Passwortmanager auswählen und richtig einsetzen

Wird eine Website gehackt, bleiben die gestohlenen Paare aus E-Mail-Adresse und Passwort selten beim ursprünglichen Angreifer. Sie werden gehandelt und in automatisierte Werkzeuge eingespeist, die dieselbe Kombination bei E-Mail-Anbietern, Onlineshops, sozialen Netzwerken und Spieleplattformen ausprobieren. Diese Technik, Credential Stuffing genannt, funktioniert nur, wenn Menschen Passwörter mehrfach verwenden, und sie gehört zu den häufigsten Wegen, auf denen ganz gewöhnliche Konten übernommen werden.

Einzigartige Passwörter durchbrechen diese Kette. Hat jedes Konto sein eigenes langes Zufallspasswort, bleibt ein Datenleck bei einem Dienst auf diesen Dienst begrenzt. Der Haken: Niemand kann sich Dutzende zufälliger Zeichenfolgen merken, und genau dafür ist ein Passwortmanager gebaut.

Ein Passwortmanager speichert Ihre Zugangsdaten in einem verschlüsselten Tresor, der sich mit einem Master-Passwort öffnet, auf vertrauenswürdigen Geräten oft auch mit Fingerabdruck oder Gesicht. Er erzeugt lange Zufallspasswörter, wenn Sie sich registrieren oder ein Passwort ändern, und trägt sie bei der Anmeldung für Sie ein.

Das automatische Ausfüllen ist zugleich ein stiller Schutz vor Phishing. Ein Manager ordnet gespeicherte Zugangsdaten der exakten Webadresse zu und bietet Ihr Bankpasswort deshalb normalerweise nicht auf einer täuschend ähnlichen Domain an. Erkennt Ihr Manager eine Anmeldeseite, die Sie oft nutzen, plötzlich nicht mehr, halten Sie an und prüfen Sie die Adresse, bevor Sie etwas von Hand eintippen.

Die meisten Manager können mehr, als Passwörter zu speichern. Übliche Extras sind sichere Notizen für Backup-Codes und Wiederherstellungsangaben, die Ablage von Passkeys, Warnungen, wenn ein gespeichertes Passwort in einem bekannten Datenleck auftaucht, Hinweise auf schwache oder mehrfach verwendete Passwörter und das sichere Teilen mit Familienmitgliedern oder einem Team.

An erster Stelle steht die Verschlüsselung. Achten Sie auf Ende-zu-Ende-Verschlüsselung, manchmal als Zero-Knowledge-Architektur beschrieben, bei der Ihr Tresor auf Ihrem eigenen Gerät verschlüsselt wird und der Anbieter ihn nicht lesen kann. Veröffentlichte Sicherheitsdokumentation und unabhängige Audits sind gute Zeichen dafür, dass ein Unternehmen das ernst nimmt.

Prüfen Sie außerdem, ob der Manager überall funktioniert, wo Sie arbeiten: in den Browsern, die Sie nutzen, auf Handy und Computer, mit zuverlässiger Synchronisierung dazwischen. Der Tresor selbst sollte die Zwei-Faktor-Authentifizierung unterstützen, am besten mit einer Authenticator-App oder einem Sicherheitsschlüssel, damit ein gestohlenes Master-Passwort allein nicht zum Öffnen genügt.

Denken Sie schließlich schon vor dem Beitritt an den Ausstieg. Ein guter Manager lässt Sie Ihre Daten in einem Standardformat exportieren, sodass Sie nicht an einen Anbieter gebunden sind. Lesen Sie nach, was passiert, wenn Sie Ihr Master-Passwort vergessen: Manche Dienste bieten ein Wiederherstellungs-Kit oder einen Vertrauenskontakt an, streng ausgelegte Zero-Knowledge-Systeme dagegen unter Umständen gar keine Wiederherstellung, wodurch ein sicher aufbewahrtes Notfallblatt unverzichtbar wird.

Browser und Betriebssysteme enthalten inzwischen leistungsfähige Passwortmanager. Der Google Passwortmanager ist in Chrome und Android eingebaut, Apple-Geräte haben einen Passwortmanager, der über den iCloud-Schlüsselbund synchronisiert, und Microsoft Edge speichert Passwörter in Ihrem Microsoft-Konto. Sie kosten nichts extra, sind schon auf Ihrem Gerät und synchronisieren innerhalb ihres eigenen Ökosystems automatisch.

Ihre Grenze ist eben dieses Ökosystem. Kombinieren Sie ein iPhone mit einem Windows-Rechner oder wechseln Sie zwischen mehreren Browsern, folgt Ihnen ein integrierter Manager womöglich nicht überall bequem. Eigenständige Manager, auch die datenschutzorientierter Anbieter wie Proton, arbeiten plattform- und browserübergreifend und bieten meist umfangreicheres Teilen, sichere Notizen und flexiblere Ordnung.

Jede der beiden Entscheidungen ist weit besser, als Passwörter mehrfach zu verwenden. Nehmen Sie den Manager, den Sie tatsächlich jeden Tag nutzen werden, und verteilen Sie Ihre Zugangsdaten nicht auf mehrere Manager, denn dann verlieren Sie leicht den Überblick, welche Kopie aktuell ist.

Ihr Master-Passwort ist das einzige Passwort, das Sie sich merken müssen; machen Sie es also lang und einprägsam statt kurz und kompliziert. Eine Passphrase aus mehreren unzusammenhängenden Wörtern lässt sich leichter tippen und ist viel schwerer zu erraten als eine kurze Zeichenkette aus Sonderzeichen. Verwenden Sie sie nirgendwo sonst.

Aktivieren Sie die Zwei-Faktor-Authentifizierung für den Manager gleich und bewahren Sie deren Backup-Codes oder das Notfall-Kit offline auf, etwa auf Papier an einem sicheren Ort zu Hause. Bietet Ihr Manager eine Wiederherstellungsmethode, richten Sie sie jetzt ein, nicht erst, wenn Sie ausgesperrt sind.

Passen Sie dann einige Einstellungen an: Sperren Sie den Tresor nach kurzer Inaktivität, verlangen Sie nach einem Neustart das Master-Passwort oder Biometrie und halten Sie Apps und Browser-Erweiterungen aktuell, damit Sie Sicherheitskorrekturen erhalten.

Die meisten Manager können Passwörter importieren, die in Ihrem Browser gespeichert oder aus einem anderen Manager exportiert wurden, üblicherweise als CSV-Datei. Diese Datei ist einfacher, unverschlüsselter Text: Exportieren Sie sie, importieren Sie sie umgehend und löschen Sie sie danach, auch die Kopie im Download-Ordner und im Papierkorb.

Schalten Sie nach dem Import die browsereigene Passwortspeicherung ab, wenn Sie zu einem eigenständigen Manager gewechselt sind, damit neue Zugangsdaten nicht an zwei Orten landen. Öffnen Sie dann den Sicherheitsbericht des Managers und beginnen Sie, mehrfach verwendete und schwache Passwörter zu beheben. Fangen Sie mit Ihren E-Mail-Konten an, da sich darüber alles andere zurücksetzen lässt, und arbeiten Sie sich dann zu Finanz-, Arbeits- und Social-Media-Konten vor.

Sie müssen nicht alles an einem Abend ändern. Aktualisieren Sie jedes übrige Passwort, wenn Sie sich das nächste Mal bei der jeweiligen Seite anmelden, und nach wenigen Wochen besteht der größte Teil Ihres Tresors aus einzigartigen, generierten Passwörtern.

Zugangsdaten, die per E-Mail, in einem geteilten Dokument oder auf einer Bestellseite bei Ihnen ankommen, gehören in Ihren Manager, nicht in Screenshots oder einfache Notizen. Legen Sie einen neuen Eintrag mit Webadresse, Benutzername und Passwort an und ergänzen Sie im Notizfeld des Eintrags die Wiederherstellungs-E-Mail, Backup-Codes und alle weiteren Einrichtungsangaben.

Haben Sie auf rStock ein Konto gekauft, erscheint der gelieferte Inhalt auf Ihrer Bestellseite als Lieferprotokoll, das mit der Bestellung verknüpft ist. Kopieren Sie die Angaben in Ihren Manager, ändern Sie dann das Passwort in ein neu erzeugtes, legen Sie eigene Wiederherstellungsoptionen fest und aktivieren Sie die Zwei-Faktor-Authentifizierung. Wer das zügig erledigt, kann außerdem bestätigen, dass alles funktioniert, solange noch das begrenzte Zeitfenster nach der Lieferung offen ist, in dem Sie einen Streitfall eröffnen können. Nutzen Sie solche Konten stets im Einklang mit den Nutzungsbedingungen der jeweiligen Marke. rStock steht in keiner Verbindung zu einer in diesem Artikel genannten Marke.

Sobald das Konto gesichert ist, entfernen Sie zusätzliche Kopien, die Sie in Notizen, Chats oder Textdateien eingefügt hatten. Ihr Manager sollte der einzige Ort sein, an dem das aktuelle Passwort liegt; so lässt es sich leicht aktualisieren und ist für andere schwer zu finden.