Edge hält alle Kennwörter aus dem Passwortmanager im Klartext im Arbeitsspeicher. Microsoft will nichts ändern. Für Nutzer kann das teuer werden.
Wer den eingebauten Passwortmanager von Microsoft Edge nutzt, vertraut darauf, dass Microsoft die dort hinterlegten Zugangsdaten ordentlich schützt. Beim Anzeigen jedes Passworts verlangt der Browser Windows Hello, also Fingerabdruck, PIN oder Gesichtserkennung. Diese Hürde schützt aber nur, was am Bildschirm angezeigt wird. Im Hintergrund liegen alle im Microsoft-Passwortmanager hinterlegten Kennwörter im Klartext im Arbeitsspeicher. Lesbar für jede Software, die Zugriff auf den Speicher hat.
Sicherheitsforscher legt das Problem offen
Entdeckt hat das der norwegische Sicherheitsforscher Tom Jøran Sønstebyseter Rønning. Er stellte fest: Sobald der Browser startet, entschlüsselt Edge alle im Manager gespeicherten Kennwörter und legt sie in den Arbeitsspeicher. Auch dann, wenn die zugehörigen Webseiten in der laufenden Sitzung gar nicht aufgerufen werden. Die heise-Redaktion hat den Test erfolgreich nachgestellt. Sie legte ein Konto mit dem Passwort „Klartext-PW-Test“ an, schloss den Browser, startete ihn neu und zog ein Speicherabbild. Ein Hex-Editor förderte das ungenutzte Passwort sofort lesbar zutage.
Rønning hat auch andere Browser auf diese Eigenheit geprüft. Edge ist der einzige Chromium-basierte Browser, der so vorgeht. Chrome entschlüsselt Passwörter nur, wenn sie gebraucht werden, und löscht sie danach wieder aus dem Speicher. Zusätzlich bindet Chrome die Schlüssel über die Technik App-Bound Encryption an den eigenen Prozess, sodass andere Programme nichts damit anfangen können.
Microsoft sagt: ist alles so gewollt
Nach der Meldung an Microsoft erhielt der Forscher eine knappe Antwort. Das Verhalten sei „by design“, also absichtlich. Eine Anerkennung als Sicherheitslücke samt Prämie aus dem Bug-Bounty-Programm blieb aus. Gegenüber dem Magazin Cybernews ergänzte Microsoft, Browser griffen auf Passwortdaten im Speicher zu, damit sich Nutzer schnell und sicher anmelden könnten. Das sei ein erwartetes Verhalten der Anwendung. Man empfehle aktuelle Sicherheitsupdates und Virenschutz.
Das Argument dahinter: Wer Schadsoftware oder einen Angreifer mit Adminrechten auf seinem Rechner habe, habe ohnehin verloren. Genau hier setzt die Kritik der Sicherheitsbranche an. Denn Microsoft tut so, als ob ein erfolgreicher Angriff immer den Totalverlust bedeute. Das stimmt nicht.
Im Ernstfall macht Edge den Schaden viel größer
Ob ein Angreifer nur ein einzelnes, gerade benutztes Passwort abgreifen kann oder den kompletten Bestand, ist ein gewaltiger Unterschied. Bei Chrome bekommt der Eindringling im Idealfall genau das eine Kennwort, das der Nutzer gerade verwendet. Bei Edge dagegen bekommt er auf einen Schlag alle Passwörter aus dem Microsoft-Passwortmanager. Wer in Edge mit seinem Microsoft-Konto angemeldet ist und die Synchronisation aktiviert hat, riskiert noch mehr: Dann liegen auch die auf anderen Geräten gespeicherten Kennwörter mit im Speicher.
Konkret heißt das: Privat geht es um Online-Banking, E-Mail, Cloud-Speicher, Online-Shops und soziale Netzwerke. Im Job kommen Zugänge zu internen Anwendungen, Cloud-Diensten und Geschäftspartnerportalen hinzu. Besonders heikel wird es, wenn der Edge-Nutzer Administratorrechte hat, etwa für die Buchhaltung: Dann öffnet ein einziger erfolgreicher Angriff den Schlüsselbund vom Firmen-Online-Banking über Lohnsysteme bis zu Lieferantenportalen. Edge vergrößert den Schaden eines Angriffs damit erheblich. Bemerkenswert ist, dass Microsoft das Risiko in der eigenen Dokumentation einräumt, es aber bewusst aus dem Bedrohungsmodell des Browsers ausklammert.
Auf Terminal-Servern, an denen viele Menschen gleichzeitig arbeiten, kommt eine zweite Eskalationsstufe dazu. Ein gekaperter oder bösartiger Admin-Account kann den Speicher aller Edge-Prozesse auslesen. Mit einem Schlag fallen die Zugangsdaten dutzender Mitarbeiter in fremde Hände.
Die Sicherheitsbranche kennt für dieses Muster eine eigene Schwachstellenkategorie. Sie heißt CWE-316, „Cleartext Storage of Sensitive Information in Memory“. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Edge-Passwortmanager bei seinem Test im Dezember 2025 ausdrücklich aus der Wertung genommen. Im Licht der neuen Befunde wirkt das deutlich weitsichtiger als damals.
Was Nutzer jetzt tun sollten
Wichtig zu wissen: Betroffen sind alle Kennwörter im Microsoft-Passwortmanager, bei aktiver Synchronisation auch die per Microsoft-Konto von anderen Edge-Geräten übertragenen Daten. Wer einen externen Manager wie Bitwarden, 1Password oder KeePass nutzt, ist nicht betroffen. Solche Programme entschlüsseln Passwörter nur kurz und löschen sie danach aus dem Speicher. Wer wichtige Zugangsdaten in Edge gespeichert hat, sollte sie dort entfernen und auf eine solche Lösung wechseln. Wo immer möglich, gehört zusätzlich die Zwei-Faktor-Authentifizierung eingeschaltet. Sie blockiert den Zugang auch bei abgegriffenem Passwort.
Microsoft hat bislang keine Korrektur angekündigt und schiebt die Verantwortung in Richtung Endgerätesicherheit. Für sensible Konten ist der Microsoft-Passwortmanager in Edge damit keine Empfehlung.