Am 29. April 2026 präsentierte der Sicherheitsforscher Tom Jøran Sønstebyseter Rønning auf der Konferenz BIG Bite of Tech von Palo Alto Networks Norway ein ungewöhnliches Verhalten von Microsoft Edge: Beim Start des Browsers werden alle gespeicherten Passwörter automatisch entschlüsselt und liegen so lange im Arbeitsspeicher vor – im Klartext und ohne dass der Nutzer sie tatsächlich benötigt. Eine Demonstrationsaufnahme, die Rønning einige Tage später auf LinkedIn veröffentlichte, löste eine Debatte in der Sicherheitsbranche aus. Medien wie Cybernews, DarkReading und Heise griffen den Befund auf und hinterfragten die Praktikabilität des Ansatzes.
Wie Edge mit Passwörtern umgeht – ein Blick hinter die Kulissen
Oberflächlich betrachtet funktioniert der Passwort-Manager von Edge wie bei anderen Browsern: Nach der Eingabe von Anmeldedaten auf einer Website bietet der Browser an, diese zu speichern. Beim nächsten Besuch wird das Passwort automatisch ausgefüllt. Doch der Teufel steckt im Detail – und zwar im Startvorgang des Browsers.
Sobald Edge geöffnet wird, lädt der Prozess msedge.exe alle gespeicherten Zugangsdaten und entschlüsselt sie in einem einzigen Schritt. Ab diesem Moment liegen sämtliche Passwörter – unabhängig davon, ob sie in der aktuellen Sitzung benötigt werden – unverschlüsselt im Arbeitsspeicher des Browsers. Selbst Passwörter von Websites, die der Nutzer seit Jahren nicht mehr besucht hat, sind betroffen. Die Entschlüsselung erfolgt nicht bedarfsgerecht, sondern im Voraus und vollständig.
Warum andere Browser anders vorgehen
Ein Vergleich mit anderen Chromium-basierten Browsern wie Chrome, Brave, Opera oder Vivaldi zeigt: Edge ist hier eine Ausnahme. Chrome etwa entschlüsselt gespeicherte Passwörter erst dann, wenn sie tatsächlich benötigt werden – etwa beim automatischen Ausfüllen eines Formulars. Die meisten Zugangsdaten bleiben bis dahin verschlüsselt, selbst im Arbeitsspeicher.
Zudem setzt Chrome seit 2024 auf die Application-Bound Encryption (ABE). Diese Technik bindet die Entschlüsselungsschlüssel an den spezifischen Chrome-Prozess, der als SYSTEM läuft. Dadurch können selbst Administratoren mit lokalen Rechten die Schlüssel nicht einfach extrahieren. Die Entschlüsselung ist somit an den Browser gebunden und lässt sich nicht auf andere Prozesse übertragen.
Edge hingegen verzichtet auf beide Mechanismen: Die Passwörter werden sofort entschlüsselt, und es gibt keine vergleichbare Prozessbindung. Laut Rønnings Tests ist Edge damit der einzige große Chromium-Browser mit diesem Architekturansatz.
Welche Risiken birgt das Design?
Microsoft argumentiert, dass der Zugriff auf den Arbeitsspeicher administrative oder SYSTEM-Rechte erfordere. Wer diese habe, sei ohnehin bereits im Besitz des Systems – die Klartext-Passwörter in Edge seien daher kein zusätzliches Risiko. Doch dieser Argumentation fehlt der Realitätsbezug.
In der Praxis nutzen Schadprogramme zur Passwort-Extraktion genau diese Technik: Sie lesen den Arbeitsspeicher aus, um Zugangsdaten abzugreifen. Dies gelingt besonders in Umgebungen, in denen mehrere Nutzer mit administrativen Rechten auf demselben Gerät arbeiten – etwa in Schulen, Krankenhäusern oder Callcentern. Auch an öffentlich zugänglichen Terminals oder unbeaufsichtigten Arbeitsplätzen sind Klartext-Passwörter im Speicher ein leichtes Ziel für Malware.
Ein weiterer Kritikpunkt: Microsofts Antwort reduziert das Problem auf einen definierten Bedrohungsszenario („admin-level attacker“), ignoriert aber die breitere Landschaft der Angriffsmethoden. Tools zur digitalen Forensik oder Incident Response arbeiten ebenfalls im Speicher und können so ungewollt Passwörter preisgeben. Die Architektur von Edge bietet hier keinen Schutz – im Gegensatz zu den Lazy-Decryption- und ABE-Mechanismen anderer Browser.
Fazit: Ein Feature mit ungewollten Konsequenzen?
Microsofts Position ist intern konsistent: Das Unternehmen sieht das Verhalten als bewusst gewählten Kompromiss zwischen Performance, Nutzerfreundlichkeit und Sicherheit. Doch für Nutzer, die auf die Sicherheit ihrer Zugangsdaten vertrauen, wirft der Ansatz Fragen auf. Die Architektur von Edge weicht von der Branchenpraxis ab und setzt ein höheres Risiko voraus – insbesondere in Umgebungen, die nicht vollständig kontrolliert werden können.
Für die Zukunft bleibt zu hoffen, dass Microsoft die Diskussion aufnimmt und alternative Lösungen prüft. Bis dahin sollten Nutzer, die sensible Konten über Edge verwalten, zusätzliche Sicherheitsmaßnahmen wie einen Passwort-Manager mit lokaler Verschlüsselung in Betracht ziehen.
KI-Zusammenfassung
Microsoft Edge, tarayıcıyı her açtığında tüm parolaları bellekte şifresiz olarak saklıyor. Bu tasarımın performans ve kullanım kolaylığına etkisi ne? Güvenlik riskleri neler?
