N-able Passportal: Zahlreiche Unternehmen durch kritisches Passwort-Leck gefährdet

Ein schwerwiegender Vorfall in der IT-Sicherheit

Ein kritischer Sicherheitsmangel in der Lösung Passportal des Herstellers N-able hat für erhebliche Aufmerksamkeit in der IT-Sicherheitsbranche gesorgt. Wie bekannt wurde, wies die Zugriffsverwaltungslösung, die speziell für Unternehmenskunden konzipiert ist, eine gravierende Schwachstelle in ihren Browsererweiterungen für Google Chrome und Microsoft Edge auf. Diese Lücke ermöglichte es potenziellen Angreifern, über manipulierte oder präparierte Webseiten auf die sensiblen, entschlüsselten Inhalte der Passwort-Tresore zuzugreifen, sobald ein Nutzer der betroffenen Erweiterung diese Seiten aufsuchte. Die Tragweite dieses Vorfalls ist immens, da Passwort-Manager als zentrale Instanz für die Sicherheit digitaler Identitäten in Unternehmen fungieren. Ein unbefugter Zugriff auf diese Tresore stellt eine direkte Bedrohung für die gesamte IT-Infrastruktur der betroffenen Organisationen dar. Der Vorfall unterstreicht die Verwundbarkeit weit verbreiteter Sicherheitswerkzeuge, wenn grundlegende architektonische Prinzipien bei der Implementierung nicht konsequent eingehalten werden. Die Entdeckung durch einen externen Experten hat das Problem ans Licht gebracht, bevor es nach aktuellem Kenntnisstand zu einem breiten, böswilligen Missbrauch in großem Stil kommen konnte.

Technische Details und die Schwachstelle CVE-2026-15580

Die als CVE-2026-15580 registrierte Sicherheitslücke erreicht einen kritischen CVSS-Score von 9,4. Verantwortlich für diese Einstufung war laut dem Sicherheitsforscher James Arnott von Bay Area Labs eine unzureichende Absicherung der Schlüssel, die für die Entschlüsselung der serverseitig gespeicherten Passwort-Tresore notwendig sind. Im normalen Betrieb werden die benötigten Zugangsdaten bei Passportal serverseitig entschlüsselt und anschließend an den Client übermittelt. Das hierfür erforderliche Schlüsselmaterial muss jedoch vom Client bereitgestellt werden. Dieses Material war in einem Base64-kodierten Format in ein JWT-Zugriffstoken (JSON Web Token) eingebettet. Ein gravierendes Problem ergab sich daraus, dass dieses Token eine Gültigkeitsdauer von bis zu 100 Tagen aufwies. Noch schwerwiegender war die Tatsache, dass dieses Token von beliebigen Webseiten angefordert werden konnte, die ein Nutzer von Passportal im Browser aufrief. Damit war der Weg frei für Angreifer, die über entsprechende Skripte auf einer Webseite das Token abgreifen und somit die Entschlüsselung der Tresor-Inhalte einleiten konnten. Die technische Umsetzung des Angriffs wurde von Arnott durch einen Proof-of-Concept auf der Plattform Github sowie ein begleitendes Video auf Youtube dokumentiert.

Der Weg zur Entdeckung und die Reaktion des Herstellers

Die Entdeckung der Sicherheitslücke durch James Arnott markierte den Beginn eines intensiven Prozesses zwischen dem Forscher und dem Hersteller N-able. Am 8. Juli 2026 erfolgte die offizielle Meldung der Schwachstelle durch Arnott an das Unternehmen. Die Reaktion von N-able wird in der Branche als vorbildlich eingestuft, da der Hersteller innerhalb von nur 24 Stunden nach der Meldung einen entsprechenden Patch bereitstellte, um die Lücke zu schließen. Diese Geschwindigkeit bei der Fehlerbehebung ist bei komplexen Softwarelösungen für Unternehmen keineswegs selbstverständlich. Arnott betonte in seinem Bericht ausdrücklich die hervorragende und kooperative Zusammenarbeit mit N-able während des gesamten Prozesses. Er hob hervor, dass die Kommunikation und die Reaktionszeit des Herstellers deutlich über dem lagen, was er bei anderen Anbietern in der Vergangenheit erlebt habe. N-able selbst äußerte sich in einer Stellungnahme gegenüber dem Nachrichtenportal Darkreading eher knapp zu dem Vorfall. Das Unternehmen betonte lediglich sein fortwährendes Engagement für die Sicherheit und Integrität von Passportal und erklärte, dass man kontinuierlich weitere Maßnahmen zur Absicherung der Plattform prüfe, um die Widerstandsfähigkeit gegen künftige Angriffe zu erhöhen.

Akteure und die Rolle der Sicherheitsforschung

Im Zentrum dieses Vorfalls stehen vor allem zwei Parteien: der Sicherheitsforscher James Arnott von den Bay Area Labs als Entdecker der Schwachstelle und das Unternehmen N-able als Hersteller der betroffenen Softwarelösung. Arnott übernahm die Rolle des verantwortungsbewussten Melders, der die kritische Lücke identifizierte und den Hersteller informierte, anstatt die Schwachstelle sofort für böswillige Zwecke auszunutzen. Seine Expertise im Bereich der Browsererweiterungen und der Kryptografie war entscheidend, um das Ausmaß der Gefahr zu verdeutlichen, die er als die schwerwiegendste einstufte, die er je bei einem Passwort-Manager beobachtet hat. Auf der anderen Seite steht N-able, ein Anbieter von IT-Management-Lösungen, dessen Produkt Passportal nun unter besonderer Beobachtung steht. Durch die schnelle Reaktion auf den Hinweis von Arnott konnte das Unternehmen Schlimmeres verhindern und das Vertrauen der Unternehmenskunden zumindest kurzfristig stabilisieren. Dennoch bleibt das Unternehmen in der Pflicht, da die Kritik an der grundlegenden Architektur des Passwort-Managers durch Arnott weiterhin im Raum steht und von Experten sowie Kunden kritisch verfolgt wird.

Einordnung der Sicherheitsarchitektur

Einzuordnen ist dieser Vorfall als ein klassisches Beispiel für die Risiken, die entstehen, wenn sensible kryptografische Schlüssel über unsichere Kanäle oder mit zu weitreichenden Berechtigungen gehandhabt werden. Den Berichten zufolge wurde durch den Patch zwar das unmittelbare Einfallstor geschlossen, indem sichergestellt wurde, dass nur die offiziellen Browsererweiterungen von Passportal das Zugriffstoken mit dem Schlüsselmaterial abfragen können. Dennoch bleibt eine grundlegende architektonische Debatte bestehen. Arnott vertritt die Auffassung, dass die aktuelle Architektur des Passwort-Managers trotz des Patches weiterhin als unsicher anzusehen ist. Er empfiehlt N-able dringend, auf eine echte Ende-zu-Ende-Verschlüsselung (E2EE) umzustellen. Bei einem solchen Modell würden Passwörter ausschließlich clientseitig entschlüsselt, was das Risiko eines serverseitigen Abgriffs oder einer Manipulation bei der Übertragung minimieren würde. Arnott räumt ein, dass eine solche Umstellung für den Hersteller mühsam und zeitaufwendig sei, hält sie jedoch für zwingend notwendig, um das Vertrauen in die Sicherheit der Lösung langfristig zu rechtfertigen. Solange eine solche architektonische Überarbeitung nicht erfolgt, spricht Arnott eine klare Empfehlung gegen die Nutzung des Passwort-Managers aus.

Offene Fragen und verbleibende Unsicherheiten

Trotz der schnellen Behebung der Sicherheitslücke durch den Patch bleiben einige Fragen offen, die der vorliegende Quelltext nicht beantwortet. Es ist beispielsweise nicht explizit geklärt, ob die Schwachstelle vor der Entdeckung durch Arnott bereits von Dritten aktiv ausgenutzt wurde. Ebenso fehlen Informationen darüber, wie viele Unternehmen oder Nutzer tatsächlich von der Lücke betroffen waren und ob es Hinweise auf einen tatsächlichen Datenabfluss gab. Auch die konkreten internen Schritte, die N-able nun unternimmt, um die von Arnott geforderte Ende-zu-Ende-Verschlüsselung zu implementieren oder die Architektur grundlegend zu modernisieren, bleiben unklar. Es ist nicht bekannt, ob der Hersteller die Kritik an der Architektur teilt oder ob er die aktuelle Implementierung weiterhin für ausreichend hält, sofern die Zugriffskontrollen für die Tokens verschärft wurden. Die langfristige Strategie von N-able bezüglich der Sicherheit von Passportal bleibt somit ein Punkt, der für die Anwender von großem Interesse ist, aber bisher nicht detailliert kommuniziert wurde. Auch die Frage, ob es weitere Schwachstellen in der Architektur gibt, die bisher unentdeckt blieben, kann auf Basis der vorliegenden Informationen nicht beantwortet werden.