mSecure: Hersteller rät nach Vorfall, alle gespeicherten Daten abzusichern
mSeven Software hat am 3. November 2026 Kunden des Passwort-Managers mSecure per E-Mail vor verdächtigen Aktivitäten gewarnt und rät, alle in mSecure gespeicherten vertraulichen Daten sofort abzusichern, etwa durch neue Passwörter, neu eingerichtete Zwei-Faktor-Verfahren oder das Entfernen von Passkeys. Details zum Vorfall nennt der Hersteller bisher nicht.
Der Hersteller des Passwort-Managers mSecure, mSeven Software, hat am 3. November 2026 aktuelle und ehemalige Kunden per E-Mail vor „verdächtigen Aktivitäten“ im Zusammenhang mit der App gewarnt. mSeven empfiehlt darin, alle in mSecure gespeicherten vertraulichen Daten sofort abzusichern. Dazu könne gehören, Passwörter zu ändern, Zwei-Faktor-Verfahren zurückzusetzen oder neu einzurichten oder vorhandene Passkeys zu entfernen. Was genau passiert ist, sagt der Hersteller nicht.
Betroffen sind alle, die mSecure nutzen oder genutzt haben, auch Firmen, in denen Mitarbeitende Zugänge darin ablegen. Hinweise auf weitere Anbieter gibt es bisher nicht. Weil der Hersteller selbst rät, sofort alle gespeicherten Daten abzusichern, ist das keine Aufgabe für das nächste Wartungsfenster.
Was ist passiert?
Laut der E-Mail, die The Register zitiert und heise wiedergibt und deren Wortlaut Empfänger auch im Supportforum des Herstellers veröffentlicht haben, hat mSeven verdächtige Aktivitäten bemerkt, eine Untersuchung begonnen, Schritte zur Eindämmung eingeleitet und externe Sicherheitsfachleute hinzugezogen. Angesichts möglicher Folgen für die Sicherheit solle man alle in mSecure gespeicherten Informationen schützen. Ob Angreifer auf Kundendaten oder Tresore zugegriffen haben, wann das geschah und welche Systeme betroffen sind, steht nicht in der Mitteilung.
Eine öffentliche Erklärung auf der Website oder im Supportbereich von mSecure gab es bis zum 3. November gegen 19 Uhr nicht, öffentlich bestätigt hat mSeven die E-Mail damit auch nicht. Im Supportforum fragen zahlreiche Kunden nach Details, eine offizielle Antwort stand dort bis dahin aus. Auch Anfragen von The Register blieben laut dem Bericht unbeantwortet.
Wer ist betroffen?
Die E-Mail ging nach Angaben von mSeven an aktuelle und ehemalige Kunden. Kunden fragen im Forum, ob nur Daten in der Cloud-Synchronisation des Herstellers gefährdet sein könnten oder auch lokal gespeicherte Tresore, und ob sich die Empfehlung zu Zwei-Faktor-Verfahren und Passkeys auf den mSecure-Zugang oder auf alle darin gespeicherten Konten bezieht. Eine Antwort darauf gibt es nicht. Laut heise kommt die Android-App im Play Store auf mehr als 500.000 Installationen.
Wie kritisch ist das?
Gesichert ist nur die Warnung selbst, nicht der Umfang des Vorfalls. Der Rat, alle gespeicherten Daten abzusichern, bis hin zu Zwei-Faktor-Geheimnissen und Passkeys, ist aus unserer Sicht aber der weitreichendste, den ein Passwort-Manager-Anbieter geben kann. heise weist darauf hin, dass mSeven in den App-Stores mit Ende-zu-Ende-Verschlüsselung und Zero-Knowledge-Architektur wirbt, und erinnert daran, dass das BSI 2025 bei mSecure einen theoretisch möglichen Herstellerzugriff bemängelt hatte. Ob das mit dem aktuellen Vorfall zusammenhängt, ist nicht bekannt. Bis mSeven mehr mitteilt, sollten Betroffene davon ausgehen, dass gespeicherte Inhalte offenliegen könnten.
Was sollten Admins jetzt tun?
- Inventar: klären, wer im Unternehmen mSecure nutzt oder genutzt hat, auch privat für Firmenzugänge.
- Priorität: zuerst Zugänge zu E-Mail, Identitätsanbietern, Admin-Konten, Banking, Domains und Hosting ändern, dann den Rest.
- Zwei-Faktor: TOTP-Geheimnisse, die in mSecure liegen, neu einrichten und möglichst in einer getrennten Authenticator-App oder auf Hardware-Schlüsseln ablegen.
- Passkeys: in mSecure gespeicherte Passkeys beim jeweiligen Dienst entfernen und neu anlegen.
- Phishing: mit gefälschten „mSecure-Sicherheitsmails“ rechnen und Änderungen nur über selbst aufgerufene Seiten vornehmen.
- Logs: Anmeldungen an wichtigen Diensten auf ungewohnte Orte und Geräte prüfen.
Einordnung für Unternehmen
Der Fall zeigt, wie wenig eine vage Warnung Betroffenen hilft: Ohne Angaben zum Umfang bleibt nur der vollständige Austausch, bei Hunderten Einträgen eine Arbeit von Stunden bis Tagen. Für Firmen ist das ein Anlass, zu prüfen, welche Passwort-Manager im Haus genutzt werden, wo die Daten liegen und wer im Ernstfall die Rotation steuert. Eine aktuelle Liste der wichtigsten Zugänge mit Verantwortlichen verkürzt diese Arbeit erheblich.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Sichere Passwörter und Passkeys im Unternehmen
- Vaultwarden produktiv betreiben: Argon2-Admin-Token, Fail2Ban und sicheres Backup
