Feedflucht

Feedflucht · Werkzeuge

Passwortmanager: Ein Tresor für alle Schlüssel, und der Zettel vom Monitor muss weg

Ich arbeite in einer Verwaltung, und ich habe in meinem Arbeitsleben Dinge über Passwörter gelernt, die ich nicht erzählen darf, und eine Sache, die ich erzählen muss: Der gelbe Zettel am Monitor ist kein Passwortmanager. Er ist eine Einladung. Und die zweitgebräuchlichste Form der Einladung ist beinahe schlimmer: ein Passwort, das auf allen Seiten dasselbe ist.

Das ist der Punkt dieses Artikels. Das Risiko ist nicht, dass ein Tresor geknackt wird, das passiert so gut wie nie. Das Risiko ist die Passwort-Wiederverwendung: Wenn ein kleiner Dienst gehackt wird, auf dem du dich mit dem Passwort angemeldet hast, das du überall benutzt, probieren Angreifer diese Kombination automatisch bei den großen Portalen aus, E-Mail, Shops, Banking. Diese Angriffe laufen automatisiert, sekündlich, weltweit. Ein einziges ausgeliehenes Passwort öffnet alle Türen, und du erfährst es von keiner davon.

Wie ein Passwortmanager funktioniert

Ein Passwortmanager ist ein verschlüsselter Tresor für Zugänge. Du legst alle Passwörter in eine Datei, einen sogenannten Tresor, verschlossen mit einem Master-Passwort, und ab dann merkst du dir nur noch dieses eine. Der Manager erzeugt neue Passwörter als wirre Zeichenreihen, füllt sie beim Anmelden automatisch aus, und weil jedes Passwort nur einmal benutzt wird, ist kein einzelnes Leck mehr ein Hausbrand.

Damit steht und fällt alles mit der Master-Passphrase, und deshalb hier meine Regel: Satz statt Gemurks. Nimm vier bis sechs Wörter, die für dich eine kleine Geschichte ergeben, ergänze eine Zahl oder ein Zeichen, und du hast etwas, das du beim Aufwachen tippen kannst und das trotzdem keine Maschine in absehbarer Zeit rät. Meine Beispiele dafür stammen, wenig überraschend für Leser dieser Serie, aus dem Kleingarten, und dein Beispiel gehört in deine Welt, nicht in meine.

Zwei freie Werkzeuge, zwei Philosophien

Beide sind FOSS im Sinne des Grundlagen-Artikels, beide werden seit Jahren öffentlich geprüft, und beide sind kostenlos für den Alltagsgebrauch. Auch das Bundesamt für Sicherheit in der Informationstechnik empfiehlt den Einsatz von Passwortmanagern, und das ist die Stelle, an der selbst die Behörde nickt, die ich sonst für ihre Geduld kenne.

Mein Umzugsplan für deine Passwörter

Damit du nicht am Berg erschrickst, der Plan, den ich selbst ging:

  1. Installieren und Tresor anlegen, mit einer Master-Passphrase nach der Satz-Regel, auf einem Zettel im Kopf, nicht am Monitor.
  2. Nur die aktiven Konten aufnehmen, nicht alle 200 Leichen. Mein Ansatz: Jedes Passwort wandert in den Tresor, sobald ich mich das nächste Mal irgendwo anmelde. Nach drei Monaten war der Hauptbestand umgezogen, ohne dass ich einen Nachmittag geopfert habe.
  3. Beim Umzug sofort ersetzen. Wo ein altes, überall benutztes Passwort lag, kommt ein neu erzeugtes hin. Das Wichtigste zuerst: E-Mail-Konto, Bank, das sind die beiden Türen, hinter denen alles andere liegt.
  4. Die 2FA nicht vergessen. Wo es angeboten wird, schalte die Zwei-Faktor-Authentifizierung an, also die zweite Sicherung per Code oder Gerät neben dem Passwort. Der Passwortmanager macht sie fast überall tragbar.

Und der Zettel? Der kommt vom Monitor in den Aktenvernichter, mit allem, was davor gedient hat. Das ist ein Feierabend-Ritual, das ich empfehlen kann, und das sich lohnt wie das Aufräumen des Schreibtischs am Jahreswechsel.

Quellen und weiterlesen