Ist LastPass 2026 sicher? Nach den Datenlecks - ehrliches Urteil

„Ist LastPass sicher?" ist 2026 eine berechtigte Frage, denn die ehrliche Antwort ist von einem realen Ereignis geprägt: dem Datenleck von 2022. LastPass funktioniert weiterhin und wurde seither gehärtet, aber sein Vertrauen erlitt einen schweren Schlag und viele Nutzer wanderten ab. Dieser Leitfaden erklärt, was tatsächlich geschah, wo die Verschlüsselung hielt und wo nicht, und ob man bleiben oder wechseln sollte - sachlich, ohne Übertreibung.

Wenn Sie die Bilanz von LastPass beunruhigt, vergleichen Sie ihn direkt in Bitwarden vs LastPass.

Die kurze Antwort

• LastPass verschlüsselt deinen Tresor und unterstützt 2FA - es ist heute nicht „kaputt".
• Aber 2022 stahlen Angreifer verschlüsselte Tresor-Backups + Kunden-Metadaten.
• Master-Passwörter wurden nicht gestohlen, also hielt ein starkes, einzigartiges Master-Passwort die Tresore sicher - schwache konnten offline aus den gestohlenen Kopien per Brute-Force geknackt werden.
• Das Vertrauen wurde beschädigt; viele Nutzer wechselten vernünftigerweise.

„Sicher" hängt also stark von der Stärke deines Master-Passworts ab und davon, ob du nach dem Datenleck gehandelt hast.

Was 2022 geschah (sachlich)

Angreifer verschafften sich Zugang zu LastPass-Systemen und entwendeten Backups von Kunden-Tresordaten und Konto-Metadaten (einschließlich gespeicherter URLs). Die geheimen Felder in den Tresoren waren mit deinem Master-Passwort verschlüsselt, das LastPass nicht speichert - die Verschlüsselung wurde also nicht direkt überwunden. Die echte Gefahr: Wer eine gestohlene Tresor-Kopie besitzt, kann Offline-Brute-Force versuchen, was gegen ein schwaches oder wiederverwendetes Master-Passwort machbar ist. Daher die Empfehlung nach dem Vorfall: das Master-Passwort ändern und gespeicherte Zugangsdaten rotieren.

Hat es deine Passwörter offengelegt?

Nicht direkt, wenn dein Master-Passwort stark und einzigartig war. Aber weil die Angreifer Offline-Kopien unbegrenzt halten, blieben schwache Master-Passwörter mit der Zeit gefährdet, und unverschlüsselte Metadaten (wie URLs) wurden offengelegt. Wenn du betroffen warst, behandle hochwertige gespeicherte Passwörter (E-Mail, Banking, Krypto) als potenziell gefährdet und rotiere sie - siehe was nach einem Datenleck zu tun ist für die vollständige Reaktion.

Warum ein gestohlener Tresor gefährlich ist: Offline-Brute-Force

Wenn Angreifer eine Kopie deines verschlüsselten Tresors haben, gibt es keinen Server, der sie ausbremst oder aussperrt - sie können dein Master-Passwort offline erraten, so schnell ihre Hardware es erlaubt, so lange sie wollen. Zwei Dinge entscheiden, ob das gelingt:

• Stärke des Master-Passworts. Ein kurzes oder wiederverwendetes Passwort fällt schnell einer Wörterliste oder einem Brute-Force-Lauf zum Opfer; eine lange, zufällige Passphrase ist praktisch unerreichbar.
• Iterationen der Schlüsselableitung (PBKDF2). Ein Passwortmanager streckt dein Master-Passwort über viele Hashing-Runden, damit jeder Versuch teuer ist. Ältere LastPass-Konten waren mit weit weniger Iterationen konfiguriert, als aktuell empfohlen wird, was den Offline-Widerstand schwächt. Wenn du geblieben bist, öffne die Sicherheitseinstellungen, erhöhe die Iterationszahl auf den aktuellen Standardwert und ändere dann das Master-Passwort, damit es mit der stärkeren Einstellung neu verschlüsselt wird.

Deshalb ist die Empfehlung nach dem Vorfall keine Paranoia: Ein gestohlener Tresor plus ein schwaches Master-Passwort ist eine Kompromittierung in Zeitlupe.

Bleiben oder wechseln?

• Wenn du bleibst: Stelle ein langes, einzigartiges Master-Passwort sicher, aktiviere 2FA und bestätige, dass du wichtige Zugangsdaten seit 2022 rotiert hast.
• Wenn du wechselst: Auditierte Zero-Knowledge-Manager ohne vergleichbaren Vorfall sind stark - siehe die besten LastPass-Alternativen 2026 und sind Passwortmanager sicher.

Dies ist eine Entscheidung über Vertrauen und Risikobereitschaft, keine Behauptung, dass LastPass heute unbrauchbar sei.

Ein sichereres Setup, egal was du wählst

• Ein starkes, einzigartiges Master-Passwort (eine Passphrase) - siehe was ist eine Passphrase.
• 2FA auf dem Tresor: Authenticator-App oder Hardware-Schlüssel - siehe beste Authenticator-Apps.
• Einzigartige Passwörter pro Seite, vom Manager erzeugt, sodass ein Datenleck nie kaskadiert.

Auditierte Zero-Knowledge-Optionen - NordPass, Bitwarden, 1Password, Proton Pass - passen alle zu diesem Modell.

Wenn du LastPass genutzt hast: deine Checkliste

Egal ob du bleibst oder gehst, tu das jetzt - eine gestohlene Tresor-Kopie von 2022 existiert noch irgendwo:

1. Ändere dein Master-Passwort zu einer langen, einzigartigen Passphrase (dies verschlüsselt den Tresor neu).
2. Erhöhe die PBKDF2-Iterationszahl auf den aktuellen Standardwert in den Sicherheitseinstellungen.
3. Aktiviere 2FA für den Tresor - eine Authenticator-App oder einen Hardware-Schlüssel.
4. Rotiere hochwertige Zugangsdaten zuerst - E-Mail, Banking, Krypto, dann alles Wiederverwendete.
5. Beim Wechsel: Exportiere deinen Tresor, importiere ihn in einen auditierten Zero-Knowledge-Manager, lösche dann den LastPass-Tresor und das Konto.

Arbeite von oben nach unten nach Wert; du musst nicht alles auf einmal rotieren, aber erledige die kritischen Konten heute.

Das Fazit

LastPass ist 2026 nutzbar, aber vertrauensbeschädigt: Es verschlüsselt Tresore und unterstützt 2FA, doch der Diebstahl verschlüsselter Tresor-Backups 2022 bedeutet, dass die Sicherheit von einem starken Master-Passwort und davon abhängt, ob seither Zugangsdaten rotiert wurden. Bleiben ist mit einem starken Master-Passwort und 2FA vertretbar; der Wechsel zu einem auditierten Zero-Knowledge-Manager mit sauberer Bilanz ist die Wahl, die viele trafen, und absolut vernünftig. So oder so sind eine lange Master-Passphrase plus 2FA nicht verhandelbar.

Redaktionelle Bewertung auf Basis des öffentlich dokumentierten LastPass-Datenlecks von 2022 (verschlüsselte Tresor-Backups und Metadaten entwendet; Master-Passwörter nicht gespeichert) und des standardmäßigen Zero-Knowledge-Modells der Alternativen. Wir nennen die Fakten des Vorfalls klar und ohne Übertreibung. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann anfallen, ohne Mehrkosten für dich.