KeePassXC 2.8: Auto-Type unter Wayland, Datenbank-Sync, Qt 6

KeePassXC 2.8.0 ist seit dem 21. Oktober 2026 als stabile Version verfügbar, die erste Beta gab es am 23. September (GitHub-Release, verifiziert). Für Linux-Admins ist vor allem eine Zeile in den Release Notes wichtig: Auto-Type funktioniert jetzt unter Wayland, über die XDG Desktop Portals. Dazu kommen die Migration auf Qt 6, eine Remote-Synchronisation und mehrere Sicherheitskorrekturen. Grundlage sind die Notes, der zugehörige Pull Request und die CVE-Einträge.

Zur Kennzeichnung: verifiziert heißt, die Aussage steht im Primärdokument (Release Notes, Pull Request, CVE-Eintrag). Abgeleitet ist unsere Lesart davon. Herstellerangabe ist, was das Projekt über sich selbst sagt.

Auto-Type unter Wayland

Bisher konnte KeePassXC unter Wayland keine Eingaben in andere Fenster schicken, weil Wayland das Mitlesen und Einspeisen von Tastatureingaben anderer Anwendungen nicht zulässt. Die Release Notes nennen jetzt: „Linux: Add Wayland Auto-Type support using XDG Desktop Portals" (verifiziert). Die Entwurfsentscheidungen stehen im Pull Request 13359, der am 20. Juni 2026 gemerged wurde:

Der Pull Request beschreibt den globalen Trigger über den System-Shortcuts-Portal-Anbieter. Die Verbindung zum Remote-Desktop-Portal kann entweder bestehen bleiben oder bei jeder Nutzung neu aufgebaut werden, Standard ist das Neuaufbauen. Antwortet der Benutzer nicht auf die Zustimmungsabfrage, läuft sie nach einer Zeit ab. Das Wiederherstellungs-Token der Verbindung liegt standardmäßig nur im Arbeitsspeicher und lässt sich optional in der lokalen Konfiguration ablegen.

Daraus lesen wir (abgeleitet): Mit den Standardwerten (neue Verbindung bei jeder Nutzung) ist mit häufigen Zustimmungsabfragen des Desktops zu rechnen. Das ist für ein Werkzeug, das Passwörter in fremde Fenster tippt, ein vernünftiger Standard, aber im Alltag spürbar. Wer das Token dauerhaft speichert, tauscht Komfort gegen eine längere Gültigkeit der Freigabe.

Zwischen dem Merge des Pull Requests am 20. Juni und der stabilen Version am 21. Oktober liegen 123 Tage, davon 95 bis zur ersten Beta (eigene Rechnung aus den Daten von Pull Request und Release).

Rauhe Kanten gab es schon vor dem Release. Ein Fehlerbericht zu ignorierten Zeichen bei Auto-Type unter Wayland (#13673) und einer zum Kürzel unter Plasma nach einem Neustart von KeePassXC (#13578) wurden laut GitHub zuletzt am 16. September geschlossen. Der Bericht zu Tastaturlayouts mit Dead Keys (#7881) war beim Abruf am 24. Oktober noch offen. Wer Passwörter mit Umlauten oder Akzentzeichen hat, testet das also bewusst.

Datenbank-Sync über externe Tools

Die Release Notes führen: „Add remote database synchronization and import using external tools". Laut linuxnews.de bringt KeePassXC damit keinen eigenen Cloud-Dienst mit. Welche Protokolle oder Programme gemeint sind, steht in den Notes nicht, deshalb können wir weder WebDAV noch Nextcloud noch ein anderes Ziel als unterstützt nennen. Der Transport ist Ihre Entscheidung.

Zwei Regeln gelten unabhängig davon, wie die Datei wandert. Es sollte immer nur ein Schreiber gleichzeitig aktiv sein, sonst entstehen Konfliktkopien. Nach der Umstellung auf 2.8 zeigen Hash und Änderungszeit der Datei, ob Quick Unlock per Polkit die Datenbank verändert hat.

Polkit Quick Unlock ändert die Datei

Unter Linux kommt Quick Unlock über Polkit. Die Release Notes vermerken dazu, dass dabei eine UUID in die öffentlichen Metadaten geschrieben wird und die Datenbank beim ersten Start als geändert gilt (verifiziert). Für Admins heißt das: Das erste Öffnen mit 2.8 erzeugt eine neue Dateiversion. Sync-Clients melden eine Änderung, und andere Programme, die dieselbe Datei lesen (KeePassDX, Strongbox, KeePass2Android), sehen einen anderen Stand.

Dass sich das KDBX-Format ändert, steht nirgends. Die Notes und der Blogeintrag des Projekts erwähnen keinen Formatwechsel (abgeleitet: kein Formatwechsel angekündigt). Das Format zeigt KeePassXC unter Datenbank, Datenbankeinstellungen, Verschlüsselung an, KDBX 4 ist der Standard. Vor dem ersten Öffnen der produktiven Datenbank gehört eine Kopie auf die Seite.

Qt 6 und weitere Änderungen

Die Migration von Qt 5 auf Qt 6 steht in den Release Notes (LWN berichtete am 22. Oktober darüber). Für Distributionen ist das der größere Eingriff, weil Pakete gegen andere Bibliotheken gebaut werden. Für Benutzer ändert sich am Verhalten laut Notes nichts Einzelnes, was wir nennen könnten.

Für Admins nennen die Notes außerdem diese Punkte (verifiziert):

• Linux: Der Anwendungszustand liegt in XDG_STATE_HOME statt in XDG_CACHE_HOME.
• Linux: Ein AppImage für AArch64 ist neu.
• Windows: native Arm64-Builds und die Möglichkeit, einzelne Einstellungen per Gruppenrichtlinie zu erzwingen.
• Die alte Umwandlung von KeePassHTTP-Attributen ist entfernt.
• Ein Fehler, der die Anwendung auf Systemen mit ein oder zwei CPU-Kernen einfrieren ließ, ist behoben.

Sicherheitskorrekturen

Das Release schließt mehrere Lücken. Für CVE-2026-69150 gibt es einen CVE-Eintrag (veröffentlicht am 13. Oktober): ein Use-after-free im Importer für KeePass-1-Dateien (KDB), der laut Eintrag bei Versionen vor 2.8.0-beta1 einen kontrollierten Schreibzugriff und einen zuverlässigen Absturz erlaubt. Bewertet ist er mit CVSS 4.0 Basiswert 4.3 (mittel), lokaler Angriffsvektor, mit Benutzerinteraktion. Ausnutzen kann man ihn nur, wenn jemand eine präparierte .kdb-Datei importiert.

Für die Browser-Erweiterung nennt der GitHub-Eintrag zwei Korrekturen: Entry-Reference-Injection beim Anlegen oder Ändern von Einträgen und Schreibzugriffe außerhalb des Puffers bei der Ver- und Entschlüsselung von Native-Messaging-Nachrichten. Weitere Punkte betreffen Pageant (Namen des Shared Memory) und einen Überlauf im alten KDB-Importer. Für diese stehen in den Notes noch „CVE-PENDING"-Platzhalter, die CVE-Nummern waren beim Abruf nicht vergeben.

Die Einstufung des Projekts lautet: „The CVEs are rated low to moderate severity", und keine davon betreffe die Kernfunktion oder die Kryptografie (Herstellerangabe, bis auf CVE-2026-69150, dessen Wertung vom CNA stammt). Laut linuxnews.de sind alle Versionen bis 2.7.x betroffen; das ist eine Zweitquelle, das MITRE-Dokument nennt für den KDB-Fehler nur Versionen vor 2.8.0-beta1. Die letzte 2.7-Version in der GitHub-Liste ist 2.7.12 vom 10. März.

Was Admins jetzt prüfen

1. Version unter Hilfe, Über prüfen. Auf 2.8.0 aktualisieren (Distributionspaket, Flatpak, AppImage). Zuerst eine Kopie der Datenbank öffnen.
2. Browser-Erweiterung gleich mit aktualisieren und die Verbindung unter Einstellungen, Browser-Integration einmal testen. Der Native-Messaging-Code wurde geändert; getestet haben wir das nicht.
3. Unter Wayland den globalen Trigger über das Portal binden und die Zustimmung zur Fernsteuerung erteilen. Dann mit einem Passwort testen, das Umlaute oder Dead Keys enthält, weil #7881 noch offen ist.
4. Für den Sync den Transport selbst wählen, einen Schreiber festlegen und nach der Umstellung Hash und Änderungszeit der Datei prüfen.
5. .kdb-Dateien aus unbekannter Quelle erst nach dem Update importieren.

Weiterführende Quellen

• GitHub: KeePassXC 2.8.0 Release: Release Notes, Änderungsliste (Primärquelle)
• KeePassXC Blog: 2.8.0 released: Einstufung der Sicherheitskorrekturen (Herstellerangabe)
• GitHub: Pull Request 13359: Entwurf von Auto-Type unter Wayland
• MITRE: CVE-2026-69150: Use-after-free im KDB-Importer
• linuxnews.de: KeePassXC 2.8.0 bringt Auto-Type unter Wayland: Zweitquelle, Installationswege
• LWN: KeePassXC 2.8.0: Hinweis auf die Qt-6-Migration
• GitHub: Issues #13673, #13578, #7881: Fehlerberichte zu Auto-Type unter Wayland, Stand 24. Oktober
• Simple Icons: keepassxc.svg: Logo, CC0