KeePass war (und ist immer noch) eine solide Empfehlung zur Passwortverwaltung, aber da es sich um ein Open-Source-Projekt handelt, sind im Laufe der Zeit sehr interessante alternative Clients entstanden – einer davon ist KeePassXC. Dieses Programm kann nicht nur mit KeePass 2.x kompatible Datenbanken öffnen, sondern bietet auch andere Sicherheitsoptionen, die einen genaueren Blick wert sind.
Passwortmanager durchleben gerade keine gute Zeit, und der Grund ist offensichtlich: Sie sind bevorzugte Ziele für viele böswillige Elemente da draußen. Doch die Geschichte von heute beginnt mit der Veröffentlichung von CVE-2023-24055 – einer Schwachstelle, die mit KeePass 2.53 und früheren Versionen in Verbindung steht. Wie funktioniert die Schwachstelle? KeePass verfügt über ein System von Triggern – das es dem Benutzer ermöglicht, bestimmte Aktionen zu automatisieren. Mit den Standardparametern kann ein Angreifer mit direktem Schreibzugriff auf die Konfigurationsdatei von KeePass einen Trigger programmieren, sodass die Zugangsdaten der Datenbank im Klartext und im Hintergrund ohne Bestätigung des Benutzers exportiert werden… sobald die Datenbank geöffnet wird.
Aber der eigentliche Konflikt entstand, weil Dominik Reichl, der Entwickler von KeePass, nicht nur beschloss, die Gültigkeit des CVE anzufechten, sondern auch das Äquivalent zu einem 'Won't fix' erklärte. Warum? Aus seiner Sicht ist das System bereits kompromittiert, wenn ein Angreifer diese Zugriffsebene hat, und er kann viel Schlimmeres tun. Die Debatte im offiziellen KeePass-Forum ist faszinierend, mit sehr starken Argumenten von beiden Seiten, aber die eigentliche Frage ist: Was kann der Benutzer tun? Im Allgemeinen werden drei Wege genannt: auf KeePass 1.4x zurückwechseln, das kein Triggersystem hat, Härtung von KeePass mit einer statischen Konfigurationsdatei durchführen oder einen alternativen Client wie KeePassXC suchen.
KeePassXC: Passwortmanager kompatibel mit KeePass
KeePassXC präsentiert sich als Community-Fork von KeePassX, der wiederum ein plattformübergreifender Port von KeePass ist. Da es nicht so stark vom offiziellen Client abhängt, lässt KeePassXC sowohl das Triggersystem als auch die Plugin-Unterstützung außen vor, was seine Entwickler entschieden ablehnen. Das Programm ist in mehreren Formaten erhältlich, von traditionellen und Legacy-Installern (für Windows 7 und 8.x) bis hin zum Windows Store und dem Zugriff über Chocolatey/Winget.
Eine der ersten Dinge, die mich an KeePassXC überraschten (was aber Sinn ergibt) ist das Blockieren von Screenshots. Die Bilder, die du hier siehst, waren nur möglich, nachdem ich den Parameter --allow-screencapture zur Verknüpfung hinzugefügt hatte. Zum Zweiten reicht es nicht, das Datenbankpasswort einzugeben: Auch das Passwort oder die PIN des Benutzerprofils unter Windows wird abgefragt, bevor die Datenbank geöffnet wird. Und schließlich habe ich eine moderne Oberfläche mit Unterstützung für den Dunkelmodus und Funktionen gefunden, die dem Original-Client in nichts nachstehen.
Wenn es noch ein Detail hervorzuheben gibt, dann ist es, dass die Update-Zyklen von KeePassXC nicht so häufig sind wie bei KeePass, aber da es sich um verschiedene Projekte handelt, müssen sie das auch nicht sein. Persönlich werde ich KeePassXC vermutlich für ein paar Wochen verwenden. Sollte sich die Situation bei KeePass in eine negativere Richtung entwickeln, haben wir hier definitiv einen guten Ersatz.
Offizielle Website und Download: Klicke hier
