Passwort-Manager
LastPass Datenschutz
Was du über LastPass und deine Daten wissen solltest — verständlich erklärt, mit konkreten Handlungsschritten.
Passwort-Manager
Was du über LastPass und deine Daten wissen solltest — verständlich erklärt, mit konkreten Handlungsschritten.
LastPass (GoTo Inc., US) wurde 2022 zweifach gehackt — im zweiten Angriff entwendeten Angreifer vollständige Backup-Kopien aller verschlüsselten Passwort-Tresore. Wer ein schwaches oder bekanntes Master-Passwort hatte, ist dauerhaft kompromittiert: die Tresore liegen bei den Angreifern und können offline entschlüsselt werden. LastPass hat den Vorfall monatelang verschleiert und kommunikativ schlecht gehandelt.
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Verantwortlicher: LastPass US, LP, Boston, MA, USA (Tochter von GoTo Technologies). Die britische Datenschutzbehörde ICO verhängte im November 2025 ein Bußgeld gegen LastPass UK Ltd. wegen unzureichender technischer und organisatorischer Maßnahmen — betroffen waren über eine Million UK-Nutzer. In den USA einigte sich LastPass 2025/2026 auf einen Sammelklagenvergleich über 24,5 Mio. USD (finale gerichtliche Anhörung: 14. Juli 2026). EU-Standardvertragsklauseln vorhanden, aber faktische Schutzwirkung nach dem Breach und den behördlichen Feststellungen fragwürdig.
Hohes Risiko — Breach 2022, behördlich bestätigt Im August 2022 wurden verschlüsselte Tresordaten sowie unverschlüsselte Metadaten (URLs, Nutzernamen) gestohlen. Angreifer haben die Rohdaten offline geknackt — dokumentierte Kryptowährungs-Diebstähle bei Betroffenen sind Grundlage des laufenden US-Sammelklagenvergleichs (24,5 Mio. USD, davon 16,25 Mio. USD als separater Krypto-Verlust-Fonds). Die britische ICO bestätigte im November 2025 offiziell unzureichende Sicherheitsmaßnahmen. US-Transfer Alle Daten werden in den USA verarbeitet. Kein EU-Rechenzentrum. Mutterkonzern GoTo ebenfalls im selben Breach kompromittiert. Wichtig aktuell: Die rechtliche Grundlage für solche EU-US-Datentransfers wackelt. Ein US-Gerichtsurteil (Juni 2026) hat der US-Aufsichtsbehörde FTC ihre Unabhängigkeit genommen — genau die Unabhängigkeit, auf der das EU-US-Datenschutzabkommen (Data Privacy Framework) aufgebaut ist. Die EU prüft deshalb gerade, ob das Abkommen noch Bestand haben kann. Es gilt aktuell noch, könnte aber fallen.
LastPass US, LP → GoTo Technologies → AWS US. Zahlungsabwicklung Stripe. Marketing-Daten an Drittanbieter laut Datenschutzrichtlinie. Gestohlene Tresordaten seit Aug. 2022 auch bei unbekannten Angreifern — mehrfach für Offline-Angriffe auf schwache Master-Passwörter genutzt.
E-Mail, verschlüsselte Tresordaten, UNVERSCHLÜSSELTE Metadaten (Website-URLs, Nutzernamen, Formularfelder), IP-Adresse, Gerätedaten, Abrechnungsdaten. Kritisch: Die URLs sind im Klartext gespeichert und wurden beim Breach vollständig gestohlen.
Dringende Empfehlung: LastPass verlassen. Migration zu Bitwarden: 1. LastPass → Erweiterte Optionen → Exportieren → CSV exportieren. 2. Bitwarden-Konto anlegen (EU-Server: bitwarden.eu). 3. Bitwarden → Tools → Importieren → LastPass CSV auswählen. 4. Alle Passwörter für kritische Konten (Banking, E-Mail, Social) sofort ändern. 5. LastPass-Konto löschen: Kontoeinstellungen → Mein Konto → Konto löschen. 6. Export-CSV nach dem Import sofort sicher löschen (shred/überschreiben). Betroffen vom Breach 2022? Prüfen, ob eine Benachrichtigung zum US-Sammelklagenvergleich vorliegt — Ansprüche waren bis 2. Juli 2026 einreichbar.
Sofortwechsel zu Bitwarden (Open Source, kostenlos) oder 1Password (kostenpflichtig, bewährt). Alle Passwörter nach dem Export als kompromittiert behandeln und ändern — beginnend mit E-Mail, Banking, Social Media.