungen kommen zusammen auf rund 40 Millionen Installationen. Besonders relevant für unsere Leser: Die Technik beschränkt sich nicht auf Passwortmanager, sondern betrifft auch Krypto-Wallet-Erweiterungen. Die Reaktionen der Hersteller fielen unterschiedlich aus – einige spielten ein Update ein (etwa Bitwarden), andere stuften das Problem zunächst als allgemeines Web-Risiko bzw. außerhalb des eigenen Verantwortungsbereichs ein. Wir geben den berichteten Stand wieder und bewerten einzelne Anbieter nicht.
Clickjacking
Eine Täuschungstechnik, bei der Angreifer unsichtbare oder überlagerte Elemente so platzieren, dass ein Nutzer unbeabsichtigt darauf klickt – und damit eine Aktion auslöst, die er gar nicht beabsichtigt hat. Bei der hier beschriebenen Variante richtet sich der Trick gezielt gegen die Ausfüll-Funktion von Browsererweiterungen.
Kurz notiert
FBI-Informant half offenbar, einen Darknet-Drogenmarkt zu betreiben
Wie WIRED berichtete, soll ein vertraulicher Informant des FBI fast zwei Jahre lang den Darknet-Marktplatz „Incognito" mitbetrieben haben – nach eigenen Angaben wickelte er „95 Prozent" der Transaktionen ab. Obwohl er die Befugnis hatte, Verkäufer von Fentanyl-Produkten zu entfernen, soll er zeitweise den Verkauf von Pillen freigegeben haben, die als möglicherweise Fentanyl-belastet markiert waren – darunter solche eines Händlers, der mit einem bestätigten Todesfall in Verbindung steht. Die Enthüllung fiel bei der Verurteilung des Marktbetreibers Lin Rui-Siang („Pharoah") zu 30 Jahren Haft; der Markt setzte über 100 Millionen US-Dollar mit Drogen um. Die US-Justiz widersprach der Darstellung der Verteidigung und betonte, die Entscheidungen seien Lins eigene gewesen; die Richterin äußerte sich skeptisch, warum die Ermittler die Operation so lange laufen ließen. Der Fall wirft Fragen zur Aufsicht über verdeckte Quellen auf. (Wir verzichten auf jegliche Angaben zum Zugang zu solchen Marktplätzen.)
US-Außenministerium plant globales Antizensur-„Portal"
Das US-Außenministerium entwickelt unter dem Namen „Freedom.gov" ein datenschutzorientiertes, VPN-artiges Werkzeug, das Internetsperren in Ländern wie China, Iran oder Russland umgehen soll – Berichten zufolge auch, um etwa Nutzern in Europa Zugriff auf blockierte Inhalte zu geben. Geplant sind eine Ein-Klick-Bedienung für Desktop, iOS und Android sowie der Verzicht auf das Tracking der Nutzeraktivität. Einzuordnen ist das Vorhaben im Kontext: Zuvor war die Förderung etablierter Internetfreiheits-Programme gekürzt worden, und die Initiative ist politisch aufgeladen. Wie tragfähig und vertrauenswürdig ein staatlich betriebenes Umgehungswerkzeug ist, wird kontrovers diskutiert – wir berichten den Stand, ohne Partei zu ergreifen.
Ebenfalls diese Woche
Die Cybersicherheitsgemeinschaft setzt sich mit den Enthüllungen aus den Epstein-Dateien auseinander. Zudem lösten dokumentierte Verbindungen des verurteilten Sexualstraftäters Jeffrey Epstein zu Beamten der US-Zoll- und Grenzschutzbehörde (CBP) auf den Amerikanischen Jungferninseln eine Untersuchung des US-Justizministeriums aus. Wir verweisen neutral auf die Berichterstattung und verzichten auf weitere Details.
Was du mitnehmen kannst
- Auto-Ausfüllen entschärfen: Stelle deinen Passwortmanager so ein, dass er nur nach bewusstem Klick ausfüllt – nicht automatisch beim Laden einer Seite.
- Erweiterungen aktualisieren: Halte Passwortmanager- und Wallet-Erweiterungen auf dem neuesten Stand und prüfe, ob dein Anbieter nachgebessert hat.
- Berechtigungen einschränken: In Chromium-Browsern lässt sich der Erweiterungszugriff auf „bei Klick" statt „auf allen Websites" begrenzen.
- Popups misstrauen: Sei vorsichtig bei aufdringlichen Cookie-Bannern oder Overlays auf unbekannten Seiten – klicke nicht reflexhaft.
- Krypto besonders schützen: Wallet-Erweiterungen sind ein lohnendes Ziel; größere Bestände gehören in eine Hardware-Wallet, nicht in eine Browser-Wallet.
Auch Sicherheitswerkzeuge brauchen Aufsicht
Ein Passwortmanager bleibt sinnvoll – die Lehre ist nicht „abschaffen", sondern bewusst konfigurieren. Und für Werte, die du nicht ständig brauchst, gilt: je weniger im Browser, desto besser.
Warum sichere Krypto-Aufbewahrung mehr ist als eine Browser-Wallet, zeigt der Beitrag „Bitcoin vor Diebstahl schützen". Weitere Analysen findest du im Sicherheits-Bereich.
Häufige Fragen (FAQ)
Was ist die Schwachstelle in Passwortmanagern genau?
Sollte ich meinen Passwortmanager jetzt löschen?
Sind auch Krypto-Wallets betroffen?
Was ist an dem Incognito-Fall bemerkenswert?
Was ist „Freedom.gov"?
Die Clickjacking-Schwachstelle betrifft auch Wallet-Erweiterungen. Dieser Beitrag zeigt, warum größere Bestände offline gehören und wie du Schlüssel sicher verwahrst. Eine zentrale Lektion aus dieser Woche.
In unserem Sicherheits-Bereich bündeln wir Analysen zu Schwachstellen, Schadsoftware und digitaler Selbstverteidigung. Wir erklären verständlich, was wirklich schützt. So bleibst du auf dem Laufenden.
Im Tools-Bereich ordnen wir Werkzeuge rund um Privatsphäre und Sicherheit ein – von Passwortmanagern bis zu VPNs. Wir zeigen, worauf es bei sicherer Konfiguration ankommt. So nutzt du Tools, ohne neue Risiken zu schaffen.
Im Krypto-Bereich geht es um sichere Verwahrung und den Schutz vor Diebstahl. Wir erklären, warum Browser-Wallets riskanter sind als Cold Storage. Besonders relevant, wenn Erweiterungen ins Visier geraten.
Im Zukunfts-Bereich beleuchten wir Themen wie Zensur, Internetfreiheit und Überwachung. Wir ordnen ein, was staatliche und technische Entwicklungen für deine Privatsphäre bedeuten. So erkennst du Trends früh.
Im Blog greifen wir aktuelle Entwicklungen aus Sicherheit, Krypto und Technik auf und ordnen sie ein. Statt reiner Schlagzeilen findest du hier Kontext und praktische Relevanz. Regelmäßige Beiträge halten dich auf dem Laufenden.
Quellen u. a.: WIRED (Wochenrückblick u. a. zu Incognito), die Forschung von Marek Tóth (DEF CON) zum Extension-Clickjacking sowie Berichterstattung von Fachmedien zu Freedom.gov und den weiteren Themen. Angaben ohne Gewähr; Informationsstand: Juni 2026.
Dieser Beitrag dient der Aufklärung und Prävention und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Er enthält keine technischen Anleitungen zu Angriffen und keine Hinweise zum Zugang zu illegalen Marktplätzen. Bei Verdacht auf Kompromittierung ändere betroffene Passwörter von einem sicheren Gerät aus.