Passwort-Manager
LastPass Datenschutz
Was du über LastPass und deine Daten wissen solltest — verständlich erklärt, mit konkreten Handlungsschritten.
Passwort-Manager
Was du über LastPass und deine Daten wissen solltest — verständlich erklärt, mit konkreten Handlungsschritten.
LastPass (GoTo Inc., US) wurde 2022 zweifach gehackt — im zweiten Angriff entwendeten Angreifer vollständige Backup-Kopien aller verschlüsselten Passwort-Tresore. Wer ein schwaches oder bekanntes Master-Passwort hatte, ist dauerhaft kompromittiert: die Tresore liegen bei den Angreifern und können offline entschlüsselt werden. LastPass hat den Vorfall monatelang verschleiert und kommunikativ schlecht gehandelt.
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Verantwortlicher: LastPass US, LP, Boston, MA, USA (Tochter von GoTo Technologies). Die britische Datenschutzbehörde ICO verhängte im November 2025 ein Bußgeld gegen LastPass UK Ltd. wegen unzureichender technischer und organisatorischer Maßnahmen — betroffen waren über eine Million UK-Nutzer. In den USA einigte sich LastPass 2025/2026 auf einen Sammelklagenvergleich über 24,5 Mio. USD (finale gerichtliche Anhörung: 14. Juli 2026). EU-Standardvertragsklauseln vorhanden, aber faktische Schutzwirkung nach dem Breach und den behördlichen Feststellungen fragwürdig.
Hohes Risiko — Breach 2022, behördlich bestätigt Im August 2022 wurden verschlüsselte Tresordaten sowie unverschlüsselte Metadaten (URLs, Nutzernamen) gestohlen. Angreifer haben die Rohdaten offline geknackt — dokumentierte Kryptowährungs-Diebstähle bei Betroffenen sind Grundlage des laufenden US-Sammelklagenvergleichs (24,5 Mio. USD, davon 16,25 Mio. USD als separater Krypto-Verlust-Fonds). Die britische ICO bestätigte im November 2025 offiziell unzureichende Sicherheitsmaßnahmen. US-Transfer Alle Daten werden in den USA verarbeitet. Kein EU-Rechenzentrum. Mutterkonzern GoTo ebenfalls im selben Breach kompromittiert. Wichtig aktuell: Die rechtliche Grundlage für solche EU-US-Datentransfers wackelt. Ein US-Gerichtsurteil (Juni 2026) hat der US-Aufsichtsbehörde FTC ihre Unabhängigkeit genommen — genau die Unabhängigkeit, auf der das EU-US-Datenschutzabkommen (Data Privacy Framework) aufgebaut ist. Die EU prüft deshalb gerade, ob das Abkommen noch Bestand haben kann. Es gilt aktuell noch, könnte aber fallen.
LastPass US, LP → GoTo Technologies → AWS US. Zahlungsabwicklung Stripe. Marketing-Daten an Drittanbieter laut Datenschutzrichtlinie. Gestohlene Tresordaten seit Aug. 2022 auch bei unbekannten Angreifern — mehrfach für Offline-Angriffe auf schwache Master-Passwörter genutzt.
E-Mail, verschlüsselte Tresordaten, UNVERSCHLÜSSELTE Metadaten (Website-URLs, Nutzernamen, Formularfelder), IP-Adresse, Gerätedaten, Abrechnungsdaten. Kritisch: Die URLs sind im Klartext gespeichert und wurden beim Breach vollständig gestohlen.
Die genannten Risiken sind erheblich — bei LastPass empfiehlt sich ein bewusster Umgang oder eine Alternative. Sofortwechsel zu Bitwarden (Open Source, kostenlos) oder 1Password (kostenpflichtig, bewährt). Alle Passwörter nach dem Export als kompromittiert behandeln und ändern — beginnend mit E-Mail, Banking, Social Media.