Der Passwortmanager LastPass ist erneut Schlagzeilen wert, allerdings nicht wegen eines direkten Angriffs auf die eigene Infrastruktur. Über den Marktanalyse-Dienstleister Klue haben Angreifer Kundendaten aus dem Salesforce-System von LastPass erbeutet. Die verschlüsselten Passwort-Tresore der Nutzer sind nach Unternehmensangaben nicht betroffen.

Was ist passiert

Klue ist eine Plattform für Marktanalysen, die Vertriebsteams vieler Unternehmen einsetzen, unter anderem auch das von LastPass. Die Plattform integriert sich dafür über OAuth-Tokens in die CRM-Systeme ihrer Kunden, etwa Salesforce und Gong. Laut Klue-CEO Jason Smith stellte das Unternehmen am 12. Juni 2026 unautorisierte Aktivitäten in der eigenen Infrastruktur fest. Die Erpressergruppe Icarus nutzte dafür eine alte, kompromittierte Zugangsdaten eines Integrationsdienstes, um sich Zugriff zu verschaffen und daraus OAuth-Tokens für zahlreiche Klue-Kunden zu erzeugen.

Mit diesen Tokens griffen die Angreifer direkt auf die verbundenen Salesforce-Instanzen zu und zogen per automatisierten Skripten Daten in großem Umfang ab, ohne die Zielunternehmen selbst direkt anzugreifen. LastPass bestätigte, dass die Angreifer auf diesem Weg Namen, Telefonnummern, E-Mail-Adressen, Postanschriften sowie Support-Fall-Daten und vertriebsbezogene Informationen aus der eigenen Salesforce-Umgebung entwendeten. Die eigentlichen Produkte, Dienste und die technische Infrastruktur von LastPass blieben nach eigenen Angaben unberührt, ebenso die verschlüsselten Passwort-Tresore der Nutzer. Es gibt laut LastPass auch keine Hinweise darauf, dass Daten aus dem Kommunikationsdienst Gong, etwa aufgezeichnete Kundengespräche, eingesehen wurden.

LastPass ist bei weitem nicht das einzige betroffene Unternehmen. Auch Recorded Future, Tanium, Jamf, Sprout Social, Gong, Insurity, HackerOne, Huntress, Snyk, OneTrust, 8×8, Pendo und BeyondTrust haben Auswirkungen des Klue-Vorfalls bestätigt. Auf der Tor-Leak-Seite von Icarus tauchten laut SecurityWeek zudem weitere Firmen auf, die den Vorfall bislang nicht öffentlich gemacht hatten, was die Gesamtzahl der Betroffenen nach Einschätzung von SecurityWeek auf rund 15 Organisationen bringt.

Reaktion und Risiko für Nutzer

LastPass hat den Zugang der Klue-Mitarbeiter zu eigenen Systemen gesperrt, die kompromittierten API- und OAuth-Zugangsdaten ausgetauscht, Strafverfolgungsbehörden informiert und externe Forensiker eingeschaltet. Salesforce und Gong haben ihrerseits die Integration mit Klue deaktiviert.

Auch wenn keine Passwort-Tresore betroffen sind, sind die erbeuteten Daten alles andere als harmlos. Name, Adresse, Telefonnummer und der Inhalt eines konkreten Support-Falls sind ideales Material für gezieltes Phishing. Eine Mail, die sich exakt auf ein zuvor offenes Ticket bezieht, wirkt deutlich glaubwürdiger als eine zufällige Massen-Phishing-Nachricht. LastPass warnt deshalb ausdrücklich vor betrügerischen Nachrichten, die bestimmte externe Absender-Domains nutzen, und betont, dass niemand vom Unternehmen jemals nach dem Master-Passwort fragen wird.

Der Vorfall reiht sich in eine wachsende Liste von Sicherheitsproblemen rund um Passwortmanager in diesem Jahr ein. Erst im Juni hatte Dashlane offengelegt, dass Angreifer die Zwei-Faktor-Authentifizierung des Dienstes per Brute-Force überwanden und verschlüsselte Tresore von weniger als 20 Konten herunterluden. LastPass selbst war 2022 bereits direkt Ziel eines Angriffs, bei dem die komplette Tresor-Datenbank der Kunden gestohlen wurde, was später mit Kryptodiebstählen in Verbindung gebracht wurde.

Warum das relevant ist

Der Vorfall zeigt ein strukturelles Problem moderner Software-Lieferketten. OAuth-Tokens sollen eigentlich begrenzten, jederzeit widerrufbaren Zugriff ohne Weitergabe von Passwörtern ermöglichen. Hält ein einzelner Dienstleister wie Klue jedoch Tokens für Dutzende Unternehmenskunden, reicht die Kompromittierung dieses einen Anbieters aus, um auf einen Schlag Zugriff auf alle angebundenen Systeme zu erhalten. Die Angriffsfläche liegt damit nicht mehr nur in der eigenen Sicherheitsarchitektur, sondern in der schwächsten Stelle der gesamten Anbieterkette.