Sicherheitsrisiko Microsoft Edge?

In Sachen Passwortsicherheit ist Microsoft Edge scheinbar eher minimalistisch gehalten.ShutterPNPhotography / Shutterstock



Ein norwegischer Security-Forscher hat ein Problem im Passwort-Manager von Microsoft Edge aufgedeckt, das besonders für Unternehmen ein ernsthaftes Sicherheitsrisiko darstellen könnte.



So stellte Tom Jøran Sønstebyseter Rønning fest, dass der Microsoft-Browser Passwörter bei Benutzung im Plaintext-Format vorhält. Sprich, diese werden unverschlüsselt abgelegt. Damit stellt in Unternehmensumgebungen potenziell jeder PC ein Risiko dar – insbesondere Rechner, die von mehreren Mitarbeitern genutzt werden.



In einem Beitrag auf X veranschaulicht Rønning, wie Microsoft Edge sich verhält, wenn die Benutzer Passwörter abspeichern. Diese werden demnach beim Start des Browsers entschlüsselt und fortlaufend im Prozessspeicher belassen – unabhängig davon, ob eine Seite besucht wird, auf der die Daten verwendet werden.




Microsoft Edge loads all your saved passwords into memory in cleartext — even when you’re not using them. pic.twitter.com/ci0ZLEYFLB— Tom Jøran Sønstebyseter Rønning (@L1v1ng0ffTh3L4N) May 4, 2026




„Ein Blankoscheck für Infostealer“



Rønnings Befund wurde inzwischen auch von Heise bestätigt, die das dargestellte Problem replizieren konnten. Microsoft reagiert bisweilen eher gelassen auf die Offenlegung. So berichtet das norwegische IT-Portal Itavisen.no, dass Rønning den Konzern zwar über seine Entdeckung informiert habe, diese für Microsoft offenbar aber lediglich ein „beabsichtigtes Verhalten“ darstellt.



David Shipley, CEO von Beauceron Security, zeigt sich irritiert von Microsofts Reaktion: „Nein, es handelt sich hierbei nicht um ein Feature. Das ist nur eine Ausrede, um sich der Verantwortung zu entziehen. Hier geht es um Bequemlichkeit, Geschwindigkeit und darum, zusätzlichen Aufwand zu vermeiden.“



Dass Microsoft Edge Passwörter im Plaintext-Format verwendet, komme einer Einladung an Cyberkriminelle gleich, kritisiert Shipley: „Das ist, als würde man einen Blankoscheck für Infostealer ausstellen.“



Andere Browser sind von dieser Problematik nicht betroffen. Google Chrome bietet beispielsweise ein System namens „App Bound Encryption“, das Browser-Daten verschlüsselt und sicherstellt, dass diese nicht in Plaintext im Speicher abgelegt werden. Zwar ist auch dieses System nicht einhundertprozentig sicher – allerdings braucht es cyberkriminelle Raffinesse, um es zu überwinden. Die Klartext-Passwörter in Edge lassen sich hingegen schon mit mäßigen Kenntnissen extrahieren.



Wenn Google seinen Browser besser absichern könne, so Shipley, gebe es keinen Grund, warum Microsoft dies nicht auch mit Edge tue: „Es handelt sich eindeutig nicht um eine technische Hürde. Vielmehr ist es eine Frage der Motivation. Allerdings sollte das nicht überraschen, schließlich stellt Microsoft seinen Browser kostenlos zur Verfügung. Warum sollten sie sich also damit beschäftigen, ihn über das absolute Minimum hinaus abzusichern?“



Angesichts der Haltung von Microsoft sollten sich (nicht nur) Unternehmen eventuell nach einer Passwort-Manager-Alternative umsehen, die mehr Sicherheit bietet. (fm)



Dieser Artikel ist im Original bei unserer Schwesterpublikation Computerworld.com erschienen.