Chrome-Passwörter auslesen – wenn das PC-Kontokennwort bekannt ist

Dies ist Teil 2 der Chrome-Passwort-Hacking-Serie.

Die Passwort-Autofill-Funktion von Chrome ist praktisch –
doch sie kann auch extrem leicht missbraucht werden.

Wenn jemand dein PC-Kontokennwort kennt, hat diese Person praktisch Zugriff auf alle in Chrome gespeicherten Passwörter.
Dabei handelt es sich nicht um Remote-Hacking, sondern um einen lokalen Angriff (Local Attack),
bei dem jemand in deiner unmittelbaren Nähe kurzzeitig Zugang zu deinem PC erhält.

Sicherheitslücken in Chromes Passwort-Autofill

Die automatische Passwortvervollständigung von Chrome erleichtert den Login-Prozess erheblich.
Betrachtet man die zugrunde liegende Architektur jedoch aus einer Sicherheitsperspektive,
zeigen sich klare Schwachstellen.

In diesem Artikel wird erklärt, wie eine Person, die dein PC-Kontokennwort kennt,
alle in Chrome gespeicherten Passwörter im Klartext einsehen
und sie innerhalb kürzester Zeit nach außen weitergeben kann.

Um die Risiken der Autofill-Funktion wirklich zu verstehen,
sehen wir uns zunächst die grundlegenden Schritte an.

Die Bedeutung des PC-Kontokennworts

Chrome verlangt beim Anzeigen eines gespeicherten Passworts im Klartext das Windows-Kontokennwort.
Das wirkt wie eine zusätzliche Sicherheitsstufe – tatsächlich jedoch hängt der gesamte Schutz allein vom PC-Kontokennwort ab.

Das bedeutet: Jeder, der dein PC-Passwort kennt,
kann ohne Hacking-Tools oder technisches Wissen sämtliche Passwörter im Klartext einsehen.

Wenn zu Hause Familienmitglieder das Kontokennwort teilen
oder am Arbeitsplatz Kollegen gelegentlich das PC-Passwort erhalten,
musst du davon ausgehen, dass alle in Chrome gespeicherten Passwörter zugänglich sind.

Methode 1: Einzelne Passwörter anzeigen

So kannst du in Chrome gespeicherte Passwörter im Klartext einsehen.
Es ist sehr einfach – jeder kann es durchführen.

1. Klicke oben rechts in Chrome auf die drei Punkte (Mehr).
2. Wähle im Menü Einstellungen aus.
3. Wähle links den Bereich Autofill und Passwörter oder Automatisches Ausfüllen.
4. Öffne Google Passwort-Manager oder Passwörter.
   Hier siehst du alle gespeicherten Websites.
5. Wähle die gewünschte Website aus.
6. Öffne deren Detailansicht – dort findest du Website, Benutzername und Passwortfeld.
7. Klicke auf das Augen-Symbol neben dem Passwort.
8. Windows fordert dich zur Eingabe des PC-Kontokennworts auf.
9. Gib das Passwort ein.
10. Das gespeicherte Passwort wird nun im Klartext angezeigt.

Methode 2: Alle Passwörter auf einmal exportieren

Chrome bietet die Möglichkeit, alle gespeicherten Passwörter als CSV-Datei zu exportieren.
Damit lassen sich Dutzende oder Hunderte Passwörter in wenigen Sekunden extrahieren.

Wird diese Datei auf einen USB-Stick kopiert oder online verschickt,
kann die Person alle Passwörter mitnehmen und später in Ruhe auswerten.
Wenn jemand dein PC-Kontokennwort kennt, müssen deine Passwörter als jederzeit gefährdet gelten.

So funktioniert der Export:

1. Öffne die Passwortverwaltung:
   Einstellungen → Autofill und Passwörter → Google Passwort-Manager
2. Klicke oben rechts auf das Zahnrad-Symbol.
3. Wähle Passwörter exportieren oder Export passwords.
4. Bestätige die angezeigte Warnung über sensible Daten.
5. Gib erneut dein PC-Kontokennwort ein.
6. Chrome lädt eine Datei wie passwords.csv herunter.

Die CSV-Datei enthält alle gespeicherten Passwörter im Klartext.
Öffnest du sie in Excel oder einem Texteditor, erscheinen alle Kontodaten übersichtlich aufgelistet.
Diese Datei kann ohne großen Aufwand nach außen gelangen.

Die Grenzen von Chromes Komfortfunktionen

Das Anzeigen von Chrome-Passwörtern erfordert keinerlei spezielle Tools.
Die normalen Chrome-Einstellungen reichen aus, um alle gespeicherten Passwörter einzusehen.

Weil dies eine Standardfunktion ist und so einfach wirkt, fragen manche vielleicht:
„Ist das überhaupt Hacking?“
Doch in Wirklichkeit entstehen viele Sicherheitsvorfälle durch Personen im direkten Umfeld.

Wenn jemand dein PC-Kontokennwort kennt,
kann er alle gespeicherten Passwörter in kurzer Zeit kopieren –
aus Sicht des Schadens entspricht das einer vollwertigen Kontoübernahme.

In Haushalten mit geteilten Konten oder in Büros mit einfachem physischem Zugriff
bietet Chromes Passwortspeicher praktisch keinen Schutz.

Die Funktion ist zwar nützlich für den täglichen Komfort,
doch aus Sicherheitsperspektive bietet sie keinen ausreichenden Schutz.

Im nächsten Artikel zeigen wir, wie Passwörter selbst dann ausgelesen werden können,
wenn das PC-Kontokennwort nicht bekannt ist – vorausgesetzt gewisse Bedingungen sind erfüllt.

Artikelserie: