Passwort-Manager auswählen und nutzen

Modul 2: Passwörter und Anmeldung · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie einen Passwort-Manager auswählen und einrichten, das Master-Passwort schützen und Passwörter sicher im Team teilen.

Kernbegriffe: Passwort-Manager, Master-Passwort, Tresor, Ende-zu-Ende-Verschlüsselung, gemeinsamer Tresor, Notfallzugriff, Browser-Passwort-Manager

Was ein Passwort-Manager macht

In Lektion 2.1 haben Sie gesehen, dass jedes Konto ein eigenes, langes und zufälliges Passwort braucht. Niemand kann sich achtzig davon merken. Ein Passwort-Manager ist eine Software, die das für Sie übernimmt. Er:

• erstellt für jeden Dienst ein starkes, zufälliges Passwort;
• speichert alle Passwörter verschlüsselt in einem Tresor;
• füllt sie auf der richtigen Website aus, und nur dort;
• warnt oft vor schwachen, mehrfach verwendeten oder geleakten Passwörtern;
• kann bei vielen Produkten auch die Codes für die Zwei-Faktor-Authentifizierung und Passkeys speichern (Lektion 2.3 und 2.4).

Sie müssen sich nur noch eines merken: das Master-Passwort, mit dem Sie den Tresor öffnen. Das niederländische NCSC empfiehlt einen Passwort-Manager als feste Grundlage, auch für kleine Organisationen, mit klaren Absprachen, welcher Manager genutzt wird und für welche Konten er Pflicht ist.

Arten von Passwort-Managern

Es gibt nicht die eine beste Art. Das niederländische NCSC unterscheidet den Manager im Browser, die eigenständige App sowie online (Cloud) gegenüber offline (lokal). In der Praxis begegnen Ihnen diese Formen:

Bekannte Beispiele für eigenständige Manager sind Proton Pass, 1Password, Bitwarden und KeePassXC, neben den Managern, die in Browsern und Betriebssystemen stecken. Im Handbuch Passwort-Manager in der Praxis vergleichen wir 23 Passwort-Manager nach Komfort, Sicherheit und Datenschutz (EU und DSGVO), mit dem Sitzland des Unternehmens, dem Preis und Bewertungen (siehe Weiterlesen). Unsere Empfehlung dort: Proton Pass, oder 1Password, wenn Sie es am allereinfachsten möchten. Sind Sie unsicher, dann wählen Sie anhand der folgenden Fragen.

Fragen bei der Auswahl

• Funktioniert er auf allen Ihren Geräten und Browsern, auch denen Ihrer Mitarbeiter?
• Können Sie Tresore teilen, mit Rechten pro Ordner, und jemanden wieder aus einem Tresor entfernen?
• Ist der Tresor Ende-zu-Ende verschlüsselt, und was ist verschlüsselt und was nicht (zum Beispiel die Adressen der Websites)?
• Können Sie den Tresor mit Zwei-Faktor-Authentifizierung oder einem Passkey absichern?
• Gibt es einen Notfallzugriff oder eine Wiederherstellungsregelung, und wie genau funktioniert sie?
• Können Sie Ihre Daten exportieren, wenn Sie wechseln möchten?
• Bei kostenlosen Versionen: Wie verdient der Anbieter sein Geld?

Ende-zu-Ende-Verschlüsselung: Was, wenn der Anbieter gehackt wird?

Bei einem guten Cloud-Manager wird Ihr Tresor auf Ihrem Gerät verschlüsselt, mit einem Schlüssel, der aus Ihrem Master-Passwort abgeleitet wird. Der Anbieter erhält nur das verschlüsselte Paket. Das nennt man Ende-zu-Ende-Verschlüsselung (manchmal "Zero Knowledge"). Der Anbieter kann Ihre Passwörter nicht lesen und Ihr Master-Passwort daher auch nicht für Sie zurücksetzen.

Wird der Anbieter gehackt, kann ein Angreifer die verschlüsselten Tresore stehlen. Er kann dann versuchen, sie offline zu knacken, wie in Lektion 2.1. Ihr Master-Passwort ist in diesem Moment Ihr einziger Schutz. Deshalb gilt:

• Das Master-Passwort ist lang und einzigartig: eine Passphrase aus mindestens fünf, besser sechs zufälligen Wörtern.
• Sie verwenden es nirgendwo sonst.
• Nach einem Leck beim Anbieter ändern Sie Ihr Master-Passwort und auch die Passwörter Ihrer wichtigsten Konten. Der alte, gestohlene Tresor ist schließlich mit dem alten Master-Passwort verschlüsselt.

Zwei-Faktor-Authentifizierung auf dem Tresor hilft gegen jemanden, der Ihr Master-Passwort kennt und sich über die Website anmelden will. Sie hilft nicht gegen das Knacken einer gestohlenen Tresordatei. Das niederländische NCSC sagt es ebenfalls: 2FA auf dem Manager ist kein Grund für ein schwaches Master-Passwort.

Das Master-Passwort schützen

Ein vergessenes Master-Passwort ist bei einem guten Manager oft endgültig verloren: Der Anbieter kann es nicht wiederherstellen. Regeln Sie das deshalb vorab:

• Schreiben Sie das Master-Passwort auf Papier und bewahren Sie es zu Hause an einem sicheren Ort auf. Das niederländische NCSC hält das für in Ordnung, solange Sie nicht dazuschreiben, wofür es ist.
• Erstellen Sie das Wiederherstellungskit oder den Notfallcode, den Ihr Manager anbietet, drucken Sie ihn aus und bewahren Sie ihn beim Papier auf.
• Geben Sie das Master-Passwort nur in der App oder Erweiterung des Managers selbst ein, nie auf einer Website, die danach fragt.
• Aktivieren Sie die automatische Sperre nach einigen Minuten Inaktivität.

Warum automatisches Ausfüllen gegen Phishing hilft

Ein Passwort-Manager verknüpft jedes Passwort mit der Adresse der Website. Auf https://meinebank.example füllt er Ihr Passwort aus. Auf einer Doppelgänger-Adresse wie https://rneinebank.example (rn statt m) oder https://meinebank-sicher.example tut er nichts, denn diese Adressen sind nicht beim Eintrag hinterlegt.

Ein Mensch sieht den Unterschied zwischen rn und m oft nicht. Der Manager vergleicht Zeichen und wird weder müde noch hektisch. Das ist ein echter Schutz, aber nur, wenn Sie ihn arbeiten lassen:

Füllt Ihr Manager auf einer Website plötzlich nichts aus, wo das sonst immer geklappt hat? Umgehen Sie das dann nicht, indem Sie das Passwort von Hand kopieren. Sehen Sie sich zuerst die Adresse ganz genau an. Genau in diesem Moment warnt Sie der Manager.

Manchmal gibt es auch einen guten Grund, warum nicht ausgefüllt wird: ein Dienst, der auf eine neue Adresse umgezogen ist. Überprüfen Sie das dann auf einem anderen Weg, zum Beispiel indem Sie selbst die Adresse eintippen, die Sie bereits kannten.

Teilen im Team

In einem kleinen Unternehmen gibt es immer Konten, die gemeinsam genutzt werden: der Onlineshop auf shopplattform.example, das Konto bei blitzkurier.example, die Social-Media-Konten des Betriebs. Am besten hat jeder ein eigenes Konto (Modul 7). Geht das nicht, nutzen Sie einen gemeinsamen Tresor:

• Legen Sie Tresore oder Ordner nach Thema an ("Onlineshop", "Finanzen", "Social Media") und geben Sie nur denjenigen Zugriff, die ihn brauchen.
• Teilen Sie nie per E-Mail, Chat oder Tabelle. Wer Zugriff auf den gemeinsamen Tresor hat, sieht das Passwort dort.
• Verlässt jemand das Unternehmen? Entfernen Sie ihn aus dem Tresor und ändern Sie die Passwörter, die er sehen konnte. Nur aus dem Tresor zu entfernen reicht nicht: Er kann sie abgeschrieben oder gespeichert haben.
• Regeln Sie den Notfallzugriff: Was passiert, wenn Sie als Inhaber krank werden oder ausfallen? Viele Manager haben eine Funktion, mit der eine Vertrauensperson nach einer Wartezeit Zugriff erhält. Oder Sie hinterlegen die Wiederherstellungsdaten in einem versiegelten Umschlag bei einer zweiten Person.

In der Praxis: Umstieg an einem Nachmittag

1. Wählen Sie einen Manager und installieren Sie ihn auf Computer und Telefon, mit der Browsererweiterung.
2. Erstellen Sie ein Master-Passwort (Passphrase), schreiben Sie es auf und bewahren Sie das Wiederherstellungskit auf.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor.
4. Importieren Sie die Passwörter, die Ihr Browser bereits gespeichert hatte. Ein Export ist oft eine unverschlüsselte Datei: Löschen Sie sie direkt nach dem Import, auch aus dem Papierkorb.
5. Beginnen Sie mit den wichtigsten Konten und geben Sie jedem ein neues, zufälliges Passwort: Ihr Postfach (info@example.com), Ihr Hosting und Ihre Domainregistrierung, Ihre Bank und Ihre Buchhaltung (zum Beispiel auf buchprofi.example).
6. Aktualisieren Sie den Rest, wenn Sie sich ohnehin dort anmelden. Die Warnungen vor mehrfach verwendeten Passwörtern helfen Ihnen dabei.

Nutzen Sie einen Dienst in der WebOké-Umgebung, etwa ein Postfach oder Nextcloud, mit Apps auf Ihrem Telefon? Dafür erstellen Sie manchmal ein eigenes App-Passwort (siehe Wissensdatenbank 436). Auch dieses speichern Sie im Manager, beim passenden Eintrag. Bei anderen Anbietern funktioniert das ähnlich.

Zusammenfassung

• Ein Passwort-Manager erstellt, speichert und füllt einzigartige Passwörter aus; Sie merken sich nur das Master-Passwort.
• Arten: im Browser oder System integriert, eigenständige App mit Cloud, lokal, Open Source oder selbst gehostet. Wählen Sie nach Geräten, Teilen, Verschlüsselung und Wiederherstellung.
• Bei Ende-zu-Ende-Verschlüsselung ist Ihr Master-Passwort die letzte Verteidigung, wenn der Anbieter gehackt wird.
• Füllt der Manager nicht aus, prüfen Sie die Adresse, statt zu kopieren.
• Teilen Sie über einen gemeinsamen Tresor und ändern Sie Passwörter, wenn jemand das Unternehmen verlässt.

Quiz

Aufgabe

Aufgabe D2.2: Ihren Passwort-Manager einrichten. Wählen Sie einen Passwort-Manager, erstellen Sie ein Master-Passwort und ein Wiederherstellungskit, aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor und geben Sie Ihren fünf wichtigsten Konten ein neues, einzigartiges Passwort. Haken Sie die Checkliste ab und beantworten Sie die Reflexionsfragen. Sie geben nirgendwo ein Passwort ein.

Weiterlesen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• App-Passwort erstellen (erforderlich für die Verbindung mit Apps und Geräten)
• Nextcloud-Anleitung 3.5: App-Passwörter: wann und wie
• BSI (Bundesamt für Sicherheit in der Informationstechnik), Informationen und Empfehlungen zur IT-Sicherheit: https://www.bsi.bund.de/
• Allianz für Cyber-Sicherheit (BSI), Angebote für Unternehmen: https://www.allianz-fuer-cybersicherheit.de/
• Passwortmanager und Passkeys: So gestalten Sie Ihre Anmeldung sicher
• Passwort-Manager in der Praxis 1.1: Warum ein Passwortmanager und was Sie in dieser Anleitung lernen
• Passwort-Manager in der Praxis 1.2: Proton Pass, 1Password oder Ihr Browser: Welche Lösung passt zu Ihnen?
• Passwort-Manager in der Praxis 1.3: Ihr Master-Passwort: erstellen, aufbewahren und niemals verlieren
• Passwort-Manager in der Praxis 1.4: Alle bekannten Passwortmanager im Vergleich: Land, Funktionen, Bewertungen und Punkte