Passwort-Manager richtig nutzen: Mehr Sicherheit für Konten, Daten und Unternehmen
von belmedia Redaktion #Schweizweit Allgemein Alltag betriebseinrichtung.net business24.ch businessaktuell.ch hometipp.ch Magazine nachrichtenticker.ch News Prävention Regionen Schweiz Sicherheit Themen Tipps Zubehör Ⳇ Verbreitung
Ein Online-Konto, ein Passwort – und viel zu häufig wird es gleich für mehrere Dienste verwendet. Genau das gehört zu den häufigsten vermeidbaren Sicherheitsfehlern im digitalen Alltag. Ein Passwort-Manager schafft Abhilfe, ohne dass man sich Dutzende komplizierter Zeichenfolgen merken muss.
Das Bundesamt für Cybersicherheit BACS empfiehlt Passwort-Manager ausdrücklich für die Verwaltung verschiedener Zugangsdaten. Dieser Ratgeber erklärt, wie die digitalen Tresore funktionieren, worauf es bei der Auswahl ankommt und welche Fehler trotz Passwort-Manager gefährlich bleiben.
Warum wiederverwendete Passwörter so gefährlich sind
Rechner, Mobiltelefon, E-Mail-Konto, Onlineshop und praktisch jeder digitale Dienst verlangen Zugangsdaten. Schlecht gewählte oder zu kurze Passwörter stellen gemäss BACS ein erhebliches Sicherheitsrisiko dar. Besonders problematisch ist die Mehrfachverwendung.
Wird ein Passwort bei einem Anbieter durch ein Datenleck bekannt, probieren Angreifer dieselbe Kombination häufig automatisiert bei anderen Diensten aus. Dieses Vorgehen wird als Credential Stuffing bezeichnet. Ein kompromittiertes Passwort kann dadurch nicht nur ein einzelnes Kundenkonto gefährden, sondern gleichzeitig den Zugang zu E-Mails, sozialen Netzwerken, Onlineshops oder Cloud-Speichern öffnen.
Das BACS empfiehlt deshalb für jeden Dienst ein eigenes Passwort. Es sollte mindestens zwölf Zeichen enthalten und Gross- und Kleinbuchstaben, Zahlen sowie Sonderzeichen kombinieren. Ein vom Passwort-Manager erzeugtes Passwort darf problemlos deutlich länger sein. Je zufälliger die Zeichenfolge ist, desto schwieriger lässt sie sich erraten oder automatisiert knacken.
Wie ein Passwort-Manager funktioniert
Ein Passwort-Manager, auch Passwort-Tresor genannt, ist ein Programm oder eine App zur geschützten Verwaltung von Zugangsdaten. Die gespeicherten Informationen werden verschlüsselt abgelegt. Beim Einrichten eines neuen Kontos kann das Programm auf Wunsch ein langes, zufälliges Passwort erzeugen und direkt speichern.
Beim nächsten Besuch der betreffenden Website trägt der Passwort-Manager die Zugangsdaten automatisch oder nach Bestätigung ein. Nutzer müssen sich das eigentliche Passwort deshalb nicht mehr merken. Das erleichtert es erheblich, für jeden Dienst eine andere Zeichenfolge zu verwenden.
Je nach Produkt werden die Zugangsdaten ausschliesslich auf einem Gerät, über eine verschlüsselte Cloud oder über einen selbst betriebenen Speicher synchronisiert. Auch Browser und Betriebssysteme enthalten inzwischen eigene Passwortverwaltungen. Welche Lösung sinnvoll ist, hängt davon ab, wie viele Geräte verwendet werden, ob Zugangsdaten mit Familienmitgliedern oder im Betrieb geteilt werden müssen und wie wichtig Export- und Wiederherstellungsfunktionen sind.
Das Master-Passwort ist der wichtigste Schlüssel
Der gesamte Tresor wird durch ein Master-Passwort geschützt. Dieses eine Passwort muss besonders stark, lang und einzigartig sein. Es darf niemals für einen anderen Dienst verwendet werden.
Gut geeignet ist eine lange Passphrase aus mehreren zufällig gewählten Wörtern. Sie lässt sich meist besser merken als eine kurze, komplizierte Zeichenfolge. Namen, Geburtsdaten, bekannte Redewendungen und leicht nachvollziehbare Wortfolgen eignen sich dagegen nicht.
Das Master-Passwort gehört nicht in eine ungeschützte Notiz auf dem Mobiltelefon, in eine unverschlüsselte Datei oder in eine E-Mail an sich selbst. Wer es schriftlich als Notfallkopie aufbewahren möchte, sollte den Zettel sicher verwahren. Dabei ist zu berücksichtigen, dass manche Anbieter ein vergessenes Master-Passwort aufgrund ihres Sicherheitskonzepts nicht wiederherstellen können.
Einige Programme stellen stattdessen einen Wiederherstellungsschlüssel bereit. Auch dieser gehört an einen geschützten Ort ausserhalb des digitalen Tresors. Bevor man sich für ein Produkt entscheidet, sollte man den vorgesehenen Wiederherstellungsprozess kennen und verstehen.
Zwei-Faktor-Authentisierung als zweite Barriere
Das BACS empfiehlt nach Möglichkeit einen Passwort-Manager, der eine Zwei-Faktor-Authentisierung unterstützt. Neben dem Master-Passwort wird dann ein zweiter Nachweis verlangt, beispielsweise ein zeitlich begrenzter Code aus einer Authenticator-App oder ein physischer Sicherheitsschlüssel.
Wird das Master-Passwort gestohlen, kann die zweite Barriere den unmittelbaren Zugriff auf den Tresor verhindern. Vollständig risikofrei wird der Zugang dadurch allerdings nicht. Wer einen Bestätigungscode unbesehen auf einer gefälschten Website eingibt oder eine unerwartete Anmeldeanfrage bestätigt, kann auch diese Schutzstufe aushebeln.
Wiederherstellungscodes sollten deshalb sicher und getrennt vom Passwort-Manager aufbewahrt werden. Sie dürfen weder fotografiert und ungeschützt in der Cloud gespeichert noch per E-Mail verschickt werden.
Worauf bei der Auswahl zu achten ist
Nicht jeder Passwort-Manager bietet dasselbe Sicherheits- und Bedienkonzept. Ein seriöses Produkt sollte regelmässig aktualisiert werden, eine nachvollziehbare Verschlüsselung verwenden und eine Zwei-Faktor-Authentisierung ermöglichen. Hilfreich sind zudem unabhängige Sicherheitsprüfungen und eine offene Kommunikation des Anbieters über entdeckte Schwachstellen.
Folgende Punkte verdienen vor der Entscheidung besondere Aufmerksamkeit:
- Unterstützte Geräte: Der Tresor sollte auf allen regelmässig verwendeten Computern und Mobiltelefonen funktionieren.
- Synchronisation: Es muss klar sein, wie und wo die verschlüsselten Daten zwischen den Geräten übertragen werden.
- Zwei-Faktor-Authentisierung: Der Zugang zum Tresor sollte sich zusätzlich absichern lassen.
- Exportfunktion: Die Zugangsdaten sollten sich in einem gebräuchlichen Format sichern und bei Bedarf zu einem anderen Anbieter übertragen lassen.
- Wiederherstellung: Nutzer sollten wissen, was bei einem verlorenen Gerät oder vergessenen Master-Passwort passiert.
- Sicherheitsupdates: Der Anbieter sollte das Programm aktiv pflegen und Sicherheitslücken zeitnah schliessen.
- Transparenz: Sicherheitsvorfälle und notwendige Schutzmassnahmen sollten verständlich kommuniziert werden.
Auch kostenlose Lösungen können geeignet sein. Ein hoher Preis ist kein automatischer Sicherheitsnachweis. Entscheidend sind das technische Konzept, die laufende Pflege und der verantwortungsvolle Umgang des Anbieters mit Schwachstellen.
Sind Passwort-Manager selbst ein Risiko?
Wer sämtliche Zugangsdaten in einem Tresor bündelt, schafft zwangsläufig ein attraktives Ziel. Passwort-Manager und deren Anbieter waren bereits von Angriffen und Sicherheitsvorfällen betroffen. Das bedeutet jedoch nicht, dass die Zugangsdaten bei jedem Vorfall automatisch im Klartext offengelegt werden. Entscheidend sind die verwendete Verschlüsselung, das Master-Passwort, die zusätzliche Authentisierung und die Art der erbeuteten Daten.
Für die meisten Menschen ist die fortgesetzte Nutzung weniger, wiederverwendeter Passwörter das grössere Alltagsrisiko. Ein gut gewählter und korrekt eingerichteter Passwort-Manager erleichtert eine Sicherheitsregel, die ohne technische Hilfe kaum konsequent umzusetzen wäre: ein eigenes starkes Passwort für jedes Konto.
Absolute Sicherheit bietet er dennoch nicht. Betriebssystem, Browser und Passwort-Manager müssen aktuell gehalten werden. Geräte sollten mit einer Bildschirmsperre geschützt sein. Auf gemeinsam genutzten oder fremden Computern sollte der persönliche Tresor möglichst nicht geöffnet werden.
Ein Passwort-Manager schützt nicht automatisch vor Phishing
Gefälschte E-Mails und Login-Seiten bleiben auch mit einem Passwort-Manager gefährlich. Gute Programme tragen Zugangsdaten nur auf der gespeicherten Internetadresse ein. Bleibt das Eingabefeld auf einer vermeintlich bekannten Website plötzlich leer, kann dies deshalb ein Warnsignal sein.
Trotzdem sollten Nutzer die Adresse im Browser sorgfältig prüfen. Das BACS rät davon ab, Passwörter auf Seiten einzugeben, die über einen Link in einer Nachricht geöffnet wurden. Sicherer ist es, die bekannte Adresse selbst einzutippen oder ein zuvor gespeichertes Lesezeichen zu verwenden.
Wie professionell solche Täuschungsversuche inzwischen aufgebaut sind und welche Warnzeichen helfen, zeigt der Ratgeber über Phishing-Angriffe.
Passwörter, Master-Passwörter und Bestätigungscodes dürfen niemals telefonisch, per E-Mail oder in einem Chat weitergegeben werden. Banken, Behörden und seriöse Dienstleister benötigen diese Angaben nicht.
Datenlecks frühzeitig erkennen
Auch bei sorgfältiger Nutzung kann ein Dienst von einem Datenleck betroffen sein. Über den Datenleck-Check von iBarry lässt sich prüfen, ob eine E-Mail-Adresse in bekannten veröffentlichten Datensätzen aufgetaucht ist. Die Abfrage wird dabei über den Dienst „Have I Been Pwned“ durchgeführt.
Wird ein Treffer angezeigt, bedeutet das nicht automatisch, dass das aktuelle Passwort bekannt ist. Es zeigt aber, dass Daten der betreffenden Adresse in mindestens einem bekannten Vorfall enthalten waren. Das Passwort des betroffenen Kontos sollte daraufhin geändert werden. Identische oder ähnliche Passwörter bei anderen Diensten müssen ebenfalls ersetzt werden.
Aktuelle Passwörter sollten niemals auf beliebigen Prüfseiten eingegeben werden. Für die Kontrolle einer möglichen Betroffenheit genügt bei seriösen Datenleck-Checks gewöhnlich die E-Mail-Adresse.
Passwortverwaltung im Unternehmen
In einem Betrieb sollten Zugangsdaten nicht per E-Mail, Messenger oder Tabellenblatt weitergegeben werden. Benötigen mehrere Mitarbeitende Zugriff auf einen Dienst, eignet sich eine geschäftliche Passwortverwaltung mit freigegebenen Tresoren und klaren Berechtigungen.
Jede Person sollte ein eigenes Benutzerkonto erhalten. So bleibt nachvollziehbar, wer auf welche Zugangsdaten zugreifen darf. Verlässt ein Mitarbeitender den Betrieb oder wechselt die Funktion, lassen sich Rechte gezielt entziehen, ohne sämtliche Kennwörter in einer Abteilung neu verteilen zu müssen.
Besonders wichtige Konten sollten nach Möglichkeit nicht gemeinsam genutzt werden. Rollenbasierte Zugänge, persönliche Anmeldungen und ein dokumentiertes Verfahren für Notfälle sind sicherer als ein einziges Passwort, das im ganzen Team kursiert.
Die S-U-P-E-R-Regeln für den digitalen Alltag
Die Verwendung starker Passwörter ist Teil der Schweizer S-U-P-E-R-Kampagne. Die fünf Buchstaben stehen für Sichern, Updaten, Prüfen, Einloggen und Reduzieren. Gemeint sind regelmässige Datensicherungen, aktuelle Software, ein geprüfter Geräteschutz, sichere Zugänge sowie ein aufmerksamer Umgang mit digitalen Risiken.
Ein Passwort-Manager gehört vor allem zum Bereich „Einloggen“. Er ersetzt die übrigen Schritte aber nicht. Wer starke Passwörter nutzt, gleichzeitig jedoch Updates aufschiebt oder auf eine gefälschte Zahlungsseite hereinfällt, bleibt gefährdet. Weitere praktische Hinweise bietet der Beitrag zum Schutz vor Betrug beim Kaufen und Verkaufen im Internet.
Video-Tipp: Passwörter sicher verwalten
Wie ein Passwort-Manager funktioniert und weshalb unterschiedliche Passwörter wichtig sind, erklärt dieses Video des deutschen Bundesamts für Sicherheit in der Informationstechnik.
Fazit
Ein Passwort-Manager löst ein zentrales Problem der digitalen Sicherheit: Niemand kann sich für jedes Konto eine eigene lange Zufallsfolge merken. Der verschlüsselte Tresor übernimmt diese Aufgabe und erleichtert dadurch sichere Gewohnheiten.
Entscheidend bleiben ein starkes, ausschliesslich hier verwendetes Master-Passwort, die Zwei-Faktor-Authentisierung und ein sinnvoll geregelter Notfallzugang. Wer ausserdem seine Programme aktuell hält, Internetadressen prüft und auf Hinweise zu Datenlecks reagiert, schützt private wie geschäftliche Konten deutlich besser.
Bildquellen: Bild 1: Symbolbild © VideoFlow/Shutterstock.com; Bild 2: Symbolbild © Tapati Rinchumrus/Shutterstock.com; Bild 3: Symbolbild © tete_escape/Shutterstock.com