Der Artikel von heise online beschreibt eine neu entdeckte Sicherheitslücke in Browser-Erweiterungen von Passwort-Managern, die durch sogenannte DOM-basiertes Clickjacking ausgenutzt werden kann.

Dabei manipulieren Angreifer Webseiten so, dass Nutzer unbewusst auf unsichtbare Elemente der Passwort-Manager-Erweiterung klicken. Diese füllt dann automatisch Formularfelder aus, wodurch sensible Daten wie Zugangsdaten, Kreditkarteninformationen oder persönliche Angaben abgegriffen werden können.

Betroffen sind unter anderem bekannte Passwort-Manager wie 1Password, Bitwarden, Dashlane, Enpass, Keeper, LastPass, NordPass, ProtonPass und andere.

Einige Anbieter haben bereits Updates veröffentlicht, um die Schwachstellen zu schließen.

Zur Vorbeugung empfiehlt der im Artikel zitierte Forscher Marek Toth:

• Automatische Updates aktivieren
• Automatisches Ausfüllen deaktivieren
• Exakte URL-Übereinstimmung einstellen
• Erweiterungen nur bei Klick aktivieren, statt auf allen Webseiten

Die Schwachstelle wurde auf der Sicherheitskonferenz Defcon 33 vorgestellt und zeigt, wie wichtig es ist, Browser-Erweiterungen regelmäßig zu aktualisieren und sicher zu konfigurieren.