KeePassXC 2.8.0: Update schließt fünf Sicherheitslücken

Worum geht es

KeePassXC ist ein kostenloser, quelloffener Passwortmanager für Windows, macOS und Linux. Er speichert deine Zugangsdaten in einer verschlüsselten Datei auf deinem eigenen Rechner und nicht bei einem Cloud-Dienst.

Am 21. Oktober 2026 haben die Entwickler Version 2.8.0 veröffentlicht. Sie ist die erste stabile Version der 2.8-Reihe und schließt fünf Sicherheitslücken. Betroffen sind laut den Berichten alle Versionen bis einschließlich 2.7.x.

Bin ich betroffen?

Betroffen bist du, wenn du KeePassXC in Version 2.7 oder älter benutzt. Die installierte Version zeigt das Programm im Fenster „Über KeePassXC“, das du im Menü „Hilfe“ findest. Steht dort schon 2.8.0, bist du auf dem neuen Stand.

Zwei der fünf Lücken liegen in der Verbindung zwischen KeePassXC und der Browser-Erweiterung. Wenn du dich meist über Chrome oder Firefox anmeldest, ist das Programm im Hintergrund also trotzdem im Spiel. Ob auch die Erweiterung selbst ein Update braucht, nennen die Quellen nicht. Schau deshalb in der Erweiterungsverwaltung deines Browsers nach, ob dort eine neue Version bereitsteht.

Was wurde repariert

Die Release-Notes führen fünf Sicherheitskorrekturen auf:

• Import alter KeePass-1-Dateien (KDB): Eine präparierte Datei konnte einen Speicherfehler auslösen. Die Datenbank OpenCVE beschreibt die Folge als Absturz des Programms. Diese Lücke trägt die Nummer CVE-2026-69150.
• Derselbe Import: Behoben sind außerdem ein Ganzzahl-Überlauf und ein Lesezugriff außerhalb des vorgesehenen Speicherbereichs.
• Browser-Anbindung, erste Lücke: KeePassXC verhindert jetzt, dass beim Anlegen oder Ändern von Einträgen über die Erweiterung Eintragsreferenzen eingeschleust werden.
• Browser-Anbindung, zweite Lücke: Behoben sind Schreibzugriffe außerhalb des vorgesehenen Speicherbereichs beim Ver- und Entschlüsseln der Nachrichten zwischen Erweiterung und Programm.
• Windows und SSH: Gibt KeePassXC SSH-Schlüssel an das Programm Pageant weiter, verwendet es jetzt zufällige Namen für den gemeinsam genutzten Speicherbereich.

Nur die erste Lücke hat bisher eine CVE-Nummer, für die anderen vier steht sie noch aus. Zu den Folgen dieser vier steht in den Release-Notes nur die technische Beschreibung.

Wie ernst ist das

Nach Angaben der Entwickler sind alle fünf Lücken gering bis mittelschwer. Die Verschlüsselung deiner Passwörter und die Kernfunktionen sind demnach nicht betroffen. Diese Bewertung steht in den Berichten von Linuxiac, heise und CHIP, die Release-Notes selbst enthalten sie nicht.

Für CVE-2026-69150 gibt es eine unabhängige Einstufung: OpenCVE bewertet sie mit 4,3 und damit als mittel. Ein Angreifer müsste dir eine präparierte KDB-Datei unterschieben und dich dazu bringen, sie zu öffnen. Laut OpenCVE steht die Lücke nicht im Katalog der aktiv ausgenutzten Schwachstellen der US-Behörde CISA.

CHIP rät, KeePassXC zeitnah zu aktualisieren. Weil das Update kostenlos ist, spricht aus meiner Sicht nichts dagegen, es einzuspielen.

So aktualisierst du KeePassXC

1. Version prüfen. Öffne KeePassXC, rufe im Menü „Hilfe“ den Punkt „Über KeePassXC“ auf und lies die Versionsnummer ab. Alles unter 2.8.0 solltest du aktualisieren.
2. Sicherung anlegen. Kopiere deine Passwortdatei an einen zweiten Ort, bevor du etwas installierst. Das ist eine Vorsichtsmaßnahme, die Quellen nennen sie nicht.
3. Von der offiziellen Seite herunterladen. Die Downloads findest du auf keepassxc.org/download. Für Windows 10 und 11 gibt es einen Installer und eine portable ZIP-Datei, jeweils für x64 und ARM64, dazu eine Version im Microsoft Store. Für macOS ab Version 12 stehen Downloads für Intel und Apple Silicon bereit. Linux-Pakete gibt es laut Linuxiac auch über Flathub und die offizielle Ubuntu-PPA.
4. Prüfsumme oder Signatur vergleichen (optional). Zu den Installern und ZIP-Dateien für Windows und macOS bietet die Seite eine PGP-Signatur und eine SHA-256-Prüfsumme an, mit denen du die Datei prüfen kannst.
5. Installieren. Starte den Installer oder entpacke die portable Version. Unter Windows nennt die Download-Seite die Microsoft-Laufzeitbibliothek „MSVC Redistributable“ als Voraussetzung.
6. Version erneut prüfen. Im Fenster „Über KeePassXC“ muss jetzt 2.8.0 stehen.

Was sonst noch neu ist

Neben den Sicherheitskorrekturen bringt 2.8.0 mehrere neue Funktionen: frei einstellbare Tastenkürzel, den Abgleich von Datenbanken über externe Programme, Auto-Type unter Linux mit Wayland und einen SSH-Agenten, der jetzt RSA-, ECDSA- und Ed25519-Schlüssel erzeugen kann. Erstmals gibt es außerdem eine native Version für Windows-Geräte mit ARM-Prozessor. Technisch wechselt das Programm von Qt 5 auf Qt 6, und Administratoren können unter Windows bestimmte Einstellungen per Gruppenrichtlinie vorgeben.

KeePassXC kann laut CHIP auch mit Passkeys umgehen. Wie Passkeys funktionieren und warum Phishing an ihnen scheitert, erklärt unser Artikel Passkey einfach erklärt.