Passwortmanager ohne Cloud-Zwang: Update für KeePassXC

Der Passwortmanager KeePassXC ist in Version 2.8.0 erschienen. Das Release schließt mehrere Sicherheitslücken und ergänzt unter anderem Auto-Type für Wayland sowie die Synchronisation von Datenbanken mit externen Programmen.

KeePassXC ist ein quelloffener Passwortmanager für Windows, macOS und Linux. Er speichert Zugangsdaten in einer verschlüsselten Datei und richtet sich explizit an Nutzer, die ihre Passwortdatenbank selbst verwalten möchten, statt sie einem Cloud-Dienst anzuvertrauen.

Sicherheitslücken geschlossen

Wie die Entwickler in den Release Notes zu KeePassXC 2.8.0 aufführen, betreffen die behobenen Schwachstellen unter anderem den Import älterer KDB-Dateien. Eine präparierte Datei konnte dort einen Use-after-free-Fehler auslösen (CVE-2026-69150). Außerdem beseitigt das Update einen Integer-Überlauf und einen Lesezugriff außerhalb des vorgesehenen Speicherbereichs im KDB-Importer.

Weitere Korrekturen betreffen die Browsererweiterung: KeePassXC verhindert nun das Einschleusen von Eintragsreferenzen beim Anlegen oder Aktualisieren von Einträgen und behebt Schreibzugriffe außerhalb des vorgesehenen Speicherbereichs bei Nachrichten zwischen Erweiterung und Anwendung. Unter Windows verwendet die Übergabe von SSH-Schlüsseln an Pageant jetzt zufällige Namen für Shared-Memory-Bereiche. Laut Projekt sind KeePassXC 2.7.x und ältere Versionen betroffen. Die Entwickler bewerten die Lücken als gering bis mittelschwer und empfehlen das Update; die Kernfunktionen und die Kryptografie seien jedoch nicht betroffen.

Synchronisation mit externen Tools

Unter Linux unterstützt Auto-Type nun Wayland über XDG-Desktop-Portale. Die Funktion überträgt gespeicherte Zugangsdaten per Tastatureingabe an andere Anwendungen. Neu ist außerdem der Abgleich einer lokalen Datenbank mit einer Kopie auf einem anderen System. Für die Übertragung bindet KeePassXC externe Programme ein.

Tastenkürzel lassen sich jetzt konfigurieren. Ferner kann der integrierte SSH-Agent jetzt RSA-, ECDSA- und Ed25519-Schlüssel erzeugen. Unter Linux lässt sich eine zuvor geöffnete Datenbank nun über Polkit erneut entsperren. Auf dem Mac ist dafür das Gerätepasswort eine Alternative, wenn Touch ID nicht verfügbar ist.

KeePassXC 2.8.0 wechselt von Qt 5 auf Qt 6. Erstmals bietet das Projekt native ARM64-Builds für Windows an. Für Linux gibt es zusätzlich ein als experimentell gekennzeichnetes AArch64-AppImage. Windows-Administratoren können bestimmte Einstellungen nun über Gruppenrichtlinien vorgeben.