Microsoft Edge lädt alle Passwörter als Klartext im Speicher

Microsoft Edge ist auf allen Windows-Geräten vorinstalliert. Die Imageprobleme seines Vorgängers Internet Explorer konnte Microsoft auch mit dem neuen Browser-Flaggschiff nicht ganz loswerden. Ein Sicherheitsforscher hat nun sogar Haarsträubendes aufgedeckt: Der Browser soll demnach alle Passwörter im Klartext in den Arbeitsspeicher laden.

„Wenn Sie Passwörter in Edge speichern, entschlüsselt der Browser beim Start alle Anmeldeinformationen und speichert sie im Arbeitsspeicher. Dies geschieht selbst dann, wenn Sie keine Website besuchen, die diese Anmeldeinformationen verwendet“, behauptet der norwegische Sicherheitsforscher Tom Jøran Sønstebyseter Rønning auf X. „Wenn ein Angreifer Administratorrechte auf einem Terminalserver erlangt, kann er auf den Speicher aller angemeldeten Benutzerprozesse zugreifen.“ Denkbar wäre auch, dass etwa schädliche Browser-Erweiterungen die Passwörter so abgreifen können.

Edge basiert wie Google Chrome, Opera und Brave auf der Chromium-Architektur. Aber der Microsoft-Browser dürfte bislang der Einzige sein, der Passwörter so behandelt. Google Chrome lädt etwa Passwörter nur dann im Klartext in den Arbeitsspeicher, wenn ein Passwort-Fenster zum Ausfüllen erscheint oder der User sie direkt abruft.

Microsoft schiebt Verantwortung auf Nutzer 

Im Arbeitsspeicher sind die Passwörter nicht vor unrechtmäßigen Zugriffen geschützt, weshalb sie dort nicht ständig im Klartext zu jeder Zeit vorliegen sollten. Microsoft selbst hält seinen Browser aber nicht für das Problem, wie es Windows Central mitteilt. Es sei nur dann ein Problem, wenn das Gerät an sich gehackt wurde.

Die Klartextspeicherung scheint sogar beabsichtigt: Statt das Problem zu beheben, schiebt Microsoft die Verantwortung auf die Nutzer: „Wir empfehlen Nutzern, die neuesten Sicherheitsupdates und Antivirensoftware zu installieren, um sich vor Sicherheitsbedrohungen zu schützen“, heißt es im Statement.

Microsoft scheint also von der Klartextspeicherung zu wissen und hat offenbar auch nicht vor, etwas daran zu ändern. Das heißt aber auch: Wer seine Passwörter schützen will, sollte sie besser nicht direkt in Edge speichern. Eine Alternative sind etwa externe Passwortmanager wie das quelloffene KeePass oder Bitwarden.