SfN | Hauptseite

Die sichere Aufbewahrung von Passwörtern

Bei solch einfallsreichen und langen Passwörtern stellt sich uns ein weiteres Problem in die Quere: Wenn man für jeden Anbieter, bei dem man ein Passwort benötigt, ein anderes, 20-Zeichen langes, Passwort mit Zahlen und Sonderzeichen nutzt, wie soll man sich diese dann bitteschön alle merken?

Die Lösung für dieses Problem ist ein Passwortmanager

Ein Passwortmanager besteht meist aus ein bis drei Teilen:

  1. Ein Hauptprogramm für deinen Computer, das die Zugangsdaten (Welche Weltnetzseite? Welcher Nutzername? Welches Passwort?) in einer (mit Passwort verschlüsselten) Datenbank verwaltet und verschiedene Zusatzfunktionen bietet.
  2. Ein Plug-In für die Netzbetrachter, dass diese Zugangsdaten dann (halb)automatisch einträgt, wenn man das abruft. Das ist optional, man könnte das auch von Hand übernehmen.
  3. Ein (irgendwie synchronisierbares) Gegenstück auf Android, iPhone/iPad (iOS) und anderen Smartphone-/Tablet-Mobilsystemen, mit dem man mindestens die Passwortdatenbank laden, öffnen und anzeigen kann, zuweilen auch bearbeiten.

Damit die Passwörter im Passwortmanager sicher sind, rückt er diese nur auf Anfrage heraus – und nur nach Angabe einer Art “Masterpasswort“. Dieses Passwort sollte natürlich etwas sicherer sein als üblich, weil es ja alle anderen Passwörter schützt und daher nicht weniger sicher sein darf als diese.

Es gibt viele Gründe für einen Passwortmanager:

  • Keine Kennwörter mehr merken
    Weil alle im Passwortmanager gespeichert sind. In der Realität sollten Sie sich einige wichtige dennoch merken und nicht im Passwortmanager speichern.
  • Bessere Passwörter
    Weil wir uns keine Passwörter mehr merken müssen, können wir diese wahnsinnig übertrieben kompliziert machen – ohne daran zu verzweifeln!
  • Komplexere Passwörter
    …denn viele Passwortmanager enthalten auch gleich einen Passwort-Generator! Der hält uns davon ab, “katze67” zu verwenden, nur weil uns nichts besseres einfällt.
  • Überall andere Passwörter
    Weil wir uns keine Passwörter mehr merken müssen, sind wir nicht mehr in Versuchung, bei allen Diensten nur ein gemeinsames Passwort zu haben. Du kannst bei jedem Dienst ein anderes Passwörter haben, musst dir aber trotzdem nur ein Kennwort merken – nämlich das Passwort des Passwort-Managers.
  • Ständig andere Passwörter
    Weil wir uns keine Passwörter mehr merken müssen, können wir öfter mal ein Passwort ändern, wir müssen uns ja weder das neue merken noch das alte vergessen.
  • Weniger Phishing
    Passwortmanager speichern ein Passwort für eine bestimmte Weltnetzseite und geben es nur dort automatisch an. Das bedeutet, dass wenn du ein Zugangsdatenfeld vor dir hast, und der Passwortmanager sich weigert, es auszufüllen, dann bist du vielleicht auf der falschen Seite! Andersherum: Einige Passwortmanager rufen z.B. per Doppelklick die gewünschte Seite auf und geben dann direkt Name und Passwort ein – so ist man sicher, sich wirklich dort anzumelden, wo man sich anmelden will.
  • Mehr Komfort
    Passwortmanager können, je nach Ausführung, automatisch anzeigen, ob die gewählten Passwörter sicher sind; sie können nach Ablauf einstellbarer Zeit darauf hinweisen, dass ein Passwort gewechselt werden sollte; sie können Notizen zu Passwörtern speichern, teils auch Dateien; einige bieten auch spezielle Bereiche an, etwa um auch Software-Keys zu verwalten.

KeePass Password Safe

Der ein oder andere mag zwar ein Gedächtnisgenie sein und somit keine Probleme damit haben, der Großteil aber würde sich diese auf einem Stück Papier oder gar auf dem Rechner notieren. Um diesem erheblichen Sicherheitsrisiko entgegenzuwirken, gibt es ein Programm namens KeePass Password Safe.

Dieses Programm legt eine, mit den Algorithmen AES und Twofish, vollverschlüsselte Datenbank an in der die verschiedenen Passwörter mit dem dazugehörigen Anbieter als Datensätze angelegt werden. Man muss sich somit nur noch das Haupt-Passwort für den Zugang zu dem Programm merken. Dieses sollte natürlich besonders sicher sein und mit viel Bedacht gewählt werden, ebenfalls regelmäßig gewechselt werden.

Für dein Android Mobiltelefon gibt es die Erweiterung (App) KeePassDroid um deine Passwörter sicher zu Speichern. Beim ersten Start kannst du in der App eine neue Passwortdatenbank anlegen oder eine bereits bestehende Datenbank öffnen – ideal, wenn du bereits zuvor am Computer eine Passwortdatenbank erstellt hast.

Keepass installieren

Wir verwenden das Open-Source Programm Keepass. Es gibt diesen Passwortmanager in zwei Varianten:

  • die normale Installation
  • die Portable Version

Wir entscheiden uns in diesem Leitfaden für die Portable Version. In dieser Version des Programmes wird das gesamte Programm in nur einem einzigen, von dir bestimmten Ordner ausgeführt und kann somit bei bedarf ganz leicht komplett und sicher gelöscht werden.

Hier gezeigte Programmversion: 2.42.1

Die von uns verwendete Version kannst du unter www.keepass.info runterladen.

Die Portable Keepass Version wird nicht installiert! Du öffnest die heruntergeladene .zip Datei und entpackst alle Daten in einen von dir erstellten Ordner.

Hast du jetzt alle Dateien in einen Ordner kopiert kannst du das Programm mit einem Klick auf die KeePass.exe starten. Nach wenigen Augenblicken siehst du das Keepass Hauptfenster.

Wir erstellen uns jetzt eine Datenbank in die wir die Passwörter ablegen können. Dazu navigieren wir im Menü auf File -> New und es öffnet sich ein Infofenster welches wir mit einem Klick auf OK bestätigen.

Die Datenbank wird in einer nur von Keepass lesbaren Datei gespeichert. Du selber musst dir den Speicherort und Datenbankname für diese Datei aussuchen und darfst diesen natürlich nicht vergessen.

Es öffnet sich ein weiteres Fenster. Hier kannst du dir einen Platz für deine Datenbank suchen. In diesem Leitfaden speichern wir die Datenbank, der einfachheit halber, direkt in dem Ordner in den wir die Keepass Dateien verschoben haben. Hast du deinen Speicherplatz gefunden bestätigst du ihn mit einem Klick auf Speichern.

Und wieder öffnet sich ein neues Fenster. Hier gibst du ein sicheres Passwort für deine Datenbank ein. Mit einem Häckchen bei Show expert options kannst du dem Passwort optional eine Schlüsseldatei oder einen Windows Benutzeraccount hinzufügen. Mit einem Klick auf OK bestätigen.

Vergisst du dein Passwort gibt es keine Möglichkeit deine Datenbank wieder zu öffnen und somit wären deine ganzen anderen Passwörter verloren!

In einem weiteren Fenster kannst du die Datenbank konfigurieren. Dies wird jedoch nicht zwingend benötigt, deshalb reicht auch hier ein Klick auf OK und du hast deine Datenbank erstellt.

Ein weiteres Infofenster kann mit einem Klick auf Skip unbesorgt weggeklickt werden und schon wird deine neue Datenbank im Keepass Hauptfenster angezeigt. Links erscheint eine Verzeichnisstruktur anhand welcher du deine einzelnen Passwörter kategorisiert sichern kannst.

Die beiden vordefinierten Punkte im rechten Fenster kannst du ohne bedenken löschen.

Du kannst die linke Verzeichnisstruktur beliebig verändern. Die alten Punkte löschen und neue, eigene hinzufügen. Wir behalten sie jedoch ersteinmal und klicken in der linken Verzeichnisstruktur den Punkt Internet. Jetzt können wir im Menü den Reiter Entry und klicken in dem sich öffnendem Menü auf Add Entry.

Im folgenden Fenster kannst du nun den Titel des Eintrags, den Benutzernamen sowie das dazugehörige Passwort und eventuell einen Kommentar dazu eingeben. Es ist auch definitiv empfehlenswert, dem Passwort ein Verfallsdatum zu geben, damit man automatisch regelmäßig seine Passwörter ändert. Dadurch kann man sicherstellen, dass von einem Dritten notierte Passwörter ungültig gemacht werden.

Nachdem du die Felder ausgefüllt hast, bestätige mit OK und ein neuer Eintrag erscheint nun in deiner Datenbank.

Der soeben erstellte Eintrag erscheint im Menüpunkt Internet. Diese Vorgehensweise wiederholst du nun mit all deinen Passwörtern, welche du in der Datenbank speichern möchtest.

Möchtest du Keepass das erste mal Beenden erscheint wieder ein Infofenster in dem du gefragt wirst ob die die Datenbank abspeichern möchtest. Wir empfehlen den Haken bei Automatically save when closing/locking the database zu setzen um dieses Fenster nicht immer wieder angezeigt zu bekommen.
Mit einem Klick auf Save wird deine Datenbank abgespeichert.

Die Datenbank wird beim Schließen des Programms automatisch wieder verschlüsselt und kann somit bedenkenlos auf der Festplatte oder anderen mobilen Datenträgern gesichert werden.

Um wieder an deine Passwörter zu kommen öffnest du Keepass und gibst in dem sich öffnenden Fenster dein Passwort ein.

Unsere paranoiden Sicherheitstipps zu Passwort-Managern

  • Superduperlanges Passwort-Manager-Zugangs-Kennwort
    Wenn alle Passwörter im Passwortmanager liegen, dann sind sie darin nur so sicher wie das Passwort, mit dem du deine Passwortdatenbank gesichert hast. Daher sollte das wirklich lang und kompliziert sein.
  • Keine Cloud, kein Sync nutzen
    Natürlich verbietet es sich von selbst, die Datenbankdatei in Cloud-Speicher zu stellen oder über sonstige Cloud-Dienste zu nutzen. (Viele Produkte bieten das an, aber man kann die Passwort-Datenbankdatei auch manuell verschieben.
  • Vorsicht vor der Zwischenablage
    Das Funktionsprinzip vieler Passwortmanager ist, die Zwischenablage zu verwenden, um Passwörter zur Verfügung stellen. Das bedeutet auch: Wenn dein System kompromittiert ist, durch Virus/Malware/Trojaner/Keylogger, dann besteht die prinzipielle Gefahr, dass über das Auslesen der Zwischenablage Passwörter ausspioniert werden. Das gilt auch für Mobilgeräte. Es gilt wie stets: Auf einem unsicheren System kann keine Software sicher sein.
  • System verschlüsseln
    Um deine Passwort-Datenbank-Datei vor unbefugtem Zugang zu schützen, sollte der Rechner, also die Systempartition verschlüsselt sein, bei Tablets und Smartphones natürlich das jeweilige Gerät (iOS ab Werk; Android: Android verschlüsseln). So könnte ein Angreifer nur schwer einen Software-Keylogger/Trojaner heimlich aufspielen, etwa in deiner Abwesenheit vom Rechner. Gegen einen Hardware-Keylogger würde dies natürlich nichts ausrichten, hierfür bieten Passwortmanager aber virtuelle Keyboards.
  • Sicherheitsstufen einführen
    Natürlich speichere um Himmels willen nicht alle deine Passwörter im Passwortmanager! Statt dessen lädst du darin nur den ganzen unwichtigen Ballast ab, irgendwelche Foren, in denen es um nichts wichtiges geht, das siebzehnte soziale Netzwerk, das eh keiner nutzt, etc.
    Eine Handvoll von Passwörtern solltest du dur weiterhin merken und sie auf keinen Fall im Passwortmanager speichern, also zum Beispiel TrueCrypt / VeraCrypt Passwörter, PayPal, Online-Banking. Stelle dir sozusagen Sicherheitsbereiche und Hochsicherheitsbereiche vor: Sicherheitsbereiche haben Passwörter, die du im Passwortmanager speicherst; Hochsicherheitsbereiche haben Passwörter, die du NIRGENDWO speicherst, außer im Kopf. Das ist unbequemer, aber sicherer.

Kommentar hinzufügen

Bist du mit dem Tor-Netzwerk verbunden?
Nein - Du benutzt kein Tor

Der Artikel wurde das letzte mal aktualisiert vor:

Kategorien