Microsoft Edge lud beim Browserstart sämtliche Passwörter aus dem Passwort-Manager im Klartext in den Prozessspeicher. Nach Medienberichten hat Microsoft das Verhalten mit Version 148 geändert.
Vor rund zwei Wochen wurde bekannt, dass Microsofts Chromium-basierter Browser Edge beim Start alle im Passwort-Manager gespeicherten Zugangsdaten lud und diese im Klartext im Prozessspeicher vorhielt. Heise konnte das Verhalten selbst nachstellen: Ein frisch angelegtes Konto im Passwort-Manager war nach einem Browser-Neustart im Dump des Prozessspeichers im Klartext auffindbar. Entdeckt hatte das Problem der IT-Forscher Tom Jøran Sønstebyseter Rønning. In den Update-Notizen zu Microsoft Edge Version 148.0.3967.70 vom vergangenen Freitag geben die Entwickler an, das Problem behoben zu haben. Ergänzend dazu veröffentlichte Microsoft einen Blog-Post mit weiteren Details.
Microsoft erklärt darin zunächst, dass das ursprüngliche Verhalten nach den bestehenden Kriterien in das erwartete Bedrohungsmodell gepasst habe: Das Risiko entstehe erst, wenn ein Angreifer das Gerät bereits kompromittiert hat. Dennoch sieht das Unternehmen Verbesserungsbedarf und hat als erste Maßnahme das Laden der Passwörter beim Start in den Speicher unterbunden. Die Verteilung des Updates erfolgt priorisiert für Edge Version 148 und neuere Versionen über den regulären Update-Kanal, Nutzer des Edge-Passwort-Managers müssen selbst nichts unternehmen.
Bemerkenswert ist die Selbstkritik am Umgang mit dem Fehlerbericht: Die erste Reaktion auf die Meldung von Rønning orientierte sich an den Standard-Kriterien des Chromium-Projekts, die Microsoft künftig nur als Grundlinie verstehen will. Die eigenen Ansprüche sollen höher liegen. Der Prozess zur Behandlung von Fehlerberichten externer Forscher soll überarbeitet werden, mit stärkerem Fokus auf Geschwindigkeit, Klarheit und einem Defense-in-depth-Ansatz, der früher im Entwicklungsprozess ansetzt.
Für Praktiker bedeutet das konkret: Wer Edge im Unternehmen einsetzt und dessen integrierten Passwort-Manager nutzt, sollte sicherstellen, dass alle Instanzen mindestens auf Version 148 aktualisiert sind. Ein Test mit der aktuellen Version 148.0.3967.70 zeigt, dass die einfache Suche nach Klartext-Passwörtern im Prozessspeicher-Dump nicht mehr erfolgreich ist. Da das Risiko primär bei bereits kompromittierten Geräten relevant war, entschärft das Update vor allem ein Szenario der Rechteausweitung nach initialem Zugriff, etwa durch Malware oder physischen Gerätezugriff.
Microsoft hat mit Edge-Version 148 das Laden von Passwörtern im Klartext in den Prozessspeicher beim Browserstart unterbunden.
Quelle: www.heise.de · Erschienen 18. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.