Ein sicheres Passwort ist wie der Schlüssel zu deinem digitalen Leben. Es schützt dein eBrief‑Konto, dein Online‑Banking, deine Fotos und deine persönlichen Daten. Doch Passwortgeschützte Daten sind nur dann sicher, wenn auch das Passwort, mit denen sie verschlüsselt wurden, sicher ist. Der sicherste Verschlüsselungsalgorithmus nützt wenig, wenn als Schlüssel ein einfach zu erratendes Passwort verwendet wird.

Was ein sicheres Passwort ausmacht

Ein starkes Passwort erfüllt mehrere Anforderungen gleichzeitig:

• Länge statt nur „Sonderzeichen“: Je länger ein Passwort ist, desto besser. Schon eine moderate Länge erhöht die Sicherheit deutlich.
• Unvorhersehbare Zeichenkombinationen: Vermeide Muster wie „12345“, „qwerty“ oder „abcabc“.
• Keine echten Wörter allein: Reine Wörter aus dem Wörterbuch sind für Angreifer leichter zu testen.
• Einzigartigkeit pro Konto: Wenn ein Passwort bei einem Dienst geleakt wird, sollte ein Angreifer nicht automatisch Zugriff auf andere Konten bekommen.

Gute Sicherheit beginnt nicht erst beim Passwort selbst, sondern bei dem, was du im Alltag damit machst. Vermeide die folgenden typischen Fehler - sie erhöhen das Risiko deutlich, dass Konten durch Leaks, Social Engineering oder kompromittierte Geräte gefährdet werden.

Passwörter niemals in Klartext weitergeben

Teile Passwörter nicht offen an andere Menschen – auch nicht in scheinbar harmlosen Kanälen wie Chat, eBrief, Screenshots oder Notiz-Apps. Ebenso wenig solltest du Passwörter “nur kurz” einfügen, “zur Kontrolle” schicken oder sie in Texten unverschlüsselt darstellen.

Keine Passwörter sichtbar oder leicht auffindbar notieren

Notiere Passwörter nicht als Zettel am Schreibtisch, als Post-it am Monitor oder irgendwo, wo sie ohne große Hürde entdeckt werden. Unkontrollierter Zugriff schlägt fast jede “Überlegung” zur Passwortstärke.

Keine Wiederverwendung oder Varianten-Kaskaden

Verwende kein Passwort mehrfach – auch nicht in abgeschwächter Form. Ein “wiederverwandelter” Satz mit leicht anderer Endung oder eine Sammlung ähnlich aufgebauter Passwörter über mehrere Dienste hinweg führt dazu, dass ein einziger Vorfall viele Konten betrifft.

Vorsicht bei Browser-Autofill und Cloud-Sync

Wenn du Passwörter über Browser-Autofill oder Cloud-Synchronisation speicherst oder übermittelst, achte darauf, dass wirklich nur du Zugriff hast. Ohne klare Sicherheit über Endgeräte, Konten und Freigaben ist das Risiko höher, als es im Alltag oft wirkt.

Nicht auf unsicheren Geräten oder Netzen anmelden

Gib Passwörter nicht auf fremden Rechnern ein und vermeide Eingaben in öffentlichen Netzwerken (z. B. ungesichertes WLAN). Besonders an öffentlich zugänglichen Orten steigt die Gefahr durch Schadsoftware, Mitschnitte oder kompromittierte Systeme.

Keine schwachen oder standardisierten Passwörter

Nutze keine Muster wie “Passwort123”, leicht veränderte Standardwörter oder bekannte Formate. Solche Passwörter werden besonders häufig in Angriffsszenarien ausprobiert und bieten kaum Schutz.

Keine unverschlüsselten Passwort-Listen in der Cloud

Speichere Passwortlisten nicht unverschlüsselt in der Cloud (z. B. als Datei oder Notiz ohne starke Verschlüsselung). Wenn ein Dienst oder Konto kompromittiert wird, sind ungeschützte Listen ein direkter Angriffsweg.

Keine blind generierten Passwörter übernehmen

Du solltest Passwörter nicht von einer KI erstellen lassen. Sie wirken zwar manchmal komplex, aber dennoch beinhalten sie wiederholbare Muster, vorhersehbare Strategien oder sogar schwer erkennbar schwache Zusammensetzungen.

Vorsicht bei Passwort-Generatoren mit zusätzlichen Abfragen

Nutze Passwort-Ersteller-Netzseiten nur, wenn klar ist, wie Daten verarbeitet werden. Generierungstools, die parallel persönliche Informationen abfragen (z. B. eBrief-Adresse), können je nach Anbieter Daten unnötig sammeln oder speichern. Wir haben einen Passwort-Generator erstellt, der keinerlei Daten von dir speichert. Alles passiert nur im Browserfenster. Teste ihn gerne für deine Passwörter.

Kein Passwort-Reset auf verdächtige Weise

Klicke nicht auf “Passwort zurücksetzen”-Links, die unerwartet per Chat oder eBrief kommen, ohne Absender und URL exakt zu prüfen. Phishing-Angriffe leben davon, dass man auf den ersten Blick plausible Formulierungen übernimmt.

Kein Aufbau von “Wiederverwendungs-Clustern”

Vermeide Muster, mit denen du mehrere Dienste “ähnlich” absichern willst. Auch wenn sich Passwörter unterscheiden, kann ein wiederkehrender Aufbau Angreifern das Erraten oder Zuordnen erleichtern.

Nicht “Merken” oder “Angemeldet bleiben” erzwingen

Verlasse dich nicht auf “Merken” oder “Angemeldet bleiben”, wenn du nicht sicher ausschließen kannst, dass andere Zugriff auf dein Gerät oder deine Session bekommen.

MFA/2FA nicht abschalten

Schalte MFA/2FA nicht ab oder umgeh es nicht nur wegen Komfort. MFA ist zwar kein Ersatz für gute Passwörter, aber sie reduziert den Schaden erheblich, falls ein Passwort doch kompromittiert wird.

“Secret-Fragen” als Sicherheitsersatz ablehnen

Akzeptiere keine „Geheimfragen“ oder „Sicherheitsfragen“, die aus öffentlich bekannten Informationen ableitbar sind. Wenn die Antwort rekonstruierbar ist, ist die ganze Schutzidee untergraben. Behandle sie keinesfalls als Ersatz für starke Passwörter.

Angriffe von außen

In der heutigen digitalen Welt können Angriffe wie Keylogger, Phishing-Attacken und Brute-Force-Versuche schnell zu Datenverlust, finanziellen Schäden und Identitätsbetrug führen. Diese Methoden setzen dabei entweder auf das Ausspähen von Informationen, auf das Ausnutzen menschlicher Schwächen oder auf das systematische Erraten von Passwörtern. Im Folgenden werden die drei Angriffsarten verständlich erklärt, damit man ihre Funktionsweise besser einordnen und ihnen gezielt vorbeugen kann.

Der Keylogger

Ein Keylogger ist eine Hard- oder Software, die dazu verwendet wird, die Eingaben des Benutzers an einem Computer mitzuprotokollieren und dadurch zu überwachen oder zu rekonstruieren. Keylogger werden beispielsweise von Geheimdiensten und der Polizei verwendet, um an vertrauliche Daten - etwa Kennwörter oder PIN - zu gelangen. Verwende ausschließlich vollständig verschlüsselte Geräte und achte darauf, dass an den USB-Ports keine fremden Geräte angeschlossen sind.

Die Phishing Attacke

Die zweite Möglichkeit besteht darin, das Opfer zu "Verarschen". Im großen Stil funktioniert das über Phishing. Hier werden dem Nutzer auf eine gemeine Weise die Zugangsdaten geklaut.

Ein kleines Beispiel für die Verständlichkeit: Ich möchte mich bei meinem Musikliferanten einloggen, um die neueste Rechtsrockschreibe zu bestellen. Doch statt „www.pcrecords.net“ tippe ich versehentlich „www.ocrecords.net“ ein und melde mich dort mit meinem Konto an. Die gefälschte Seite sieht echt aus, leitet mich jedoch unbemerkt zur richtigen PC-Records-Seite weiter. Dabei hat sie im Hintergrund meine eBrief-Adresse und mein Passwort abgegriffen und an den Angreifer weitergegeben.

Die Brute-Force Methode

Die Brute-Force-Methode knackt gezielt Konten, indem sie systematisch alle möglichen Passwort-Kombinationen ausprobiert, bis das richtige gefunden ist. Je mehr Zeichenkombinationen es gibt, desto länger dauert der Prozess.

Mit steigender Rechenleistung (CPU/GPU) sinkt die Zeit deutlich: Laut Berechnungen von Electric Alchemy kostet das Knacken eines 9-stelligen ZIP-Passworts (nur Buchstaben und Zahlen) per Brute-Force bei EC2 weniger als 2000 Dollar und etwa eine Stunde.

Hacks

Selbst das längste Passwort hilft nicht, wenn Hacker Klartext-Passwörter von Servern stehlen. Das geschah in den vergangenen Jahren millionenfach, etwa bei nationalen Versänden: Die Angreifer konnten u.a. tausende eBrief-Adressen und Klartext-Passwörter entwenden und anschließend veröffentlichen.

Die Zeit

Mit der Zeit werden Computer immer leistungsfähiger. Dadurch werden Brute-Force-Angriffe schneller, sodass Passwörter, die früher als sicher galten, heute leichter zu knacken sein können. Zusätzlich könnten leistungsfähige Quantencomputer in Zukunft bestimmte Verschlüsselungsverfahren weiter schwächen.

Die Frage, die sich einem stellen sollte, wenn man sich ein neues Passwort zulegen muss, sollte stets sein: Wie kann ich es lang genug machen, mir es aber trotzdem einfach merken können? Ein sicheres Passwort erkennt man an den folgenden Aspekten:

Befolgst du nun diese 4 Regeln entstehen z.B. Passwörter wie „j7%_P+1r&Uf8(“, „e56U_W?a0&G1“ und so weiter. Zugegebenermaßen sind solche wirren Zeichenfolgen für den Ungeübten ziemlich schlecht zu merken. Deshalb geben wir weiterführend den Rat: Baue dir deine Passwörter aus Sätzen! Dadurch sind die Passwörter nicht nur einfacher zu merken, sondern gewinnen ebenfalls erheblich an Größe. Folgend nun zwei Beispiele:

• Aus Nachbar Müllers Hund heißt Bodo wird 0NACHbar1_2MuElLeRs?hund_8_hEiSsT_8_boDO.
• Aus Susi hat lange blonde Haare wird sUSi=123=HAT_lANGe%bl0nde&H44Re.

Solche Passwörter sind sehr sicher und ebenso einfach zu merken, oder? Nach mehrmaligem Probetippen hat man sie sicher drauf. Du siehst außerdem, dass wir an der einen oder anderen Stelle Zahlen anstatt Buchstaben genutzt haben. Diese Schreibvariation (auch Leet-Speak genannt) bietet die Möglichkeit, ähnlich aussehende Zahlen und Zeichen einfach anstatt den ursprünglichen Buchstaben zu nutzen. Hier eine kleine Liste:

Es gibt vage Schätzungen, wie lange ein Quantencomputer für das Knacken eines solch langen Passwortes brauchen würde. Diese sind aber definitiv nicht aussagefähig, da die Technologie voranschreitet und damit die Verarbeitungsgeschwindigkeit eines Rechenprozessors stets zunimmt. Nehmen wir mal an, man hält sich an die o.g. Regeln, und nutzt alle Zeichenkategorien aus dem ASCII-Zeichensatz. Demnach gäbe es 94 verschiedene Zeichen, die man verwendet haben könnte.

• Buchstaben (gesamt): 52 (a–z & A–Z)
• Zahlen: 10 (0–9)
• Sonderzeichen: 32

Die Summe ergibt 94 druckbare ASCII-Zeichen. Da der Angreifer nicht weiß, welche Zeichen du für dein Passwort verwendest, muss er von allen ausgehen. Dazu eine kleine Rechnung: Zeichenanzahl hoch Passwortlänge.

• Passwortlänge = 12 - Wir empfehlen ein Passwort, bestehend aus 12 Zeichen.
• Zeichenanzahl = 94 - Für jede der 12 Positionen gibt es 94 mögliche Zeichen, aus denen gewählt werden kann.

Rechnen wir nun 94^12, erhalten wir: 4.294.602.606.021.696 verschiedene Passwortmöglichkeiten. Selbst wenn der Angreifer 10.000.000 Passwörter in nur einer Sekunde testen kann, wäre er trotzdem tausende Jahre damit beschäftigt, das Passwort zu erraten.

Je mehr Zeichen du für dein Passwort nutzt, desto sicherer ist es. Selbst wenn sich der Staat überlegt, ein Knacken mithilfe eines Quantencomputers in Auftrag zu geben - mit Kosten in fünf- bis sechsstelliger Höhe -, liegt es nicht mehr allein in deiner (und unserer) Macht, das zu verhindern. Du hast alles getan, um dein Passwort so sicher wie möglich zu gestalten und es der Maschine so schwer wie nur möglich zu machen.

Alle Welt redet immer von sicheren Passwörtern, aber auch das sicherste Passwort des Planeten kann noch verbessert werden - durch eine Schlüsseldatei. Eine solche Datei wird beim Login zusätzlich zum Passwort verlangt und kann jede beliebige Datei sein, einige Tools akzeptieren sogar ganze Programmsammlungen.

Schlüsseldateien sind Dateien, die zur Verschlüsselung und Entschlüsselung von Daten verwendet werden. Sie enthalten kryptografische Schlüssel, die für verschiedene Sicherheitszwecke genutzt werden können. Das heißt also, selbst wenn ein Angreifer dein "unsicheres" Passwort aufdeckt, müsste er immer noch den richtigen Datenträger mit der richtigen Datei, die du als Schlüsseldatei gewählt hast, finden. Lasse mal die Dateien auf deinem Windows-System zählen und überlege selbst, ob er wohl Erfolg hat.

Sicherheitsrelevante und von uns empfohlene Programme, bei denen du derlei Schlüsseldateien einsetzen kannst, sind etwa:

Die Schlüsseldatei dient als eine Art zusätzliche Sicherheitsebene neben dem Kennwort (oder Masterpasswort). Ohne diese Schlüsseldatei wird selbst das korrekte Passwort nicht ausreichen, um auf die verschlüsselten Daten zuzugreifen oder die Passwortdatenbank zu öffnen. Daher ist es äußerst wichtig, die Schlüsseldatei sicher aufzubewahren und mehrere Sicherungskopien davon zu erstellen, um sicherzustellen, dass du auch im Falle einer möglichen Hausdurchsuchung oder einer Beschädigung weiterhin auf deine verschlüsselten Daten zugreifen kannst.

Die Zwei-Faktor-Authentifizierung (2FA) ist eine Sicherheitsmethode, die einen zusätzlichen Schutz für Online-Konten und -Dienste bietet, indem sie verlangt, dass Nutzer ihre Identität mit zwei verschiedenen Bestätigungsmethoden nachweisen. Die traditionelle Authentifizierungsmethode verwendet in der Regel nur ein Element – zum Beispiel ein Passwort oder eine PIN –, um den Zugriff auf ein Konto zu gewähren. Allerdings können diese Einzelmethoden, wie bereits beschrieben, anfällig für Phishing, Hacking oder andere Sicherheitsbedrohungen sein.

Die 2FA fügt diesem Prozess eine weitere Sicherheitsebene hinzu, indem sie zusätzlich zum Passwort oder der PIN einen zweiten Authentifizierungsfaktor verlangt. Diese zusätzlichen Faktoren könnten sein:

1. Etwas, das der Nutzer weiß: Dies könnte ein Passwort, eine PIN oder die Antwort auf eine Sicherheitsfrage sein.
2. Etwas, das der Nutzer besitzt: Zum Beispiel ein Mobiltelefon, eine Smartwatch oder ein Hardware-Token, der einen einmaligen Code generiert.
3. Etwas, das der Nutzer ist: Dies bezieht sich auf biometrische Daten wie Fingerabdrücke, Gesichtserkennung oder Iris-Scans.

Ein typisches Szenario für 2FA könnte wie folgt aussehen: Nachdem der Nutzer sein Passwort eingegeben hat, wird ein zusätzlicher Sicherheitscode an sein Smartphone gesendet. Dieser Code muss dann zusätzlich zum Passwort eingegeben werden, um Zugriff auf das Konto zu erhalten.

Durch die Kombination von zwei verschiedenen Authentifizierungsmethoden wird die Sicherheit erheblich erhöht, da es für einen potenziellen Angreifer schwieriger wird, sowohl das Passwort als auch den zweiten Faktor zu umgehen oder zu stehlen. Die Zwei-Faktor-Authentifizierung ist daher eine effektive Maßnahme, um die Sicherheit von Online-Konten zu verbessern und sie vor unbefugtem Zugriff zu schützen.

Es gibt mehrere Methoden zur Implementierung der Zwei-Faktor-Authentifizierung (2FA), und sie nutzen verschiedene Arten von Faktoren, um die Identität eines Benutzers zu bestätigen. Hier sind einige gängige Methoden:

1. SMS-basierte 2FA: Bei dieser Methode wird nach der Eingabe von Benutzername und Passwort ein einmaliger Code per SMS an das registrierte Mobiltelefon des Benutzers gesendet. Der Benutzer muss dann diesen Code eingeben, um sich anzumelden.
2. Authentifizierungs-Apps: Es gibt spezielle Apps wie Google Authenticator, Authy, Microsoft Authenticator und andere, die einmalige Zeit-basierte Codes (TOTP - Time-based One-Time Password) generieren. Der Benutzer scannt einen QR-Code oder gibt einen geheimen Schlüssel in die App ein, um eine Verbindung zum Konto herzustellen. Die App generiert dann fortlaufend wechselnde Codes, die der Benutzer während des Anmeldevorgangs eingibt.
3. Hardware-Token: Hardware-Token sind physische Geräte, die eine Vielzahl von Authentifizierungsmethoden unterstützen können. Sie generieren in der Regel einmalige Codes, die vom Benutzer eingegeben werden müssen. USB-Token, Smartcards oder NFC-fähige Geräte sind Beispiele für Hardware-Token.
4. Biometrische Authentifizierung: Diese Methode verwendet biometrische Merkmale wie Fingerabdrücke, Gesichtserkennung, Iris-Scans oder Spracherkennung, um die Identität eines Benutzers zu überprüfen.
5. Backup-Codes: Benutzer erhalten im Voraus eine Liste von einmaligen Backup-Codes, die im Falle von Verlust des zweiten Faktors verwendet werden können. Diese Codes können bei Bedarf eingegeben werden, um sich anzumelden, wenn der reguläre zweite Faktor nicht verfügbar ist.
6. Push-Benachrichtigungen: Diese Methode verwendet Apps auf mobilen Geräten, um Benachrichtigungen zu senden, wenn jemand versucht, sich anzumelden. Der Benutzer kann dann die Anmeldung genehmigen oder ablehnen, um die Authentifizierung zu vervollständigen.

Die Wahl der 2FA-Methode hängt oft von den Vorlieben des Dienstanbieters, der Art des Kontos und den Sicherheitsvorkehrungen ab, die der Benutzer bevorzugt oder unterstützt. Oftmals bieten Plattformen mehrere Optionen zur Auswahl an, um den Benutzern Flexibilität und Komfort bei der zusätzlichen Sicherheitsverifizierung zu bieten.

Bei solch einfallsreichen und langen Passwörtern stellt sich uns ein weiteres Problem in die Quere: Wenn man für jeden Anbieter, bei dem man ein Passwort benötigt, ein anderes, 20-Zeichen langes, Passwort mit Zahlen und Sonderzeichen nutzt, wie soll man sich diese dann bitteschön alle merken? Die Lösung für dieses Problem ist ein Passwort-Manager.

Ein Passwort-Manager besteht meist aus ein bis drei Teilen:

1. Ein Hauptprogramm für deinen Computer, das die Zugangsdaten (Welche Netzseite? Welcher Nutzername? Welches Passwort?) in einer (mit Passwort verschlüsselten) Datenbank verwaltet und verschiedene Zusatzfunktionen bietet.
2. Ein Plug-In für die Netzbetrachter, dass diese Zugangsdaten dann (halb)automatisch einträgt, wenn man das abruft. Das ist optional, man könnte das auch von Hand übernehmen.
3. Ein (irgendwie synchronisierbares) Gegenstück auf Android, iPhone/iPad (iOS) und anderen Smartphone-/Tablet-Mobilsystemen, mit dem man mindestens die Passwortdatenbank laden, öffnen und anzeigen kann, zuweilen auch bearbeiten.

Damit die Passwörter im Passwort-Manager sicher sind, rückt er diese nur auf Anfrage heraus - und nur nach Angabe einer Art "Masterpasswort". Dieses Passwort sollte natürlich etwas sicherer sein als üblich, weil es ja alle anderen Passwörter schützt und daher nicht weniger sicher sein darf als diese.

Es gibt viele Gründe für einen Passwort-Manager:

• Keine Kennwörter mehr merken Weil alle im Passwort-Manager gespeichert sind. In der Realität sollten Sie sich einige wichtige dennoch merken und nicht im Passwort-Manager speichern.
• Bessere Passwörter Weil wir uns keine Passwörter mehr merken müssen, können wir diese wahnsinnig übertrieben kompliziert machen - ohne daran zu verzweifeln!
• Komplexere Passwörter ... denn viele Passwort-Manager enthalten auch gleich einen Passwort-Generator! Der hält uns davon ab, "katze67" zu verwenden, nur weil uns nichts besseres einfällt.
• Überall andere Passwörter Weil wir uns keine Passwörter mehr merken müssen, sind wir nicht mehr in Versuchung, bei allen Diensten nur ein gemeinsames Passwort zu haben. Du kannst und solltest bei jedem Dienst ein anderes Passwort haben, musst dir aber trotzdem nur ein Kennwort merken - nämlich das Passwort des Passwort-Managers.
• Ständig andere Passwörter Weil wir uns keine Passwörter mehr merken müssen, können wir öfter mal ein Passwort ändern, wir müssen uns ja weder das neue merken noch das alte vergessen.
• Weniger Phishing Passwort-Manager speichern ein Passwort für eine bestimmte Netzseite und geben es nur dort automatisch an. Das bedeutet, dass wenn du ein Zugangsdatenfeld vor dir hast, und der Passwort-Manager sich weigert, es auszufüllen, dann bist du vielleicht auf der falschen Seite! Andersherum: Einige Passwort-Manager rufen z.B. per Doppelklick die gewünschte Seite auf und geben dann direkt Name und Passwort ein - so ist man sicher, sich wirklich dort anzumelden, wo man sich anmelden will.
• Mehr Komfort Passwort-Manager können, je nach Ausführung, automatisch anzeigen, ob die gewählten Passwörter sicher sind; sie können nach Ablauf einstellbarer Zeit darauf hinweisen, dass ein Passwort gewechselt werden sollte; sie können Notizen zu Passwörtern speichern, teils auch Dateien; einige bieten auch spezielle Bereiche an, etwa um auch Software-Keys zu verwalten.

Arten von Passwort-Managern

Technisch gibt es zwei Ansätze - es gibt Online und Offline Passwort-Manager. Die Online-PW Manager verwalten euren Tresor in einer Cloud, der Komfort besteht in erster Linie darin, dass ihr bei geräteübergreifender Nutzung (zB Computer, Mobiltelefon, Notebook und Tablet) von überall auf euren Tresor zugreifen könnt. Der Offline Passwort-Manager verwaltet die Datei direkt auf eurem Computer, dies ist sicherer, aber etwas weniger komfortabel. Bekannte Beispiele hierfür sind Bitwarden, 1Passwort und Dashlane (Online) und KeePass (Offline).

Für welche Variante und welchen Anbieter ihr euch entscheidet, bleibt letztendlich euch und euren Anforderungen überlassen. In unserem Leitfaden empfehlen wir den Offline Passwort-Manager: Keepass

KeePass Password Safe

Der ein oder andere mag zwar ein Gedächtnisgenie sein und somit keine Probleme damit haben, der Großteil aber würde sich diese auf einem Stück Papier oder gar auf dem Rechner notieren. Um diesem erheblichen Sicherheitsrisiko entgegenzuwirken, gibt es ein Programm namens KeePass Password Safe. Dieses Programm legt eine, mit den Algorithmen AES und Twofish, vollverschlüsselte Datenbank an, in der die verschiedenen Passwörter mit dem dazugehörigen Anbieter als Datensätze angelegt werden. Man muss sich somit nur noch das Haupt-Passwort für den Zugang zu dem Programm merken. Dieses sollte natürlich besonders sicher sein und mit viel Bedacht gewählt werden, ebenfalls regelmäßig gewechselt werden.

Für dein Android Mobiltelefon gibt es die Erweiterung (App) KeePassDroid, um deine Passwörter sicher zu Speichern. Beim ersten Start kannst du in der App eine neue Passwortdatenbank anlegen oder eine bereits bestehende Datenbank öffnen - ideal, wenn du bereits zuvor am Computer eine Passwortdatenbank erstellt hast.

Keepass installieren

Wir verwenden das Open-Source-Programm KeePass. Es gibt diesen Passwort-Manager in zwei Varianten:

• die normale Installation
• die Portable Version

Wir entscheiden uns in diesem Leitfaden für die Portable Version. In dieser Version des Programmes wird das gesamte Programm in nur einem einzigen, von dir bestimmten Ordner ausgeführt und kann somit bei Bedarf ganz leicht komplett und sicher gelöscht werden.

Hier gezeigte Programmversion: 2.42.1

Die von uns verwendete Version kannst du unter www.keepass.info runterladen.

Die Portable KeePass Version wird nicht installiert! Du öffnest die heruntergeladene .zip Datei und entpackst alle Daten in einen von dir erstellten Ordner.

Hast du jetzt alle Dateien in einen Ordner kopiert, kannst du das Programm mit einem Klick auf die KeePass.exe starten. Nach wenigen Augenblicken siehst du das KeePass Hauptfenster.

Wir erstellen uns jetzt eine Datenbank, in die wir die Passwörter ablegen können. Dazu navigieren wir im Menü auf File -> New und es öffnet sich ein Infofenster, welches wir mit einem Klick auf OK bestätigen.

Es öffnet sich ein weiteres Fenster. Hier kannst du dir einen Platz für deine Datenbank suchen. In diesem Leitfaden speichern wir die Datenbank, der Einfachheit halber, direkt in dem Ordner, in den wir die KeePass Dateien verschoben haben. Hast du deinen Speicherplatz gefunden bestätigst du ihn mit einem Klick auf Speichern.

Und wieder öffnet sich ein neues Fenster. Hier gibst du ein sicheres Passwort für deine Datenbank ein. Mit einem Häkchen bei Show expert options kannst du dem Passwort optional eine Schlüsseldatei oder einen Windows Benutzeraccount hinzufügen. Mit einem Klick auf OK bestätigen.

In einem weiteren Fenster kannst du die Datenbank konfigurieren. Dies wird jedoch nicht zwingend benötigt, deshalb reicht auch hier ein Klick auf OK und du hast deine Datenbank erstellt.

Ein weiteres Infofenster kann mit einem Klick auf Skip unbesorgt weggeklickt werden und schon wird deine neue Datenbank im KeePass Hauptfenster angezeigt. Links erscheint eine Verzeichnisstruktur, anhand welcher du deine einzelnen Passwörter kategorisiert sichern kannst.

Du kannst die linke Verzeichnisstruktur beliebig verändern. Die alten Punkte löschen und neue, eigene hinzufügen. Wir behalten sie jedoch erst einmal und klicken in der linken Verzeichnisstruktur den Punkt Internet. Jetzt können wir im Menü den Reiter Entry und klicken in dem sich öffnendem Menü auf Add Entry.

Im folgenden Fenster kannst du nun den Titel des Eintrags, den Benutzernamen sowie das dazugehörige Passwort und eventuell einen Kommentar dazu eingeben. Es ist auch definitiv empfehlenswert, dem Passwort ein Verfallsdatum zu geben, damit man automatisch regelmäßig seine Passwörter ändert. Dadurch kann man sicherstellen, dass von einem Dritten notierte Passwörter ungültig gemacht werden.

Nachdem du die Felder ausgefüllt hast, bestätige mit OK und ein neuer Eintrag erscheint jetzt in deiner Datenbank.

Der soeben erstellte Eintrag erscheint im Menüpunkt Internet. Diese Vorgehensweise wiederholst du nun mit all deinen Passwörtern, welche du in der Datenbank speichern möchtest.

Möchtest du KeePass das erste Mal Beenden erscheint wieder ein Infofenster, in dem du gefragt wirst, ob du die Datenbank abspeichern möchtest. Wir empfehlen den Haken bei Automatically save when closing/locking the database zu setzen, um dieses Fenster nicht immer wieder angezeigt zu bekommen.

Mit einem Klick auf Save wird deine Datenbank abgespeichert.

Die Datenbank wird beim Schließen des Programms automatisch wieder verschlüsselt und kann somit bedenkenlos auf der Festplatte oder anderen mobilen Datenträgern gesichert werden. Um wieder an deine Passwörter zu kommen, öffnest du KeePass und gibst in dem sich öffnenden Fenster dein Passwort ein.

Unsere paranoiden Sicherheitstipps zu Passwort-Managern

• Superduperlanges Passwort-Manager-Zugangs-Kennwort Wenn alle Passwörter im Passwort-Manager liegen, dann sind sie darin nur so sicher wie das Passwort, mit dem du deine Passwort-Datenbank gesichert hast. Daher sollte das wirklich lang und kompliziert sein.
• Keine Cloud, kein Sync nutzen Natürlich verbietet es sich von selbst, die Datenbankdatei in Cloud-Speicher zu stellen oder über sonstige Cloud-Dienste zu nutzen. (Viele Produkte bieten das an, aber man kann die Passwort-Datenbankdatei auch manuell verschieben.
• Vorsicht vor der Zwischenablage Das Funktionsprinzip vieler Passwort-Manager ist, die Zwischenablage zu verwenden, um Passwörter zur Verfügung stellen. Das bedeutet auch: Wenn dein System kompromittiert ist, durch Virus/Malware/Trojaner/Keylogger, dann besteht die prinzipielle Gefahr, dass über das Auslesen der Zwischenablage Passwörter ausspioniert werden. Das gilt auch für Mobilgeräte. Es gilt wie stets: Auf einem unsicheren System kann keine Software sicher sein.
• System verschlüsseln Um deine Passwort-Datenbank-Datei vor unbefugtem Zugang zu schützen, sollte der Rechner, also die Systempartition verschlüsselt sein, bei Tablets und Smartphones natürlich das jeweilige Gerät (iOS ab Werk; Android: Android verschlüsseln). So könnte ein Angreifer nur schwer einen Software-Keylogger/Trojaner heimlich aufspielen, etwa in deiner Abwesenheit vom Rechner. Gegen einen Hardware-Keylogger würde dies natürlich nichts ausrichten, hierfür bieten Passwortm-Mnager aber virtuelle Keyboards.
• Sicherheitsstufen einführen Natürlich speichere um Himmels willen nicht alle deine Passwörter im Passwort-Manager! Stattdessen lädst du darin nur den ganzen unwichtigen Ballast ab, irgendwelche Foren, in denen es um nichts Wichtiges geht, das siebzehnte soziale Netzwerk, das eh keiner nutzt, etc. Eine Handvoll von Passwörtern solltest du dir weiterhin merken und sie auf keinen Fall im Passwort-Manager speichern, also zum Beispiel VeraCrypt Passwörter, PayPal oder Online-Banking Zugänge. Stelle dir sozusagen Sicherheitsbereiche und Hochsicherheitsbereiche vor: Sicherheitsbereiche haben Passwörter, die du im Passwort-Manager speicherst; Hochsicherheitsbereiche haben Passwörter, die du NIRGENDWO speicherst, außer im Kopf. Das ist unbequemer, aber sicherer.

Jede Unterstützung, ob groß oder klein, hilft uns, unsere Arbeit fortzusetzen und langfristig unabhängige, parteilose Projekte zu ermöglichen. Dein Beitrag ermöglicht es uns, unsere Inhalte kostenfrei anzubieten und damit den nationalen Selbstschutz nachhaltig zu stärken. Vielen Dank für deine Unterstützung!

Unabhängig davon, ob du Bitcoin Cash, Litecoin, Solana oder eine andere Kryptowährung bevorzugst – wir freuen uns über jede Form der Unterstützung für unsere Arbeit. Wenn du uns finanziell unterstützen möchtest, kontaktiere uns einfach über das Kontaktformular. Nach deiner Nachricht werden wir dir die passende Wallet-Adresse für deine gewünschte Kryptowährung zukommen lassen.