KIungefiltert

· 4 Min. Lesezeit · Read in English

mSecure: Passwort-Manager rät zum Komplett-Reset und sagt nicht, warum

mSeven meldet „verdächtige Aktivität“ rund um mSecure und rät, Passwörter zu ändern, 2FA neu einzurichten und Passkeys zu entfernen. Was betroffen ist, sagt der Hersteller nicht. Was Nutzer jetzt tun sollten.

Sicherheit

Ein Passwort-Manager, der seinen Kunden rät, im Grunde alles zu ändern, was im Tresor liegt, und dazu keine Gründe nennt: So sieht der Fall mSecure im Moment aus.

Was passiert ist

Am 3. November 2026 hat mSeven Software, der US-Hersteller des Passwort-Managers mSecure, eine E-Mail an aktuelle und ehemalige Kunden verschickt. Laut The Register, dem die Mail vorliegt, hat das Unternehmen „vor Kurzem verdächtige Aktivität“ im Zusammenhang mit der App bemerkt. Es habe eine Untersuchung begonnen, „Schritte zur Eindämmung“ unternommen und externe Sicherheitsfachleute hinzugezogen.

Nutzer sollen „umgehend“ alle vertraulichen Daten schützen, die in mSecure gespeichert sind. Als mögliche Schritte nennt die Mail: Passwörter ändern, Zwei-Faktor-Authentifizierung (2FA, also der zweite Anmeldeschritt per Code oder App) zurücksetzen oder neu einrichten und bestehende Passkeys entfernen. Passkeys sind kryptografische Anmeldeschlüssel, die das Passwort ersetzen.

Was die Mail nicht sagt, ist die längere Liste. Laut The Hacker News und heise fehlen:

  • worin die verdächtige Aktivität bestand und wann sie stattfand,
  • ob sie beendet ist,
  • ob Tresor-Daten oder die Schlüssel dazu betroffen sind,
  • welche Systeme betroffen sind und wie viele Kunden,
  • ob die Sync-Variante (mSecure Cloud, Dropbox, iCloud, WLAN) eine Rolle spielt,
  • ob sich der 2FA- und Passkey-Rat auf das mSecure-Konto bezieht, auf die im Tresor gespeicherten Einträge oder auf beides.

Fragen von The Register hatte mSeven bis zur Veröffentlichung nicht beantwortet. Im Support-Forum fragen Kunden mit 500 oder 800 gespeicherten Passwörtern, ob sie wirklich alle ändern müssen. Eine Antwort gibt es dort bisher nicht.

Was sich seit meinem Post geändert hat

In der Sache nichts. Ich finde bis heute (4. November) keine weitere Stellungnahme des Herstellers, keine CVE und keinen Patch, der mit dem Vorfall zusammenhängt. Eine Präzisierung gegenüber meinem Post: Die Mail formuliert die drei Schritte als Möglichkeiten („may include“), nicht als feste Anweisung. Da niemand sagen kann, welche Einträge gefährdet sind, läuft das praktisch trotzdem auf „alles“ hinaus.

Warum das wichtig ist

mSecure wirbt mit AES-256, Ende-zu-Ende-Verschlüsselung und Zero-Knowledge. Das heißt: Daten werden auf dem Gerät verschlüsselt, der Anbieter soll sie nicht lesen können. Wenn das stimmt, müsste ein Einbruch beim Anbieter für die Tresor-Inhalte weitgehend folgenlos bleiben. heise weist zu Recht darauf hin: Wer nach einem Vorfall beim Anbieter trotzdem zum Komplett-Reset rät, wirft die Frage auf, ob es Schwachstellen in der Verschlüsselung oder Zweitschlüssel gibt.

Dazu kommt ein bekannter Befund. Das BSI hat im Dezember 2025 zehn Passwort-Manager untersucht. Für mSecure 6.1.5 unter Android stellte es fest, dass der Hersteller theoretisch auf gespeicherte Daten zugreifen könnte. Das Gesamtkonzept entspreche nicht den üblichen Erwartungen an Passwort-Manager (test.de). Getestet wurde nur diese Version. Ob das mit dem aktuellen Vorfall zu tun hat, ist offen. Das sollte man nicht vermischen.

Wer betroffen ist

Alle, die mSecure nutzen oder genutzt haben. heise schätzt die Reichweite grob: über 500.000 Installationen bei Google Play, dazu nach den App-Store-Bewertungen grob 250.000 iOS-Nutzer. Wie viele Kunden tatsächlich betroffen sind, weiß man nicht.

Was du jetzt tun solltest

Solange der Hersteller schweigt, würde ich davon ausgehen, dass der Tresor-Inhalt bekannt ist.

  1. Zuerst E-Mail-Konten. Wer dein Postfach hat, kann fast überall Passwörter zurücksetzen. Neues Passwort, 2FA neu einrichten, aktive Sitzungen beenden.
  2. Dann Bank, Zahlungsdienste, Apple-/Google-/Microsoft-Konto, danach alles, was Geld oder Identität betrifft.
  3. 2FA neu einrichten. Wenn TOTP-Codes (die sechsstelligen Codes aus Authenticator-Apps) im Tresor lagen, sind die Geheimnisse dahinter ebenso verdächtig wie die Passwörter.
  4. Passkeys entfernen und neu anlegen, vor allem solche, die in mSecure gespeichert waren.
  5. Restliche Konten nach Wichtigkeit abarbeiten. Bei Hunderten Einträgen ist das mühsam, aber die Reihenfolge schützt das Wichtigste zuerst.
  6. Vorsicht vor Phishing. Eine Vorfallsmeldung ist perfekter Köder für gefälschte „Bitte hier zurücksetzen“-Mails. Logge dich direkt auf den Seiten ein, nicht über Links aus Mails.
  7. Über einen Wechsel nachdenken. Ein Passwort-Manager, der nach einem Vorfall keine Details nennt, verliert das, was er verkauft: Vertrauen. Wer wechselt, sollte die neuen Passwörter direkt im neuen Manager anlegen.

Ich ergänze den Artikel, sobald mSeven mehr sagt.

Quellen