Digitale Identitäten absichern | Teil 1: Passwortmanager

Haben Sie Fragen? Schreiben Sie gerne eine Mail an: datenschutz@kuechler.tech (E-Mail-Verschlüsselung per PGP ist möglich)

Was ist ein Passwortmanager?

Ein Passwortmanager ist ein Programm für den Computer oder auch eine App für das Handy mit der sich sichere Passwörter erstellen, speichern und organisieren lassen. Die Passwörter werden dabei verschlüsselt in einer Passwortdatenbank abgelegt. Um die Passwortdatenbank zu entschlüsseln und den Inhalt lesen zu können wird (mindestens) ein starkes Hauptpasswort benötigt. Manche Passwortmanager erlauben eine Absicherung über einen zusätzlichen kryptografischen Schlüssel oder einen Hardware-Token (ähnlich eines USB-Sticks).

Warum sollte ich einen Passwortmanager nutzen?

Durch den Passwortmanager können sichere Passwörter, ohne darüber nachzudenken, erstellt werden. Dadurch werden direkt zwei Regeln für den guten Umgang mit Passwörtern eingehalten:

1. Für jeden Dienst ein individuelles Passwort verwenden.
2. Das Passwort sollte möglichst lang sein und möglichst viele Zeichensätze (Zahlen, Kleinbuchstaben, Großbuchstaben, Sonderzeichen) verwenden.

Nachdem die Passwörter abgespeichert wurden, helfen Passwortmanager, Phishing zu verhindern und die Nutzenden zu schützen.

Viele Passwortmanager sind in der Lage, die eigenen Passwörter auf Kompromittierung zu prüfen. Dabei wird das Passwort durch eine mathematische Funktion "unleserlich" gemacht und dann mit großen Datenbanken bei Onlinediensten abgeglichen. Taucht der so genannte Hash in der Datenbank auf, wurde das Passwort schon einmal durch Hacker veröffentlicht und sollte dringend gewechselt werden.

Ein weiterer Grund für Passwortmanager ist, dass Sie sich nur noch ein einziges Passwort merken müssen: Ihr Hauptpasswort zum Entschlüsseln des Passworttresors.

Welche Passwortmanager können empfohlen werden?

Grundsätzlich eignen sich hier Passwortmanager deren Programmcode öffentlich einsehbar ist. Dies ermöglicht es Sicherheitsforschenden, den Code auf Schwachstellen zu überprüfen und gegebenenfalls zu melden oder zu beheben. Daher können hier definitiv genannt werden:

• KeePassXC*
• KeePass*
• Bitwarden*

Bei der Nutzung von KeePass* und KeePassXC* müssen Sie sich selbst um die Synchronisierung der Passwortdatenbank kümmern (beispielsweise durch die Nextcloud*-App oder händisches kopieren). Einfacher ist da Bitwarden*. Alle Anwendungen sind kostenfrei nutzbar, wobei bei Bitwarden* auch ein Abo abgeschlossen werden kann, um beispielsweise Notfallzugang zu erhalten, falls Sie das Hauptpasswort vergessen haben. Dies kann bei KeePassXC* und KeePass* nicht wiederhergestellt werden. Bitwarden* speichert Ihre Passwörter sicher in einer Cloud-Lösung, also online, ab. Das ist komfortabel, ist jedoch nicht so sicher, wie die Nutzung einer reinen Offline-Datenbank, wie bei den KeePass*-Programmen. Für Anfänger kann ich Bitwarden* jedoch wärmstens empfehlen.

Tipps zur Passworterstellung

Um Passwörter zu erstellen, kann der Passwortgenerator geöffnet werden. Alle der genannten Programme bieten hier die Möglichkeit:

• Einzustellen, wie lang das Passwort sein soll.
• Welche Zeichensätze verwendet werden sollen (Zahlen, Kleinbuchstaben, Großbuchstaben, Sonderzeichen).
• Anzuzeigen, wie sicher das generierte Passwort ist.

Wenn das Passwort in der Cloud gespeichert ist, stellt sich die Frage: Ist das sicher, alle Passwörter, geschützt durch ein Passwort in der Cloud zu speichern? Um das zusätzlich abzusichern besteht die Möglichkeit, n+1 zu nutzen. Dies bedeutet konkret, dass Ihre Passwörter aus zwei Komponenten bestehen.

• Teil 1: Der vom Passwortmanager generierte Teil (sicher, zentral gespeichert, erfüllt die notwendigen Anforderungen)
• Teil 2: Ein von Ihnen ausgedachter Teil (nicht lang, überall gleich, wird an das Passwort angehängt oder davorgestellt)

Da bei Passwörtern nur der Passworthash gespeichert wird, ist dies eine sichere Methode, um eine zusätzliche Schutzschicht hinzuzufügen.