Passwort-Manager auswählen und verwenden

Modul 2: Passwörter und Anmeldung · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie einen Passwort-Manager auswählen und einrichten, das Hauptpasswort schützen und Passwörter sicher in einem Team teilen.

Kernbegriffe: Passwort-Manager, Hauptpasswort, Tresor, Ende-zu-Ende-Verschlüsselung, geteilter Tresor, Notfallzugang, Browser-Passwort-Manager

Was ein Passwort-Manager tut

In Lektion 2.1 haben Sie gesehen, dass jedes Konto ein eigenes, langes und zufälliges Passwort braucht. Niemand merkt sich achtzig davon. Ein Passwort-Manager ist eine Software, die das für Sie erledigt. Er:

• erstellt für jeden Dienst ein starkes, zufälliges Passwort;
• speichert alle Passwörter verschlüsselt in einem Tresor;
• trägt sie auf der richtigen Website ein, und nur dort;
• warnt häufig vor schwachen, doppelten oder geleakten Passwörtern;
• kann bei vielen Produkten auch die Codes für die Zwei-Faktor-Authentifizierung aufbewahren und Passkeys speichern (Lektion 2.3 und 2.4).

Sie selbst merken sich nur noch eines: das Hauptpasswort, mit dem Sie den Tresor öffnen. Das BSI empfiehlt einen Passwort-Manager als feste Grundlage, auch für kleine Organisationen, mit klaren Absprachen, welchen Manager Sie verwenden und für welche Konten er verpflichtend ist.

Arten von Passwort-Managern

Es gibt nicht die eine beste Art. Man unterscheidet zwischen dem Manager im Browser, der eigenständigen App, und online (Cloud) gegenüber offline (lokal). In der Praxis begegnen Ihnen folgende Formen:

Bekannte Beispiele für eigenständige Manager sind Bitwarden, 1Password, KeePassXC und Proton Pass, neben den Managern, die in Browsern und Betriebssystemen integriert sind. Dies ist keine Empfehlung: Wählen Sie anhand der nachfolgenden Fragen aus.

Fragen bei der Auswahl

• Funktioniert er auf allen Ihren Geräten und Browsern, auch denen Ihrer Kollegen?
• Können Sie Tresore teilen mit Rechten pro Ordner, und jemanden wieder aus einem Tresor entfernen?
• Ist der Tresor Ende-zu-Ende verschlüsselt, und was ist verschlüsselt und was nicht (zum Beispiel die Adressen von Websites)?
• Können Sie den Tresor mit Zwei-Faktor-Authentifizierung oder einem Passkey absichern?
• Gibt es einen Notfallzugang oder eine Wiederherstellungsregelung, und wie funktioniert diese genau?
• Können Sie Ihre Daten exportieren, falls Sie wechseln möchten?
• Bei kostenlosen Versionen: Wie finanziert sich der Anbieter?

Ende-zu-Ende-Verschlüsselung: Was, wenn der Anbieter gehackt wird?

Bei einem guten Cloud-Manager wird Ihr Tresor auf Ihrem Gerät mit einem Schlüssel verschlüsselt, der aus Ihrem Hauptpasswort abgeleitet wird. Der Anbieter erhält nur das verschlüsselte Paket. Das nennt man Ende-zu-Ende-Verschlüsselung (manchmal auch „Zero Knowledge"). Der Anbieter kann Ihre Passwörter nicht lesen und kann Ihr Hauptpasswort daher auch nicht für Sie zurücksetzen.

Wird der Anbieter gehackt, kann ein Angreifer die verschlüsselten Tresore stehlen. Er kann dann versuchen, sie offline zu knacken, wie in Lektion 2.1 beschrieben. Ihr Hauptpasswort ist in diesem Moment Ihr einziger Schutz. Deshalb:

• Das Hauptpasswort ist lang und einzigartig: eine Passphrase aus mindestens fünf, besser sechs zufälligen Wörtern.
• Sie verwenden es nirgendwo sonst.
• Nach einem Leck beim Anbieter ändern Sie Ihr Hauptpasswort und die Passwörter Ihrer wichtigsten Konten. Der alte, gestohlene Tresor ist schließlich mit dem alten Hauptpasswort verschlüsselt.

Zwei-Faktor-Authentifizierung auf dem Tresor hilft gegen jemanden, der Ihr Hauptpasswort kennt und sich über die Website anmelden will. Sie hilft nicht gegen das Knacken einer gestohlenen Tresordatei. Auch das BSI weist darauf hin: 2FA auf dem Manager ist kein Grund für ein schwaches Hauptpasswort.

Das Hauptpasswort schützen

Das Hauptpasswort zu vergessen ist bei einem guten Manager oft endgültig: Der Anbieter kann es nicht wiederherstellen. Regeln Sie das also im Voraus:

• Schreiben Sie das Hauptpasswort auf Papier und bewahren Sie es zu Hause an einem sicheren Ort auf. Das ist unbedenklich, solange Sie nicht dazuschreiben, wofür es ist.
• Erstellen Sie das Wiederherstellungskit oder den Notfallcode, den Ihr Manager anbietet, drucken Sie ihn aus und bewahren Sie ihn beim Papier auf.
• Geben Sie das Hauptpasswort nur in der App oder Erweiterung des Managers selbst ein, niemals auf einer Website, die danach fragt.
• Aktivieren Sie die automatische Sperre nach ein paar Minuten Inaktivität.

Warum automatisches Ausfüllen gegen Phishing hilft

Ein Passwort-Manager verknüpft jedes Passwort mit der Adresse der Website. Auf https://mijnbank.example trägt er Ihr Passwort ein. Auf einem Lookalike wie https://rnijnbank.example (rn statt m) oder https://mijnbank-veilig.example tut er nichts, denn diese Adressen sind nicht beim Eintrag hinterlegt.

Ein Mensch sieht den Unterschied zwischen rn und m oft nicht. Der Manager vergleicht Zeichen und wird nicht müde oder hastig. Das ist ein echter Schutz, aber nur, wenn Sie ihn arbeiten lassen:

Füllt Ihr Manager plötzlich nichts auf einer Seite aus, auf der das sonst immer funktionierte? Umgehen Sie das dann nicht, indem Sie das Passwort von Hand kopieren. Schauen Sie sich zuerst die Adresse ganz genau an. Genau das ist der Moment, in dem der Manager Sie warnt.

Manchmal gibt es auch einen guten Grund, warum nichts ausgefüllt wird: ein Dienst, der zu einer neuen Adresse umgezogen ist. Überprüfen Sie das dann auf einem anderen Weg, zum Beispiel indem Sie selbst die Adresse eingeben, die Sie bereits kannten.

Teilen im Team

Bei einem kleinen Unternehmen gibt es immer Konten, die Sie gemeinsam nutzen: den Webshop auf webwinkelplatform.example, das Konto bei koeriersdienst.example, die Social-Media-Kanäle des Betriebs. Am besten ist es, wenn jeder ein eigenes Konto hat (Modul 7). Geht das nicht, verwenden Sie einen geteilten Tresor:

• Legen Sie Tresore oder Ordner pro Thema an („Webshop", „Finanzen", „Social Media") und gewähren Sie nur Zugriff, wer ihn wirklich braucht.
• Teilen Sie niemals per E-Mail, Chat oder Tabelle. Wer Zugriff auf den geteilten Tresor hat, sieht das Passwort dort.
• Verlässt jemand das Unternehmen? Entfernen Sie ihn aus dem Tresor und ändern Sie die Passwörter, die er einsehen konnte. Nur aus dem Tresor zu entfernen reicht nicht: Er könnte sie abgeschrieben oder gespeichert haben.
• Regeln Sie den Notfallzugang: Was passiert, wenn Sie, der Inhaber, krank werden oder ausfallen? Viele Manager kennen eine Funktion, mit der eine vertraute Person nach einer Wartezeit Zugang erhält. Oder Sie bewahren die Wiederherstellungsdaten in einem versiegelten Umschlag bei einer zweiten Person auf.

In der Praxis: Umstieg an einem Nachmittag

1. Wählen Sie einen Manager und installieren Sie ihn auf Computer und Telefon, mit der Browsererweiterung.
2. Erstellen Sie ein Hauptpasswort (Passphrase), schreiben Sie es auf, bewahren Sie das Wiederherstellungskit auf.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor.
4. Importieren Sie Passwörter, die Ihr Browser bereits gespeichert hat. Ein Export ist oft eine unverschlüsselte Datei: Löschen Sie sie sofort nach dem Import, auch aus dem Papierkorb.
5. Beginnen Sie mit den wichtigsten Konten und geben Sie jedem ein neues, zufälliges Passwort: Ihr Postfach (info@example.com), Ihr Hosting und Ihre Domainregistrierung, Ihre Bank und Ihre Buchhaltung (zum Beispiel unter boekhoudpakket.example).
6. Aktualisieren Sie den Rest, sobald Sie sich ohnehin anmelden. Die Warnungen vor doppelten Passwörtern helfen Ihnen dabei.

Nutzen Sie einen Dienst in der WebOké-Umgebung, etwa ein Postfach oder Nextcloud, mit Apps auf Ihrem Telefon? Dafür erstellen Sie manchmal ein separates App-Passwort (siehe Wissensdatenbank 436). Auch das bewahren Sie im Manager auf, beim passenden Eintrag. Bei anderen Anbietern funktioniert das ähnlich.

Zusammenfassung

• Ein Passwort-Manager erstellt, speichert und trägt eindeutige Passwörter ein; Sie merken sich nur das Hauptpasswort.
• Arten: eingebaut in Browser oder System, eigenständige App mit Cloud, lokal, Open Source oder selbst gehostet. Wählen Sie anhand von Geräten, Teilen, Verschlüsselung und Wiederherstellung.
• Bei Ende-zu-Ende-Verschlüsselung ist Ihr Hauptpasswort die letzte Verteidigungslinie, wenn der Anbieter gehackt wird.
• Füllt der Manager nichts aus, schauen Sie auf die Adresse, statt zu kopieren.
• Teilen Sie über einen geteilten Tresor und ändern Sie Passwörter, wenn jemand das Unternehmen verlässt.

Quiz

Aufgabe

Aufgabe D2.2: Ihren Passwort-Manager einrichten. Wählen Sie einen Passwort-Manager, erstellen Sie ein Hauptpasswort und ein Wiederherstellungskit, aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor und geben Sie Ihren fünf wichtigsten Konten ein neues, eindeutiges Passwort. Haken Sie die Checkliste ab und beantworten Sie die Reflexionsfragen. Sie geben nirgendwo ein Passwort ein.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• App-Passwort erstellen (nötig für die Verbindung mit Apps und Geräten)
• Nextcloud-Anleitung 3.5: App-Passwörter: wann und wie
• BSI, Passwort-Manager: Wie kann ich meine Passwörter sicher verwalten?: https://www.bsi.bund.de/
• BSI, Tipps zur sicheren Passwortgestaltung: https://www.bsi.bund.de/