Geschäftsführer und IT-Verantwortliche sollten jetzt handeln
Passwort-Manager gehören in Unternehmen längst zum Standard. Sie vereinfachen die Passwortverwaltung und erhöhen die Sicherheit. Eine neue Angriffsmethode, das DOM-based Extension Clickjacking, stellt genau diese Sicherheit infrage.
Millionen Nutzer, darunter auch Ihre Mitarbeiter, können dabei unbemerkt sensible Login-Daten preisgeben.
Angreifer bekommen dann unbefugten Zugriff auf Geschäftskonten, CRM-Systeme oder Cloud-Dienste.
„Ein einziger Klick kann ausreichen, um Login-Daten, Kreditkarteninformationen oder sogar Zwei-Faktor-Codes preiszugeben.“
(Marek Tóth, Sicherheitsforscher, 2025)
So funktioniert DOM-based Extension Clickjacking
Beim Clickjacking legen Angreifer unsichtbare Elemente über eine Webseite. Die Nutzer glauben, auf einen harmlosen Button zu klicken, und lösen damit im Hintergrund eine Aktion aus.
Die DOM-basierte Variante geht einen Schritt weiter:
Angreifer manipulieren das Document Object Model (DOM) einer Webseite, also ihre innere Struktur.
Sie platzieren unsichtbare Eingabefelder (opacity:0, z-index-Overlays).
Ein Klick auf ein Cookie-Banner oder Captcha löst dann das Autofill im Passwort-Manager aus.
Alle 11 getesteten Passwort-Manager waren anfällig
Tóth hat 11 populäre Erweiterungen getestet, und keine davon war sicher. Darunter sind:
1Password, Bitwarden, LastPass, iCloud Passwords, Enpass
Keeper, Dashlane, NordPass, ProtonPass, RoboForm, KeePassXC-Browser
Patch-Status (Stand: August 2025)
Behoben: Dashlane, Keeper, NordPass, ProtonPass, RoboForm
Noch betroffen: 1Password, Bitwarden (≤2025.8.0), LastPass, iCloud Passwords, Enpass (≤6.11.5), KeePassXC-Browser (≤1.9.9.2)
Diese Daten stehen auf dem Spiel
Unternehmens-Logins (ERP, CRM, Cloud)
Kreditkartendaten
TOTP-2FA-Codes
Persönliche Daten von Mitarbeitern und Kunden
Über einen einzigen kompromittierten Mitarbeiterzugang können Angreifer direkt in Kundendatenbanken, das Rechnungswesen oder Cloud-Speicher gelangen.
Mit fünf Schritten schützen Sie Ihr Unternehmen
Deaktivieren Sie die Autofill-Funktion bei allen Mitarbeitern und geben Sie das zentral vor.
Führen Sie ein Security-Awareness-Training durch, damit Ihre Mitarbeiter unsichtbare Angriffe kennen.
Spielen Sie Software-Updates regelmäßig ein und überwachen Sie den Patch-Status der eingesetzten Tools.
Stärken Sie den Zero-Trust-Ansatz. Auch mit kompromittierten Credentials darf kein direkter Systemzugriff möglich sein.
Bereiten Sie einen Notfallplan vor und legen Sie Prozesse für Credential-Leaks fest.
IT-Security gehört auf die Agenda der Unternehmensführung
DOM-based Extension Clickjacking zeigt, dass auch etablierte Sicherheitstools verwundbar sind.
Für Geschäftsführer heißt das, dass IT-Security auf die Agenda der Unternehmensführung gehört und nicht allein Sache der IT-Abteilung ist. Als ersten Schritt empfehlen wir, die Autofill-Funktion zentral abzuschalten und den Patch-Status Ihrer Passwort-Manager zu prüfen.
„Sicherheit ist kein Zustand, sondern ein Prozess.“
(Marek Tóth, 2025)
Quelle: Marek Tóth, DOM-based Extension Clickjacking: Your Password Manager Data at Risk, 2025
