Melden Sie sich bei Ihrem E-Mail-Konto an. Melden Sie sich bei Ihrer Bank an. Melden Sie sich bei Facebook an. Melden Sie sich bei Amazon an. Melden Sie sich bei Ihrer Foto-Cloud an. Können Sie zählen, wie viele Apps regelmäßig ein Passwort erfordern? Denken Sie auch an Ihr lokales Computerkonto. Fügen Sie dann Ihre geschäftlichen Netzwerkfreigaben oder persönlichen Datensätze in der Schule hinzu. Die Liste wächst schnell.
Wie behalten Sie den Überblick?
Die meisten Leute probieren ein paar Tricks aus. Einige arbeiten. Einige sind gefährlich. Hier ist, was Sie vielleicht versucht haben und warum Sie wahrscheinlich damit aufhören sollten.
Hören Sie auf, diese Methoden zu verwenden
Merken Sie sich alles. Dies funktioniert, wenn Sie sich täglich anmelden. Es schlägt fehl, wenn Sie eine Website nur einmal im Monat besuchen. Passwort vergessen? Du bist ausgesperrt. Außerdem erinnern sich Browser-Cookies oft tagelang an Ihre Sitzung. Möglicherweise geben Sie das Passwort nicht jeden Tag manuell ein, müssen es aber trotzdem kennen, wenn das Cookie abläuft.
Verwenden Sie dasselbe Passwort erneut. Es ist ganz einfach. Es ist schrecklich für die Sicherheit. Wenn ein Hacker Ihren Benutzernamen und Ihr Passwort für ein Konto knackt, gelangt er in Ihre Bank, Ihre E-Mails und Ihre sozialen Medien. Alles davon. Ein Schlüssel öffnet alle Türen. Tun Sie das nicht.
Schreiben Sie es auf Papier. Ideal nur, wenn Sie das Papier dort verstecken, wo es niemand finden kann. Wenn jemand die Liste findet, sind Sie entlarvt. Wenn Sie die Papierfetzen verlieren, sind Sie verloren. Und die Liste jedes Mal aktualisieren, wenn Sie ein Passwort ändern? Das ist eine Aufgabe, die Sie wahrscheinlich überspringen werden.
Speichern Sie es in einer einfachen Datei auf Ihrem Gerät. Besser als Papier. Es ist weniger wahrscheinlich, dass sie in einer Schublade verloren gehen. Aber wenn Ihre Festplatte ausfällt, ist die Datei weg. Noch wichtiger: Wenn Ihr Computer gehackt wird, ist die Datei angreifbar. Hacker lieben reine Textdateien. Für zusätzliche Sicherheit können Sie die Datei verschlüsseln. Dadurch ähnelt diese Methode der nächsten Option.
Verwenden Sie eine Passwortverwaltungssoftware. Dies ist das Dienstprogramm, das alle Ihre Passwörter speichert und abruft. Dabei kann es sich um eine eigenständige App auf Ihrem Computer oder um eine in ein anderes Tool integrierte Funktion handeln. Es schränkt den Zugang von Hackern zu Ihren Daten ein. Es fügt Funktionen zum Organisieren und Abrufen von Informationen hinzu. Es ist nicht ohne Grund der Standard.
In diesem Artikel erklären wir die Arten von Passwortverwaltungssoftware. Wir betrachten Nutzen und Risiken. Wir untersuchen spezifische Apps auf dem Markt und klären, welche zuverlässig sind und welche ein Hit-or-Miss sind. Aber schauen wir uns zunächst an, wie sich dieses Problem entwickelt hat.
Geschichte des Passwortverwaltungsproblems
Frühe Heimcomputer waren einfach. Ein Computer. Ein Benutzer. Kein Internet. Ein einziges Passwort reichte aus. Manche Leute klebten das Passwort auf einen Zettel auf dem Monitor. Niemand hat es gefunden, es sei denn, sie sind in das Haus eingebrochen.
Dann kamen Netzwerke. Plötzlich benötigten Sie Passwörter für jedes System im Netzwerk. Haftnotizen passten nicht mehr auf den Monitor. Sie aufzuschreiben wurde riskant. Sie brauchten eine bessere Lösung.
Softwareentwickler haben die ersten Tools zur Passwortverwaltung entwickelt. Das Ziel war einfach. Verwalten Sie eine Liste von Konten mit Benutzernamen und Passwörtern. Schützen Sie diese Liste vor Hackern. Schutz erforderlich, um auf dem lokalen Computer und über Netzwerkverbindungen zu arbeiten. Mit der Weiterentwicklung der Funktionen erfüllten diese Tools komplexere Sicherheitsanforderungen.
Das Problem verschärfte sich in den 1990er Jahren mit dem World Wide Web. Jede Website hatte ihr eigenes Benutzersystem. Einige Websites haben Schwellenwerte hinzugefügt, um Software zum Erraten von Passwörtern zu stoppen. Andere Websites haben strenge Regeln durchgesetzt. Länge ist wichtig. Inhalt ist wichtig. Die Regeln variieren je nach Standort.
Auf einer Website sind Sonderzeichen wie Ausrufezeichen oder Sternchen erforderlich. Eine andere Seite lehnt sie vollständig ab. Wenn die Regeln kollidieren, können Sie nicht überall dasselbe Passwort verwenden. Sie benötigen für jede Plattform eindeutige Passwörter.
Mobile Computing machte es noch schlimmer. Mit Laptops können Sie von überall aus im Internet surfen. Sie erhöhen aber auch das Risiko eines Datenverlusts durch Beschädigung oder Diebstahl. Fügen Sie dem Mix Smartphones und Tablets hinzu. Jetzt verwalten Sie Passwörter auf mehreren Geräten. Nicht nur ein oder zwei.
Heutige Lösungen berücksichtigen die Herausforderungen im Web und auf Mobilgeräten. Sie binden an Webbrowser ein. Sie füllen Anmeldeformulare automatisch aus, wenn Sie bestimmte Websites besuchen. Das Problem schrumpft nicht. Cloud Computing ersetzt lokale Versorgungsunternehmen. Web-Apps nehmen zu. Sie finden die Passwortverwaltung sogar als Web-App.
Arten und Vorteile von Passwortverwaltungssoftware
Wir haben die Herausforderungen zusammengestellt. Schauen wir uns nun die Grundfunktionen an. Verschiedene Arten von Software bieten unterschiedliche Vorteile. Einige konzentrieren sich auf die Sicherheit. Andere auf Bequemlichkeit. Das Verständnis der Typen hilft Ihnen bei der Auswahl des richtigen Werkzeugs.
Bei Passwortverwaltungssoftware geht es nicht nur darum, Zeit zu sparen. Es geht darum, eine Barriere zwischen Ihren sensiblen Daten und potenziellen Angreifern zu schaffen.
Als nächstes werden wir spezifische Anwendungen untersuchen. Wir werden herausfinden, welche sowohl hinsichtlich der Funktionen als auch der Sicherheit überzeugen. Welche sind Ihr Vertrauen wert? Welche sind nur ein Marketing-Hype? Die Antwort hängt von Ihren Bedürfnissen ab. Und Ihre Risikotoleranz.
Die Entwickler haben sich nicht auf einen einzigen Entwurf für Passwort-Manager geeinigt. Die Debatte konzentriert sich darauf, wo die Daten gespeichert sind, wie streng sie geschützt sind und welche zusätzlichen Tools zum Speichern oder Abrufen von Anmeldeinformationen enthalten sind. Bis 2011 waren vier verschiedene Archetypen entstanden. Jedes bringt spezifische Kompromisse zwischen Bequemlichkeit und Sichtbarkeit mit sich.
Das richtige Tool hängt von Ihrem Bedrohungsmodell ab. Wenn Sie Ihr Haus nie verlassen, reicht eine Browsererweiterung. Wenn Sie mit Ihrem Laptop reisen, kann sich die Hardwareverschlüsselung lohnen.
Browser-integrierte Manager
Betriebssysteme, Browser und Sicherheitssuiten werden häufig mit integrierten Tresoren ausgeliefert. Chrome, Firefox und Internet Explorer hatten alle ihre eigenen Implementierungen. Norton 360 hat Identitätsverwaltungsfunktionen in seine umfassendere Sicherheitssuite gebündelt. Diese Tools sind praktisch. Sie funktionieren sofort. Sie erfordern keine zusätzliche Software.
Allerdings sind sie auch die am wenigsten sichere Option für Umgebungen mit hohem Risiko. Sie vertrauen darauf, dass der Sicherheitsstatus des Browsers Ihre tiefsten Geheimnisse schützt. Wenn dieser Browser kompromittiert ist, sind auch Ihre Passwörter betroffen. Nutzen Sie dies nur, wenn Sie dem Ökosystem so vertrauen, dass Sie keine zweite Verteidigungsschicht benötigen.
Eigenständige Desktop-Anwendungen
Dies war das Originalmodell. Keine Wolke. Keine Browserintegration. Nur eine App auf Ihrem Computer. KeePass und Aurora sind die Paradebeispiele aus dieser Zeit. Aurora bot starke Verschlüsselung, Funktionen zum Ausfüllen von Formularen, einen Passwortgenerator und die Möglichkeit, Daten in lesbare Dateien zu exportieren.
Diese Apps glänzen, wenn Sie auf einem Gerät bleiben. Sie geben Ihre Daten nicht mehr als nötig an andere Benutzer auf demselben Computer weiter. Sie halten alles lokal. Der Nachteil? Keine Synchronisierung. Wenn Sie den Computer wechseln, sind Sie auf sich allein gestellt. Sie müssen die Datenbankdatei manuell verschieben. Es ist starr. Es ist sicher. Es ist isoliert.
Hardware-eingebettete Sicherheit
Einige Manager nutzen physische Komponenten, die in das Gerät eingebettet sind. Die ThinkPads der T-Serie von Lenovo verfügten beispielsweise über einen Embedded Security Subsystem-Chipsatz auf der Hauptplatine. Dabei handelt es sich nicht nur um Softwarespeicher. Es handelt sich um dedizierte Hardware.
In Verbindung mit den Passwortverwaltungstools von Lenovo werden die Daten verschlüsselt und in diesem Chipsatz gespeichert. Für den Abruf ist ein Passkey, ein Fingerabdruck von einem integrierten Lesegerät oder beides erforderlich. Da sich die Anmeldeinformationen nicht auf der Festplatte befinden, können Sie das BIOS so konfigurieren, dass dieser Passkey oder diese Biometrie nur zum Starten des Computers erforderlich ist.
Dieser Ansatz zielt auf eine bestimmte Bedrohung ab: physischen Diebstahl oder Hacking. Wenn Sie in Gemeinschaftsräumen arbeiten, häufig reisen oder befürchten, dass jemand Ihren Laptop stiehlt und das Laufwerk entwendet, stellt die hardwaregestützte Verschlüsselung eine erhebliche Hürde dar. Es ist weniger verbreitet als Cloud-Lösungen, lässt sich aber deutlich schwieriger aus der Ferne umgehen.
Webbasierte Passwort-Manager
Das Cloud-Modell hat das Spiel verändert. Webanwendungen wie RoboForm und PasswordSafe ermöglichten den Zugriff von jedem mit dem Internet verbundenen Gerät. Sie haben sich mit einem Master-Passwort angemeldet und alles andere abgerufen.
RoboForm und PasswordSafe spiegelten viele Funktionen eigenständiger Apps wie Aurora wider, fügten jedoch plattformübergreifende Zugänglichkeit hinzu. Desktop- und mobile Browser könnten alle auf denselben Tresor zugreifen. Dies ist die erste Wahl, wenn Sie mit mehreren Betriebssystemen jonglieren. Sie möchten Ihre Passwörter überall und sofort haben. Der Kompromiss? Sie vertrauen Ihre Daten einem Server eines Drittanbieters an. Wenn dieser Server angegriffen wird, ist Ihr gesamtes digitales Leben gefährdet.
Risiken bei der Verwendung von Passwortverwaltungssoftware
Der Single Point of Failure
Sie würden Ihre Kontoauszüge, Hausschlüssel und Kreditkarten nicht in einem ungesicherten Rucksack tragen. Warum also alle digitalen Anmeldeinformationen in einer App zusammenfassen, ohne Fragen zu stellen? Passwort-Manager sind sicher praktisch. Aber sie konzentrieren das Risiko. Wenn ein Hacker diesen einen Hauptschlüssel erhält, gehört ihm alles.
Stellen Sie sich Ihren Passwort-Manager als Ihr physisches Zuhause vor. Darin sind alle Ihre Wertsachen untergebracht. Ein Schlüssel öffnet die Haustür. Wenn dieser Schlüssel gestohlen wird, nimmt der Einbrecher nicht nur Ihren Fernseher mit. Sie nehmen Ihre Identität, Ihr Geld, Ihre Geheimnisse. Die Software selbst ist nicht so wichtig wie die Art und Weise, wie Sie die Tür abschließen.
Stärken Sie Ihre Abwehrkräfte
Sie können das Risiko nicht beseitigen. Du kannst es nur verwalten. Behandeln Sie Ihr Master-Passwort wie Nuklearstartcodes.
- Physische Sicherheit ist wichtig. Lassen Sie Ihren Laptop nicht auf einem Kaffeetisch liegen, während Sie sich einen Kaffee holen. Benutzen Sie ein Kensington-Schloss, wenn Sie sich in einem öffentlichen Raum aufhalten. Diebstahl ist die häufigste Art und Weise, wie Ausweise Ihren Besitz verlassen.
- Sperren Sie Ihre Benutzerkonten. Ein schwaches Gerätepasswort ist eine Hintertür. Erzwingen Sie eine Anmeldung beim Booten. Beim Aufwecken eine Anmeldung erzwingen. Ändern Sie dieses Passwort regelmäßig.
- Bildschirmsperren sind nicht verhandelbar. Weggehen? Sperren Sie den Bildschirm. Stets.
- Keine Weitergabe. Geben Sie Ihr Master-Passwort niemals an den IT-Support, Familie oder Freunde weiter. Immer.
- Firewalls sind Ihre erste Verteidigungslinie. Halten Sie sie aktiv. Blockieren Sie unerwünschten Netzwerkzugriff.
- Komplexität gewinnt. Wählen Sie ein Master-Passwort, dessen Brute-Force-Methode Monate dauert. Nicht dein Geburtstag. Nicht „passwort123“.
- Drehen Sie den Schlüssel. Ändern Sie Ihr Master-Passwort alle zwei bis drei Monate. Und machen Sie es anders als Ihr Betriebssystem-Login. Wenn sie gleich sind, haben Sie zweimal einen Single Point of Failure erstellt.
- Biometrische Hilfe. Wenn Sie Passwörter vergessen, verwenden Sie einen Fingerabdruck oder einen Gesichtsscan. Es beseitigt die Speicherlast. Aber denken Sie daran: Biometrie ist immer noch an den zugrunde liegenden Verschlüsselungsschlüssel gebunden.
Verriegeln Sie die Türen. Schlüssel verloren? Du bist raus. Machen Sie das Schloss zu schwer zu öffnen? Diebe ziehen weiter. Aber was ist, wenn sie einen Vorschlaghammer mitbringen? Oder eine Brechstange? Das Schloss ist nicht die einzige Schwachstelle. Das Haus selbst könnte schlecht gebaut sein.
Spezifische Bedrohungen nach Managertyp
Allgemeine Ratschläge decken die Grundlagen ab. Aber bestimmte Tools haben spezifische Schwächen. Ignorieren Sie sie auf eigene Gefahr.
Lokaler Speicher und Malware
Software, die Passwörter auf Ihrer Festplatte speichert, hat einen Hauptfeind: Malware. Es ist keine Zauberei. Es ist Code. Malware durchsucht Ihr Dateisystem nach bekannten Speicherorten für Passwörter. Es findet sie. Es exfiltriert sie.
Sie verhindern dies mit zuverlässiger, aktualisierter Antivirensoftware. Zeitraum. Das ist Ihr Schutzschild gegen den Code, der Ihre Geheimnisse jagt.
Browserbasierte Manager
Browser-Passwort-Manager sind riskant. Sie sind praktisch. Außerdem sind sie oft schlecht gesichert.
Nehmen Sie Firefox. Es verschlüsselt Passwörter. Anschließend wird die codierte Zeichenfolge in eine einfache Textdatei neben der URL geschrieben. Jeder, der Zugriff auf diese Datei hat, kann sie lesen. Physische Sicherheit, Benutzerkennwörter und Bildschirmsperren schützen diese Datei. Wenn jedoch Malware auf Ihrem Computer ausgeführt wird, liest sie diese Textdatei. Einfach.
Integrierte Systemsicherheit
Einige Browser geben sich mehr Mühe. Internet Explorer in Windows verwendet die Windows-Registrierung. Es nutzt die Triple-DES-Verschlüsselung. Um die Passwörter anzuzeigen, benötigen Sie Administratorzugriff auf die Registrierung.
Wenn Sie Ihr Windows-Konto gesperrt und Malware blockiert haben, sind IE-Passwörter relativ sicher. Aber verlassen Sie sich auf diesen Lockdown. Wenn Ihr Administratorkonto kompromittiert ist, hat die Verschlüsselung keine Bedeutung.
Hardware-verschlüsselte Laufwerke
Eingebettete Sicherheitschips und Hardwareverschlüsselung scheinen die ultimative Lösung zu sein. Das sind sie nicht. Sie verstärken ein bestimmtes Risiko: das Vergessen Ihres Passworts.
Diese Systeme erfordern häufig ein Boot-Passwort. Stellen Sie es ein. Vergiss es. Sie können Ihren Computer nicht starten. Heutige Maschinen laufen wochenlang ohne Neustart. Möglicherweise vergessen Sie dieses Passwort, bevor Sie überhaupt neu starten.
Schlimmer noch: Wenn Sie die Festplatte auf einen anderen Computer verschieben, hält Sie das Startkennwort möglicherweise nicht auf. Aber die hardwareverschlüsselten Daten? Es bleibt verschlossen. Sofern der Hersteller keinen Wiederherstellungsschlüssel bereitstellt, sind Ihre Daten blockiert. Suchen Sie nach Wiederherstellungsschritten, bevor Sie die Hardwareverschlüsselung aktivieren. Gehen Sie nicht davon aus, dass Sie sich erinnern werden. Gehen Sie davon aus, dass Sie das nicht tun werden.
Wir sind an der Ziellinie und die letzte Kategorie erfordert eine andere Art von Vorsicht. Web-Apps. Diese Cloud-nativen Passwort-Manager verlagern die Sicherheitslast von Ihrem lokalen Computer auf einen Server eines Drittanbieters. Es ist die gleiche Dynamik, die wir beim allgemeinen Cloud Computing sehen: Sie vertrauen einem Unternehmen Ihr digitales Leben an.
Hier geht es nicht nur um einen verlorenen Laptop. Es kommt auf den Maßstab an.
Wenn Sie Anmeldeinformationen in einer Web-App speichern, erstellen Sie einen Honeypot. Hacker wollen nicht immer einzelne Benutzer ins Visier nehmen. Es ist ineffizient. Sie wollen die Master-Datenbank. Sie wollen den einen Tresor, der Tausende von Schlüsseln enthält. Wenn das Unternehmen, das hinter der Software steht, ausfällt oder seine Infrastruktur beschädigt wird, sind die Folgen enorm. Dies ist das gleiche Umfeld mit hohen Einsätzen, in dem Banken und Regierungsbehörden tätig sind. Die Frage ist nicht, ob sie gezielt angegriffen werden, sondern wann.
Wie schützen Sie sich also, wenn das Risiko in das Geschäftsmodell integriert ist?
Auswahl des richtigen Web-App-Anbieters
Sie können das Risiko nicht vollständig ausschließen. Du kannst es nur verwalten. Die einzige Möglichkeit, die Gefährdung zu minimieren, besteht darin, während des Auswahlprozesses rücksichtslos vorzugehen.
Klicken Sie nicht auf die erste Banneranzeige, die Sie sehen. Graben Sie tiefer.
- Recherchieren Sie das Unternehmen. Wem gehört die Software? Gibt es in der Vergangenheit Datenschutzverletzungen? Wie transparent sind sie in Bezug auf ihre Sicherheitspraktiken?
- Lesen Sie Expertenbewertungen. Unabhängige Sicherheitsaudits sind wichtiger als Marketingtexte. Suchen Sie nach Firmen, die die Verschlüsselungs- und Authentifizierungsprotokolle tatsächlich getestet haben und nicht nur eine Bewertung basierend auf dem Design der Benutzeroberfläche verfasst haben.
Der Komfortfaktor ist real. Web-Apps werden sofort geräteübergreifend synchronisiert. Sie können von jedem Browser und überall auf Ihre Passwörter zugreifen. Aber man muss diese Leichtigkeit gegen das Potenzial eines katastrophalen Datenlecks abwägen. Manchmal lohnt sich der Kompromiss. Manchmal ist es das nicht.
Häufige Fragen
Was ist ein zuverlässiges Beispiel für eine Passwortverwaltungssoftware?
LastPass ist ein bekanntes Beispiel. Es gibt es schon lange genug, um eine öffentliche Erfolgsbilanz zu haben, im Guten wie im Schlechten. Achten Sie bei der Bewertung von Optionen auf ähnlich etablierte Namen, bei denen die Sicherheit Vorrang vor auffälligen Funktionen hat.
Blick nach vorne
Damit ist der tiefe Einblick in die Passwortverwaltung abgeschlossen. Die Landschaft verändert sich schnell. Neue Bedrohungen entstehen. Neue Lösungen tauchen auf. Bleiben Sie scharf. Halten Sie Ihre Werkzeuge auf dem neuesten Stand. Und denken Sie daran, dass es bei keiner Software wirklich „einstellen und vergessen“ gibt. Sie sind immer noch die erste Verteidigungslinie.
