Passwort-Manager auswählen und nutzen

Modul 2: Passwörter und Anmeldung · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie einen Passwort-Manager auswählen und einrichten, das Master-Passwort schützen und Passwörter sicher in einem Team teilen.

Kernbegriffe: Passwort-Manager, Master-Passwort, Tresor, Ende-zu-Ende-Verschlüsselung, geteilter Tresor, Notfallzugang, browserbasierter Passwort-Manager

Was ein Passwort-Manager macht

In Lektion 2.1 haben Sie gesehen, dass jedes Konto ein eigenes, langes und zufälliges Passwort braucht. Niemand merkt sich achtzig davon. Ein Passwort-Manager ist Software, die das für Sie übernimmt. Er:

• erstellt für jeden Dienst ein starkes, zufälliges Passwort;
• bewahrt alle Passwörter verschlüsselt in einem Tresor auf;
• trägt sie auf der richtigen Website ein, und nur dort;
• warnt häufig vor schwachen, doppelten oder geleakten Passwörtern;
• kann bei vielen Produkten auch die Codes für die Zwei-Faktor-Authentifizierung aufbewahren und Passkeys speichern (Lektion 2.3 und 2.4).

Sie merken sich nur noch eines: das Master-Passwort, mit dem Sie den Tresor öffnen. Das niederländische NCSC empfiehlt einen Passwort-Manager als feste Grundlage, auch für kleine Organisationen, mit klaren Absprachen, welchen Manager Sie verwenden und für welche Konten er verpflichtend ist.

Arten von Passwort-Managern

Es gibt nicht die eine beste Art. Das niederländische NCSC unterscheidet den Manager im Browser, die eigenständige App und online (Cloud) gegenüber offline (lokal). In der Praxis begegnen Ihnen diese Formen:

Bekannte Beispiele für eigenständige Manager sind Bitwarden, 1Password, KeePassXC und Proton Pass, neben den Managern, die in Browsern und Betriebssystemen integriert sind. Dies ist keine Empfehlung: Wählen Sie anhand der folgenden Fragen.

Fragen bei der Auswahl

• Funktioniert er auf allen Ihren Geräten und Browsern, auch denen von Kollegen?
• Können Sie Tresore teilen, mit Rechten je Ordner, und jemanden wieder aus einem Tresor entfernen?
• Ist der Tresor Ende-zu-Ende-verschlüsselt, und was steht verschlüsselt und was nicht (zum Beispiel die Adressen von Websites)?
• Können Sie den Tresor mit Zwei-Faktor-Authentifizierung oder einem Passkey absichern?
• Gibt es einen Notfallzugang oder eine Wiederherstellungsregelung, und wie funktioniert diese genau?
• Können Sie Ihre Daten exportieren, falls Sie wechseln möchten?
• Bei kostenlosen Versionen: Wie lautet das Geschäftsmodell?

Ende-zu-Ende-Verschlüsselung: Was, wenn der Anbieter gehackt wird?

Bei einem guten Cloud-Manager wird Ihr Tresor auf Ihrem Gerät mit einem Schlüssel verschlüsselt, der aus Ihrem Master-Passwort abgeleitet wird. Der Anbieter erhält nur das verschlüsselte Paket. Das nennt man Ende-zu-Ende-Verschlüsselung (manchmal „Zero Knowledge“). Der Anbieter kann Ihre Passwörter nicht lesen und kann Ihr Master-Passwort somit auch nicht für Sie zurücksetzen.

Wird der Anbieter gehackt, kann ein Angreifer die verschlüsselten Tresore stehlen. Er kann dann versuchen, sie offline zu knacken, wie in Lektion 2.1. Ihr Master-Passwort ist in diesem Moment Ihr einziger Schutz. Deshalb gilt:

• Das Master-Passwort ist lang und einzigartig: ein Passwortsatz aus mindestens fünf, besser sechs zufälligen Wörtern.
• Sie verwenden es nirgendwo sonst.
• Nach einem Leck beim Anbieter ändern Sie Ihr Master-Passwort und die Passwörter Ihrer wichtigsten Konten. Der alte, gestohlene Tresor ist schliesslich mit dem alten Master-Passwort verschlüsselt.

Zwei-Faktor-Authentifizierung auf dem Tresor hilft gegen jemanden, der Ihr Master-Passwort kennt und sich über die Website anmelden will. Sie hilft nicht gegen das Knacken einer gestohlenen Tresordatei. Das niederländische NCSC sagt es ebenfalls: 2FA beim Manager ist kein Grund für ein schwaches Master-Passwort.

Das Master-Passwort schützen

Das Master-Passwort zu vergessen ist bei einem guten Manager oft endgültig: Der Anbieter kann es nicht zurückholen. Regeln Sie das also vorab:

• Schreiben Sie das Master-Passwort auf Papier und bewahren Sie es zu Hause an einem sicheren Ort auf. Das niederländische NCSC hält das für völlig in Ordnung, solange Sie nicht dazuschreiben, wofür es ist.
• Erstellen Sie das Wiederherstellungspaket oder den Notfallcode, den Ihr Manager anbietet, drucken Sie es aus und bewahren Sie es bei dem Papier auf.
• Geben Sie das Master-Passwort nur in der App oder Erweiterung des Managers selbst ein, niemals auf einer Website, die danach fragt.
• Aktivieren Sie die automatische Sperre nach einigen Minuten Inaktivität.

Warum automatisches Ausfüllen gegen Phishing hilft

Ein Passwort-Manager verknüpft jedes Passwort mit der Adresse der Website. Auf https://mijnbank.example trägt er Ihr Passwort ein. Auf einer Fälschung wie https://rnijnbank.example (rn statt m) oder https://mijnbank-veilig.example tut er nichts, denn diese Adressen sind nicht bei dem Eintrag hinterlegt.

Ein Mensch sieht den Unterschied zwischen rn und m oft nicht. Der Manager vergleicht Zeichen und wird nicht müde oder unaufmerksam. Das ist ein echter Schutz, aber nur, wenn Sie ihn arbeiten lassen:

Trägt Ihr Manager plötzlich nichts auf einer Seite ein, auf der das sonst immer funktionierte? Umgehen Sie das dann nicht, indem Sie das Passwort von Hand kopieren. Schauen Sie sich zuerst die Adresse ganz genau an. Genau in diesem Moment warnt Sie der Manager.

Manchmal gibt es auch einen guten Grund, warum nichts ausgefüllt wird: ein Dienst, der zu einer neuen Adresse umgezogen ist. Überprüfen Sie das dann auf einem anderen Weg, zum Beispiel indem Sie selbst die Adresse eingeben, die Sie bereits kannten.

Teilen im Team

Bei einem kleinen Unternehmen gibt es immer Konten, die Sie gemeinsam nutzen: den Webshop auf webwinkelplatform.example, das Konto bei koeriersdienst.example, die Social-Media-Kanäle des Unternehmens. Am besten hat jeder ein eigenes Konto (Modul 7). Geht das nicht, nutzen Sie einen geteilten Tresor:

• Legen Sie Tresore oder Ordner nach Thema an („Webshop“, „Finanzen“, „Social Media“) und geben Sie nur denen Zugang, die ihn benötigen.
• Teilen Sie niemals per Mail, Chat oder Tabelle. Wer Zugang zum geteilten Tresor hat, sieht das Passwort dort.
• Verlässt jemand das Unternehmen? Entfernen Sie ihn aus dem Tresor und ändern Sie die Passwörter, die er sehen konnte. Nur aus dem Tresor entfernen reicht nicht aus: Er könnte sie abgeschrieben oder gespeichert haben.
• Regeln Sie den Notfallzugang: Was passiert, wenn Sie, der Inhaber, krank werden oder ausfallen? Viele Manager kennen eine Funktion, mit der eine vertraute Person nach einer Wartezeit Zugang erhält. Oder Sie bewahren die Wiederherstellungsdaten in einem versiegelten Umschlag bei einer zweiten Person auf.

In der Praxis: Umstieg an einem Nachmittag

1. Wählen Sie einen Manager und installieren Sie ihn auf Computer und Telefon, mit der Browsererweiterung.
2. Erstellen Sie ein Master-Passwort (Passwortsatz), schreiben Sie es auf, bewahren Sie das Wiederherstellungspaket auf.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor.
4. Importieren Sie Passwörter, die Ihr Browser bereits gespeichert hat. Ein Export ist oft eine unverschlüsselte Datei: Löschen Sie sie sofort nach dem Import, auch aus dem Papierkorb.
5. Beginnen Sie mit den wichtigsten Konten und vergeben Sie jedem ein neues, zufälliges Passwort: Ihr Postfach (info@example.com), Ihr Hosting und Ihre Domainregistrierung, Ihre Bank und Ihre Buchhaltung (zum Beispiel bei boekhoudpakket.example).
6. Aktualisieren Sie den Rest, sobald Sie sich ohnehin anmelden. Die Warnungen vor doppelten Passwörtern helfen Ihnen dabei.

Nutzen Sie einen Dienst in der WebOké-Umgebung, etwa ein Postfach oder Nextcloud, mit Apps auf Ihrem Telefon? Dafür erstellen Sie manchmal ein separates App-Passwort (siehe Wissensdatenbank 436). Auch das bewahren Sie im Manager auf, beim passenden Eintrag. Bei anderen Anbietern funktioniert das ähnlich.

Zusammenfassung

• Ein Passwort-Manager erstellt, speichert und trägt eindeutige Passwörter ein; Sie merken sich nur das Master-Passwort.
• Arten: eingebaut in Browser oder System, eigenständige App mit Cloud, lokal, Open Source oder selbst gehostet. Wählen Sie anhand von Geräten, Teilen, Verschlüsselung und Wiederherstellung.
• Bei Ende-zu-Ende-Verschlüsselung ist Ihr Master-Passwort die letzte Verteidigungslinie, falls der Anbieter gehackt wird.
• Trägt der Manager nichts ein, schauen Sie sich die Adresse an, statt das Passwort zu kopieren.
• Teilen Sie über einen geteilten Tresor und ändern Sie Passwörter, wenn jemand das Unternehmen verlässt.

Quiz

Aufgabe

Aufgabe D2.2: Ihren Passwort-Manager einrichten. Wählen Sie einen Passwort-Manager, erstellen Sie ein Master-Passwort und ein Wiederherstellungspaket, aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor und vergeben Sie Ihren fünf wichtigsten Konten ein neues, eindeutiges Passwort. Haken Sie die Checkliste ab und beantworten Sie die Reflexionsfragen. Sie geben dabei nirgendwo ein echtes Passwort ein.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• App-Passwort erstellen (nötig für die Verbindung mit Apps und Geräten)
• Nextcloud-Anleitung 3.5: App-Passwörter: wann und wie
• Das niederländische NCSC, Wie wähle ich einen Passwort-Manager?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Das niederländische NCSC, Vier Schritte, um Ihre Passwörter sicherer zu machen: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken