Im Dezember 2022 kam heraus, dass Angreifer die verschlüsselten Vaults von LastPass erbeutet haben. Zwischen den Angreifern und den verschlüsselten Passwörtern steht jetzt nur noch das Master-Passwort des jeweiligen Nutzers. Konfigurierte 2-Faktor-Methoden sind in diesem Fall komplett nutzlos, doch warum ist das eigentlich so? Kurz gesagt: Der 2. Faktor ist wirkungslos, da er nicht Teil der Verschlüsselung ist. Nur das Master-Passwort wird dafür genutzt. Ist das geknackt, hat der Angreifer Zugriff auf alle Daten, der 2. Faktor wird so effektiv ausgehebelt. Im Vortrag werde ich die grundsätzlichen Probleme der LastPass-Architektur darstellen und erklären wie es um die Sicherheit bei den Konkurrenten Bitwarden, Dashlane und 1Password bestellt ist. Abschließend zeige ich auf wie wir mit heylogin auf das Master-Passwort komplett verzichten können.