Passwörter in einen Passwort-Manager übertragen

Modul 7: Zusammenarbeit, Apps und Sicherheit · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie Passwörter aus Ihrem Browser, von Notizzetteln und aus Tabellen sicher in einen Passwort-Manager übertragen, der zu Ihrer neuen Umgebung passt, einschließlich gemeinsamer Tresore für das Team.

Kernbegriffe: Passwort-Manager, Tresor, Master-Passwort, Wiederherstellungsschlüssel, Passwörter im Browser (Google, Edge, Apple), Export als CSV, gemeinsamer Tresor oder Sammlung, selbst hosten, Open Source, Verschlüsselung auf Ihrem eigenen Gerät (Zero-Knowledge), Passkeys aufbewahren

Der vergessene Bestandteil

In fast jeder Bestandsaufnahme fehlen die Passwörter. Sie liegen nicht in einem Cloud-Dienst, den Sie kündigen, also denkt niemand daran. Dabei stecken sie oft mittendrin. Bei der Bäckerei Zum Korn zeigt sich nach einer Runde durch das Team:

• die meisten Passwörter sind in Chrome gespeichert, im Google-Konto der jeweiligen Person;
• die Passwörter für die Bank, den Großhändler und den Webshop stehen in einer Tabelle wachtwoorden.xlsx in Google Drive;
• das WLAN-Passwort und der Code der Alarmanlage hängen auf einem Notizzettel;
• zwei Kollegen verwenden überall dasselbe Passwort.

Wenn das Google-Konto verschwindet, verschwinden die Passwörter in Chrome mit. Und eine Tabelle mit Passwörtern in der Cloud ist eines der ersten Dinge, nach denen ein Angreifer sucht. Ein Umstieg ist also der richtige Moment, das zu lösen.

Was ein Passwort-Manager tut

Ein Passwort-Manager ist ein verschlüsselter Tresor für Passwörter, mit einer App auf Telefon und Computer und einer Erweiterung im Browser. Sie merken sich ein starkes Master-Passwort; der Manager erstellt für jede Website ein langes, einzigartiges Passwort und füllt es für Sie aus.

Wichtig ist, wo die Verschlüsselung stattfindet. Bei den bekannten Managern wird der Tresor auf Ihrem eigenen Gerät verschlüsselt, mit einem Schlüssel, der aus Ihrem Master-Passwort abgeleitet wird. Der Anbieter speichert nur den verschlüsselten Tresor und kann Ihre Passwörter nicht lesen. Das nennt man oft "Zero-Knowledge". Die Folge: Vergessen Sie Ihr Master-Passwort und haben Sie keinen Wiederherstellungsschlüssel, kann Ihnen auch der Anbieter nicht helfen.

Ein guter Manager füllt außerdem nur auf der echten Adresse aus. Eine gefälschte Website Ihrer Bank bekommt also nichts, auch wenn sie genauso aussieht. Das ist ein zusätzlicher Schutz gegen Phishing.

Welche Arten gibt es?

Unsere Empfehlung für die meisten Menschen und kleinen Unternehmen: Proton Pass, oder 1Password mit einem Konto auf 1password.eu, wenn Sie es am allereinfachsten möchten. Beide funktionieren auf Ihrem Mac, Ihrem Windows-PC, Ihrem Telefon und in allen Browsern, und beide bieten gemeinsame Tresore für ein Team. Bitwarden bleibt ein amerikanisches Unternehmen, auch mit EU-Speicherung. KeePassXC funktioniert nur auf Computern; auf Ihrem Telefon brauchen Sie eine andere App. In der Anleitung Passwort-Manager in der Praxis vergleichen wir 23 Passwort-Manager nach Bedienkomfort, Sicherheit und EU/DSGVO (siehe Weiterlesen). Nutzen Sie die fünf Fragen aus Lektion 2.1 (Sitz, Eigentümer, Rechenzentrum, Unterauftragsverarbeiter, Schlüssel) auch hier. Bei einem Passwort-Manager wiegt die letzte Frage am schwersten: Wer hat den Schlüssel? Haben nur Sie ihn, spielt es weniger eine Rolle als bei gewöhnlichen Dateien, wo der verschlüsselte Tresor liegt.

Übertragen: Export, Import und sofort löschen

Fast jeder Browser und Manager kann Passwörter als CSV-Datei exportieren. Das ist eine gewöhnliche Textdatei mit einer Website, einem Benutzernamen und einem Passwort pro Zeile, unverschlüsselt. Jeder, der die Datei öffnet, kann alles lesen. Deshalb:

1. Arbeiten Sie an einem Computer, dem Sie vertrauen, nicht an einem gemeinsam genutzten Ladencomputer.
2. Exportieren Sie auf Ihren eigenen Computer, nicht in einen synchronisierten Ordner oder in die Cloud. Sonst liegt die unverschlüsselte Datei innerhalb weniger Sekunden auf dem Server, in den Versionen und im Papierkorb.
3. Importieren Sie sie sofort in den neuen Manager.
4. Prüfen Sie stichprobenartig, ob alles stimmt (bei einigen Websites anmelden).
5. Löschen Sie die CSV-Datei sofort und leeren Sie auch den Papierkorb des Computers.
6. Schalten Sie danach das Speichern von Passwörtern im Browser aus, damit keine zweite, veraltete Kopie entsteht.

Die Tabelle mit Passwörtern übertragen Sie, indem Sie die Daten von Hand in den Manager eintragen (oder als CSV importieren, mit denselben Regeln). Löschen Sie die Tabelle danach, auch aus dem Papierkorb und dem Versionsverlauf der alten Cloud. Ändern Sie die wichtigsten Passwörter, die darin standen, denn Sie wissen nicht, wer die Datei im Laufe der Jahre gesehen hat.

Achten Sie auch auf Passkeys (Lektion 7.3). Einen Passkey, der in Ihrem Google- oder Apple-Konto gespeichert ist, können Sie nicht immer exportieren. Erstellen Sie für die wichtigen Websites in Ihrem neuen Manager einen neuen Passkey oder sorgen Sie dafür, dass Passwort und zweiter Faktor bekannt sind, bevor Sie das alte Konto auflösen.

Teilen im Team

Manche Passwörter gehören zur Organisation, nicht zu einer Person: die Bank, der Großhändler, die Social-Media-Konten, das WLAN. Nutzen Sie dafür einen gemeinsamen Tresor oder eine Sammlung im Manager:

• Legen Sie pro Gruppe einen Tresor an: "Laden", "Buchhaltung", "Administration". Nicht jeder muss alles sehen.
• Teilen Sie nie ein Passwort per Chat oder E-Mail. Auch nicht "mal eben schnell".
• Verlässt jemand die Organisation, entfernen Sie ihn aus den gemeinsamen Tresoren und ändern Sie die Passwörter, auf die er Zugriff hatte und die er sich gemerkt oder kopiert haben könnte.

Das Master-Passwort und der Tag, an dem etwas schiefgeht

Das Master-Passwort ist der einzige Schlüssel. Wählen Sie einen langen Satz aus vier bis sechs zufälligen Wörtern, den Sie nirgendwo sonst verwenden. Aktivieren Sie auch für den Manager selbst die Zwei-Faktor-Authentifizierung (2FA).

Regeln Sie die Wiederherstellung im Voraus:

• Bewahren Sie den Wiederherstellungsschlüssel oder den Notfallzugang, den Ihr Manager anbietet, auf Papier an einem sicheren Ort auf.
• Legen Sie für die Organisation fest, wer bei Tod oder längerer Krankheit des Inhabers Zugriff erhält. Viele Manager haben dafür eine Funktion für den Notfallzugang.
• Die Backup-Codes Ihrer wichtigsten Konten gehören ebenfalls hierher oder auf Papier (Lektion 7.3). Nicht in einen Tresor, in den Sie nur mit genau diesen Konten hineinkommen.

In der Praxis: So sieht es bei einem Anbieter aus

In einer WebOké Nextcloud gibt es keinen eigenen Passwort-Manager; Sie nutzen einen separaten Passwort-Manager neben Ihrer Cloud, etwa Proton Pass oder 1Password. Die Anleitung Passwort-Manager in der Praxis erklärt diese beiden Schritt für Schritt: Konto anlegen, installieren, übertragen, teilen und Notfallzugang. Die Anleitung zur Sicherheit der WebOké Nextcloud empfiehlt ebenfalls einen Passwort-Manager und nennt ihn als guten Ort für Ihre Backup-Codes.

Bei anderen europäischen Cloud-Diensten funktioniert es ähnlich: Der Passwort-Manager ist meist ein separater Dienst oder eine separate App neben Ihrer Cloud.

Zusammenfassung

• Passwörter im Browser Ihres alten Kontos verschwinden mit, wenn Sie dieses Konto auflösen. Übertragen Sie sie vorher.
• Ein Passwort-Manager verschlüsselt auf Ihrem eigenen Gerät; das Master-Passwort ist der einzige Schlüssel.
• Ein CSV-Export ist unverschlüsselt: nie in einen synchronisierten Ordner, sofort importieren, sofort löschen.
• Nutzen Sie gemeinsame Tresore pro Gruppe für Passwörter der Organisation und ändern Sie sie, wenn jemand ausscheidet.
• Regeln Sie Wiederherstellung und Notfallzugang im Voraus, auf Papier.

Quiz

Aufgabe

Aufgabe E7.4: Passwörter erfassen und Umzugsplan. Finden Sie heraus, wo die Passwörter in Ihrer Organisation derzeit liegen (Browser pro Person, Tabellen, Notizzettel, gemeinsam genutzte Konten), wählen Sie einen Passwort-Manager anhand der fünf Fragen aus Lektion 2.1 und schreiben Sie den Umzugsplan: Wer exportiert was, an welchem Computer, wann wird die CSV-Datei gelöscht und welche gemeinsamen Tresore werden eingerichtet.

Weiterlesen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
• Nextcloud-Anleitung 3.3: Eine Authenticator-App einrichten und Backup-Codes speichern
• Das niederländische NCSC (Nationaal Cyber Security Centrum), Beginnen met cybersecurity (auf Niederländisch): https://www.ncsc.nl/beginnen-met-cybersecurity
• Passwortmanager und Passkeys: So gestalten Sie Ihre Anmeldung sicher
• Passwort-Manager in der Praxis 4.1: Passwörter aus Chrome, Edge, Firefox und Safari importieren
• Passwort-Manager in der Praxis 4.2: Umstieg von LastPass, Bitwarden oder einem anderen Passwort-Manager
• Passwort-Manager in der Praxis 1.4: Alle bekannten Passwortmanager im Vergleich: Land, Funktionen, Bewertungen und Punkte