Seit dem 13. Juli 2026 läuft eine Phishing-Kampagne, die es gezielt auf die Master-Passwörter von Passwort-Manager-Nutzern abgesehen hat. Betroffen sind Kunden von LastPass und Bitwarden. Das Threat-Intelligence-Team von LastPass hat die Kampagne am selben Tag öffentlich gemacht und stellt klar, dass die eigenen Systeme nicht kompromittiert wurden. Die Angreifer setzen ausschließlich auf gefälschte Absenderdomains und Social Engineering.

Das Master-Passwort ist bei beiden Anbietern der Generalschlüssel zum kompletten Tresor. Wer es preisgibt, verliert im schlimmsten Fall alle darin gespeicherten Zugangsdaten auf einen Schlag.

Wie der Angriff abläuft

Die Angreifer haben Domains registriert, die den echten Anbieter-Adressen ähneln. Für LastPass sind das lastpassnewsletter[.]com als Versanddomain und lastpasscompliance[.]com als Landingpage. Für Bitwarden laufen parallel dieselben Muster über bitwardennewsletter[.]com und bitwardencompliance[.]com. Keine dieser Domains hat etwas mit den jeweiligen Herstellern zu tun.

Die Mails kommen bei LastPass von der Adresse hello@lastpassnewsletter.com und tragen den Betreff Action Required: Review Updated LastPass Security Policies. Inhaltlich imitieren sie eine offizielle Sicherheitsbenachrichtigung: Der Anbieter habe seine Nutzungsbedingungen und Sicherheitsrichtlinien aktualisiert, unter anderem mit erweitertem SaaS-Monitoring, neuen Optionen für das Zurücksetzen von Master-Passwörtern durch Administratoren und Verbesserungen an der Admin-Konsole. Wer den neuen Bedingungen nicht zustimme, verliere angeblich den Zugriff auf seinen Tresor. Diese künstliche Frist ist der klassische Druckhebel dieser Masche.

Ein Button mit der Beschriftung Review & Access Terms führt auf die Compliance-Domain. Dort erwartet die Opfer keine Anmeldemaske, sondern eine Nachbildung der Oberfläche von DocuSign. Die Seite fordert zum Download einer angeblichen DocuSign-Software auf. Microsoft Defender for Office 365 und Cloudflare stufen die Datei und die Seite als bösartig ein, Cloudflare zeigt beim Aufruf eine Phishing-Warnung an. Welche Schadfunktion die Datei genau hat, untersucht LastPass laut eigener Aussage noch.

Bemerkenswert ist die Kombination aus zwei Vertrauensankern. Erst die Marke des Passwort-Managers, dann die Marke eines bekannten Signaturdienstes. Wer den ersten Schritt für echt hält, hinterfragt den zweiten kaum noch.

Wer betroffen ist

Betroffen sind private und geschäftliche Nutzer beider Passwort-Manager, unabhängig vom Tarif. Die Kampagne trifft besonders Unternehmen, in denen LastPass oder Bitwarden zentral ausgerollt sind. Die erfundenen Neuerungen sprechen gezielt Administratoren an, und ein kompromittierter Admin-Zugang wiegt deutlich schwerer als ein einzelner Nutzeraccount.

Auf der Bitwarden-Seite verläuft die Kampagne technisch identisch, nur mit angepasstem Branding. Das spricht dafür, dass die Angreifer ihre Infrastruktur als Baukasten betreiben und weitere Anbieter folgen können.