Passwörter in einen Passwort-Manager übertragen

Modul 7: Zusammenarbeit, Apps und Sicherheit · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie Passwörter sicher aus Ihrem Browser, von Notizzetteln und aus Tabellen in einen Passwort-Manager übertragen, der zu Ihrer neuen Struktur passt, einschließlich gemeinsamer Tresore für das Team.

Kernbegriffe: Passwort-Manager, Tresor, Hauptpasswort, Wiederherstellungsschlüssel, Passwörter im Browser (Google, Edge, Apple), Export als CSV, gemeinsamer Tresor oder Sammlung, selbst hosten, Open Source, Verschlüsselung auf dem eigenen Gerät (Zero-Knowledge), Passkeys aufbewahren

Der vergessene Teil

In fast jeder Bestandsaufnahme fehlen die Passwörter. Sie stehen nicht in einem Clouddienst, den Sie kündigen, also denkt niemand daran. Dabei stecken sie oft mittendrin. Bei Bakkerij De Korrel zeigt sich bei einer Rundfrage:

• die meisten Passwörter stehen in Chrome, gespeichert im Google-Konto der jeweiligen Person;
• die Passwörter von Bank, Großhändler und Webshop stehen in einer Tabelle wachtwoorden.xlsx in Google Drive;
• das WLAN-Passwort und der Code der Alarmanlage hängen auf einem Zettel;
• zwei Kolleginnen und Kollegen verwenden überall dasselbe Passwort.

Wenn das Google-Konto verschwindet, verschwinden die Passwörter in Chrome gleich mit. Und eine Tabelle mit Passwörtern in der Cloud ist eines der ersten Dinge, nach denen ein Einbrecher sucht. Ein Umstieg ist also der richtige Zeitpunkt, um das zu lösen.

Was ein Passwort-Manager macht

Ein Passwort-Manager ist ein verschlüsselter Tresor für Passwörter, mit einer App auf Smartphone und Computer und einer Erweiterung im Browser. Sie merken sich nur ein starkes Hauptpasswort; der Manager erstellt für jede Website ein langes, einzigartiges Passwort und trägt es für Sie ein.

Wichtig ist, wo die Verschlüsselung stattfindet. Bei den bekannten Managern wird der Tresor auf Ihrem eigenen Gerät mit einem Schlüssel verschlüsselt, der von Ihrem Hauptpasswort abgeleitet ist. Der Anbieter speichert nur den verschlüsselten Tresor und kann Ihre Passwörter nicht lesen. Das wird oft "Zero-Knowledge" genannt. Die Folge: Vergessen Sie Ihr Hauptpasswort und haben Sie keinen Wiederherstellungsschlüssel, kann Ihnen auch der Anbieter nicht helfen.

Ein guter Manager trägt Passwörter auch nur auf der echten Adresse ein. Eine gefälschte Website Ihrer Bank bekommt also nichts, auch wenn sie genauso aussieht. Das ist ein zusätzlicher Schutz vor Phishing.

Welche Arten gibt es?

Das ist keine Rangliste. Für ein Einzelunternehmen kann KeePassXC mit der Tresordatei in der eigenen Cloud durchaus genügen. Für ein Team von zwölf Personen ist ein Manager mit gemeinsamen Tresoren praktischer. Nutzen Sie die fünf Fragen aus Lektion 2.1 (Niederlassung, Eigentümer, Rechenzentrum, Unterauftragsverarbeiter, Schlüssel) auch hier. Bei einem Passwort-Manager wiegt die letzte Frage am schwersten: Wer hat den Schlüssel? Ist das nur Sie selbst, spielt es eine geringere Rolle, wo der verschlüsselte Tresor liegt, als bei gewöhnlichen Dateien.

Übertragen: Export, Import und sofort entsorgen

Fast jeder Browser und Manager kann Passwörter als CSV-Datei exportieren. Das ist eine gewöhnliche Textdatei mit jeweils einer Website, einem Benutzernamen und einem Passwort pro Zeile, unverschlüsselt. Jeder, der die Datei öffnet, kann alles lesen. Deshalb:

1. Tun Sie das auf einem Computer, dem Sie vertrauen, nicht auf einem gemeinsam genutzten Ladencomputer.
2. Exportieren Sie auf Ihren eigenen Computer, nicht in einen synchronisierten Ordner oder die Cloud. Sonst liegt die unverschlüsselte Datei innerhalb weniger Sekunden auf dem Server, in den Versionen und im Papierkorb.
3. Importieren Sie sie sofort in den neuen Manager.
4. Prüfen Sie stichprobenartig, ob alles stimmt (bei ein paar Websites einloggen).
5. Löschen Sie die CSV-Datei sofort, und leeren Sie auch den Papierkorb des Computers.
6. Schalten Sie danach das Speichern von Passwörtern im Browser aus, damit keine zweite, veraltete Kopie entsteht.

Die Tabelle mit Passwörtern übertragen Sie, indem Sie die Daten von Hand in den Manager eingeben (oder als CSV importieren, mit denselben Regeln). Löschen Sie die Tabelle anschließend, auch aus dem Papierkorb und der Versionsgeschichte der alten Cloud. Ändern Sie die wichtigsten darin enthaltenen Passwörter, denn Sie wissen nicht, wer die Datei im Laufe der Jahre gesehen hat.

Achten Sie auch auf Passkeys (Lektion 7.3). Einen Passkey, der in Ihrem Google- oder Apple-Konto gespeichert ist, können Sie nicht immer exportieren. Legen Sie bei den wichtigen Websites in Ihrem neuen Manager einen neuen Passkey an oder sorgen Sie dafür, dass Passwort und zweiter Faktor bekannt sind, bevor Sie das alte Konto auflösen.

Teilen im Team

Manche Passwörter gehören zur Organisation, nicht zu einer Person: die Bank, der Großhändler, die Social-Media-Konten, das WLAN. Verwenden Sie dafür einen gemeinsamen Tresor oder eine Sammlung im Manager:

• Erstellen Sie pro Gruppe einen Tresor: "Laden", "Verwaltung", "Administration". Nicht jeder muss alles sehen.
• Teilen Sie niemals ein Passwort per Chat oder E-Mail. Auch nicht "schnell mal eben".
• Verlässt jemand die Organisation, entfernen Sie ihn aus den gemeinsamen Tresoren und ändern Sie die Passwörter, zu denen er Zugang hatte und die er sich gemerkt oder kopiert haben könnte.

Das Hauptpasswort und der Tag, an dem es schiefgeht

Das Hauptpasswort ist der einzige Schlüssel. Wählen Sie einen langen Satz aus vier bis sechs zufälligen Wörtern, den Sie nirgendwo sonst verwenden. Aktivieren Sie auch für den Manager selbst die Zwei-Faktor-Authentifizierung.

Regeln Sie die Wiederherstellung im Voraus:

• Bewahren Sie den Wiederherstellungsschlüssel oder den Notfallzugang, den Ihr Manager bietet, auf Papier an einem sicheren Ort auf.
• Vereinbaren Sie für die Organisation, wer beim Tod oder bei langfristiger Krankheit des Inhabers Zugang erhält. Viele Manager haben dafür eine Notfallzugangsfunktion.
• Die Backup-Codes Ihrer wichtigsten Konten gehören ebenfalls hierher, oder auf Papier (Lektion 7.3). Nicht in einen Tresor, zu dem Sie nur mit genau diesen Konten Zugang haben.

In der Praxis: So sieht es bei einem Anbieter aus

In einem WebOké Nextcloud gibt es keinen eigenen Passwort-Manager; Sie verwenden einen Passwort-Manager Ihrer Wahl. Nutzen Sie KeePassXC, können Sie die verschlüsselte Tresordatei in Ihrem Nextcloud ablegen, sodass sie über die Desktop-App auf all Ihren Computern verfügbar ist und über Versionen wiederhergestellt werden kann. Die Datei ist dann bereits mit Ihrem Hauptpasswort verschlüsselt, bevor sie den Server erreicht. Die Anleitung zur Sicherheit des WebOké Nextcloud empfiehlt selbst ebenfalls einen Passwort-Manager und nennt ihn als guten Ort für Ihre Backup-Codes.

Bei anderen europäischen Clouddiensten funktioniert es ähnlich: Der Passwort-Manager ist meist ein eigenständiger Dienst oder eine App neben Ihrer Cloud.

Zusammenfassung

• Passwörter im Browser Ihres alten Kontos verschwinden mit, wenn Sie dieses Konto auflösen. Übertragen Sie sie vorher.
• Ein Passwort-Manager verschlüsselt auf Ihrem eigenen Gerät; das Hauptpasswort ist der einzige Schlüssel.
• Ein CSV-Export ist unverschlüsselt: niemals in einen synchronisierten Ordner, sofort importieren, sofort entsorgen.
• Verwenden Sie gemeinsame Tresore pro Gruppe für Passwörter der Organisation, und ändern Sie sie beim Austritt einer Person.
• Regeln Sie Wiederherstellung und Notfallzugang im Voraus, auf Papier.

Quiz

Aufgabe

Aufgabe E7.4: Passwörter erfassen und Umzugsplan. Finden Sie heraus, wo die Passwörter in Ihrer Organisation derzeit gespeichert sind (Browser pro Person, Tabellen, Notizzettel, gemeinsame Konten), wählen Sie anhand der fünf Fragen aus Lektion 2.1 einen Passwort-Manager und schreiben Sie den Übertragungsplan: Wer exportiert was, auf welchem Computer, wann die CSV-Datei gelöscht wird und welche gemeinsamen Tresore entstehen.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
• Nextcloud-Anleitung 3.3: Eine Authenticator-App einrichten und Backup-Codes speichern
• NCSC (das niederländische Nationale Zentrum für Cybersicherheit), Mit Cybersicherheit beginnen: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/