Passwort-Manager – etwas Aufwand, großer Sicherheitsgewinn

Der ideale Zeitpunkt auf einen Passwort-Manager anstatt auf Passwort-Schemas, einer Loseblattsammlung oder Browser-Verwaltung zu setzen, ist: jetzt!

Dem Wechsel auf einen Passwort-Manager haftet ein ähnlicher Reiz an wie der Einführung von einem Backup. Eigentlich wissen alle, dass so etwas nötig ist. Aber sich darum zu kümmern, bedeutet Aufwand. Um den inneren Schweinehund zu überwinden, braucht es eine Art Zündfunken. Den soll dieser Artikel liefern.

Dabei soll nicht verharmlost werden, dass der Umzug auf einen Passwort-Manager tatsächlich kurzzeitig etwas Arbeit macht. Bereits nach geringer Zeitspanne gehen jedoch die geänderten Wege im Browser so ins Blut über, dass davon nichts stört oder negativ auffällt.

Was ist ein Passwort-Manager?

Passwort-Manager sind Tools, mit deren Hilfe sich Kennwörter und Geheimzahlen in verschlüsselter Form speichern und verwalten lassen. Auf diese Weise erleichtern die Anwendungen den Umgang mit jeglichen benötigten Passwörtern erheblich. In der Regel dienen viele dieser Programme darüber hinaus nicht nur als Speicher, sondern lassen sich gleichzeitig auch als Generator für sichere Passwörter verwenden. Zu diesem Zweck stellen die Tools Funktionen zur zufallsgesteuerten Passwort-Erzeugung zu Verfügung, sodass Sie sich nicht mehr selbst um die Formulierung eines sicheren und komplexen Sicherheitskennworts bemühen müssen. 

Während die Datenbank des Passwort-Managers mit jedem neu hinzugefügten Kennwort wächst, benötigt man selbst lediglich ein Master-Passwort, um sich bei den verschiedenen Diensten anmelden zu können. Die einzelnen hinterlegten Login-Passwörter sind aber nicht nur durch dieses Hauptkennwort geschützt, sondern zusätzlich auch verschlüsselt, wobei ganz verschiedene Algorithmen zum Einsatz kommen. Benutzer können das Master-Passwort häufig optional als Schlüsseldatei auf einem USB-Stick oder einem anderen Speichermedium sichern. In diesem Fall sollte man jedoch mit einem weiteren Passwort arbeiten, um ausreichend gegen einen Verlust des jeweiligen Mediums geschützt zu sein.

Warum sollte man einen Passwort-Manager verwenden?

Die häufigste Ursache für gehackte Bank-, Mail- oder Cloud-Accounts ist die Versäumnis der Benutzer, ein sicheres Passwort für die Anmeldung und somit auch zum Schutz der privaten Daten zu wählen. Zu oft machen Kennwörter wie „123456“ oder „Passwort“ Hackern den Passwortdiebstahl zum Kinderspiel. Ein weiterer Fehler, der schnell zum Verhängnis werden kann, besteht darin, aus praktischen Gründen immer wieder das gleiche Passwort zu nutzen. Der Grund für solch ein Fehlverhalten ist in beiden Fällen derselbe: Sowohl die Generierung eines sicheren Kennworts, als auch die Verwaltung einer hohen Zahl von Kennwörtern sind mit einem hohen Aufwand verbunden.

Passwort-Manager-Tools lösen das Problem der Komplexität und sind damit ein unverzichtbares Hilfsmittel für alle, die regelmäßig mit einer Vielzahl von anmeldepflichtigen Diensten zu tun haben und dabei immer auf der sicheren Seite sein wollen. Durch die automatische Verschlüsselung der Kennwörter und der Datenbank schützen Passwort-Manager Ihre Daten auch dann, wenn ein Angreifer Zugriff auf Ihr System erlangt.

Die oben genannten Auswahlkriterien machen deutlich, dass Sie sich unbedingt im Vorhinein über die Passwort-Manager informieren sollten, die für Sie infrage kommen. Wenn Sie sich beispielsweise vorschnell für ein proprietäres Programm entscheiden, weil es hochmoderne Verschlüsselungsverfahren verspricht, und erst im Nachhinein feststellen, dass Ihnen die Speicherung in der Cloud des Herstellers nicht zusagt, dann sind Ihnen bereits Kosten für ein Tool entstanden, das Sie eigentlich nicht mehr nutzen wollen. Andererseits ist auch die blinde Nutzung eines Open-Source-Produkts nicht ohne Risiko: Geraten Sie an einen unseriösen Anbieter, ist die Sicherheit Ihrer Passwörter schnell passé. 

Um Sie bei der Suche nach einem geeigneten Passwort-Manager zu unterstützen, stellen wir an dieser Stelle einige interessante Programme vor und gehen dabei insbesondere auf Faktoren wie Kosten, Lizenzmodell, Flexibilität und Zusatzfeatures ein. 

KeePass

Ein sehr empfehlenswerter Passwort-Manager ist die 2003 von Dominik Reichl veröffentlichte Open-Source-Lösung KeePass. Seitdem wurde das GPL-lizenzierte Programm unter anderem von der sehr aktiven Community stetig weiterentwickelt. So existieren mittlerweile über 45 verschiedene Sprachpakete und zahlreiche Plugins, mit denen sich der Basisumfang von KeePass erweitern lässt. Zusätzlich zu offiziellen Versionen für Windows, macOS und Linux gibt es darüber hinaus auch verschiedene Portierungen für mobile Betriebssysteme wie Windows Phone (z. B. WinPass, WinKee, 7Pass), iOS (z. B. iKeePass, MiniKeePass, MyKeePass) und Android (z. B. KeePassDroid, KeePass2Android, KeepShare). Um das Passwort-Manager-Tool zu nutzen, müssen Sie es entweder auf dem gewünschten System installieren oder als portable Variante auf einen USB-Stick kopieren.

KeePass ermöglicht es, die gesamte Passwortdatenbank zu verschlüsseln. Hierfür stehen wahlweise der AES- oder der Twofish-Algorithmus zur Verfügung. Für den Schutz der einzelnen Passwörter kommt der Hash-Algorithmus SHA-256 zum Einsatz. Für den Zugriff auf die Datenbank haben Sie als Nutzer drei Möglichkeiten: Ein klassisches Master-Passwort, die Nutzung eines Windows-Accounts oder die Schlüsseldatei-Variante. Letztgenannte bezeichnet der Entwickler als sicherste Lösung – allerdings müssen Sie die Schlüsseldatei auch immer bei sich haben – beispielsweise auf einem USB-Stick oder auf einer CD. Ferner ist auch eine Kombination von Hauptpasswort und Schlüsseldatei möglich. Weitere Features des Passwort-Managers sind die folgenden:

• Diverse Exportformate wie TXT, HTML, XML oder CSV
• Über 35 Importformate
• Kategorisierung von Passwörtern möglich
• Zeitangaben zum Erstellungszeitpunkt, der letzten Modifizierung, dem letzten Zugriff und zum Fristablauf der Passwörter
• Such- und Filterfunktion
• Eigenes Plugin-Framework verfügbar

KeePass überzeugt nicht nur durch seine umfangreichen Datenbankfunktionen, sondern auch durch den integrierten Passwort-Generator. Mit diesem erzeugen Sie in kürzester Zeit sichere Kennwörter für Ihre Logins. In den Einstellungen bestimmen Sie die Länge des generierten Passworts und den zugrundeliegendenZeichensatz (Großbuchstaben, Kleinbuchstaben, Ziffern, Sonderzeichen etc.). Alternativ können Sie auch ein Muster oder einen eigenen Algorithmus als Basis auswählen. 

Password Safe (MATESO)

Die 1998 veröffentlichte Software Password Safe ist in verschiedenen, kostenpflichtigen Editionen erhältlich, wobei das Angebot in erster Linie auf KMUs und große Unternehmen zugeschnitten ist. Mit „Personal“ und „Standard“ offeriert der Entwickler MATESO aber auch kleinere Pakete für Privatnutzer, die teilweise in eingeschränktem Umfang sogar kostenfrei genutzt werden können („Personal Edition Free“). Laut den eigenen Angaben des Herstellers arbeiten weltweit über 10.000 Unternehmen mit diesem funktionsstarken Passwort-Manager. Das Programm läuft unter allen gängigen Microsoft-Betriebssystemen (ab Windows 7) und ist darüber hinaus auch als App für iOS, Windows Phone und Android verfügbar. In allen kostenpflichtigen Paketen lässt sich Password Safe wahlweise als Installations- oder als USB-Stick-Version nutzen.

Dass Password Safe eine unternehmensorientierte Software ist, zeigen insbesondere die vielfältigen Multi-User-Features, die in allen Profi-Editionen verfügbar sind. Unter anderem handelt es sich dabei um eine zentralisierte Team-Datenbank, für die Sie mühelos eine rollenbasierte Zugriffskontrolle einrichten können. Ferner ist es möglich, das Abrufen eines Passworts nur bei angemessener Begründung zu erlauben. Für die Sicherheit von Datenbank und Kennwörtern sorgen AES-256- und RSA-4096-Verschlüsselung (für Langzeitschlüssel). Die Verbindung mit der Datenbank bauen Sie dabei entweder durch die Eingabe eines Master-Passworts oder mithilfe einer Schlüsseldatei auf. Ab dem Professional-Paket können Sie beide Verfahren auch miteinander kombinieren, um den Sicherheitsgrad zusätzlich zu erhöhen. Die weiteren Features des Passwort-Managers im Überblick:

• Cloudfähig durch Ende-zu-Ende-Verschlüsselung
• Datenbank-Firewall (nur „Enterprise“ und „Enterprise Plus“)
• Anpassbares Dashboard
• Intelligente Such- und Filterfunktionen
• Virtuelle Tastatur für Keylogger-Schutz
• Automatische Live-Backups

Die kostenfreie Ausführung von Password Safe kann aufgrund diverser Einschränkungen (beispielsweise können nur 20 Datensätze eingetragen werden, davon maximal eine Bank bzw. TAN-Liste) nicht für größere Zweckeempfohlen werden. Allerdings ist es bereits mit dieser Edition möglich, neue Passwörter zu generieren. Der Passwort-Manager setzt dabei im Vergleich zu vielen anderen Lösungen voraus, dass die Kennwörter vordefinierten oder selbst konfigurierten Richtlinien entsprechen.

LastPass

Seit 2008 gibt es das Passwort-Manager-Tool LastPass, das mittlerweile der amerikanischen Softwarefirma LogMeIn gehört, die sich die webbasierte Anwendung 2015 rund 125 Millionen US-Dollar kosten ließ. LastPass ist auf die Speicherung und Verwaltung aller Passwörter ausgelegt, die Sie bei Ihren täglichen Online-Aktivitäten benötigen. Zu diesem Zweck lässt sich das Tool entweder über die gängigen Browser wie Google Chrome, Firefox, Safari, Opera oder Microsoft Edgeaufrufen oder alternativ via Erweiterung in die Aktionsleisten der Internetbrowser integrieren. Zusätzlich existieren Varianten für mobile Browser sowie Apps für Windows Phone, Android und iOS. Die Nutzung der Webanwendung ist kostenfrei – für einen geringen monatlichen Beitrag können Sie jedoch das Premium-Paket für Privatanwender sowie zwei Business-Pakete mit zusätzlichen Features erwerben.

Die Passwörter-Datenbank, die in LastPass „Tresor“ genannt wird, erreichen Sie jederzeit und auf jedem Ihrer Geräte entweder über die Schaltfläche an der Browserleiste oder über die Web-App. Für den Schutz der Kennwörter sorgen der Verschlüsselungsalgorithmus AES-256 und Hash-Funktionen (PBKDF2 SHA-256). Die Verschlüsselung findet dabei immer auf Geräte-Ebene statt, sodass Master-Passwort und die Schlüssel zur Kodierung bzw. Dekodierung immer lokal gespeichert und nicht an die LastPass-Server gesendet werden. Ferner können Sie aus verschiedenen Lösungen für eine mehrstufige Authentifizierung wählen – wie zum Beispiel einem SMS-Code oder einer zusätzlichen Hardwarekomponente. Ferner zeichnet sich der Web-Tresor durch folgende Features aus:

• Automatische Passworteingabe
• Unterstützung für Fingerabdruck-Anmeldung
• Sichere Passwortfreigabe
• Passwort-Tresor synchronisiert automatisch mit allen Endgeräten
• Integrierter Passwort-Generator
• 1 GB verschlüsselter Dateispeicher (ab Premium-Edition)

Die Business-Pakete für Unternehmen machen LastPass auch für mehrere User nutzbar. Einerseits erhalten Sie hier zusätzliche, zentralisierte Administrationstools zur Verwaltung von unterschiedlichen Mitarbeiterzugängen. Andererseits erhält jeder Mitarbeiter seinen eigenen Passwort-Tresor, den er selbstständig verwaltet. Für Großunternehmen ist im Enterprise-Abonnement unter anderem ein eigener Kundensupport enthalten. Ferner können Sie eigene Sicherheitsrichtlinien konfigurieren und auf die API des Passwort-Managers zugreifen. 

1Password

Nachdem AgileBits 2006 mit der Absicht gegründet wurde, innovative Webprodukte für Unternehmen zu entwickeln, erkannten die Verantwortlichen schnell, dass sie mit ihrem internen Tool zum Verwalten von Passwörtern und Formular-Informationen für Programme und Client-Websites bereits die passende Idee parat hatten. Seitdem haben Millionen zufriedener Nutzer den Passwort-Manager des Unternehmens genutzt, der zunächst OS X Form hieß und mittlerweile den Namen 1Password trägt. Die kostenpflichtige Anwendung ist für die Desktop-Systeme macOS und Windows und die mobilen Betriebssysteme Android und iOS verfügbar. Dank Browser-Extensions für Google Chrome, Opera, Firefox und Safari können Sie 1Password aber auch auf anderen Plattformen nutzen.

Die Entwickler von 1Password setzen auf eine Ende-zu-Ende-Verschlüsselung (AES-256): Alle Kontaktinformationen und Passwörter, die Sie in das Programm importieren, werden also kodiert, bevor sie Ihre Geräte verlassen. Die Schlüssel für den Kodierungsprozess sind dabei jederzeit durch das Master-Passwortgeschützt, das durch einen lokal gespeicherten 128-Bit-Sicherheitsschlüssel gestärkt wird. Sie erhalten diesen Zugangsschlüssel für die Server des Anbieters automatisch nach der Anmeldung für den Passwort-Manager. Selbst wenn Angreifer sich Zutritt zu diesen Servern verschaffen, die wie die Webanwendung selbst auf den Amazon Web Services (AWS) gehostet werden, bleiben Ihre Daten folglich verschlüsselt. Darüber hinaus überzeugt 1Password mit diesen Features:

• Offline-Zugriff möglich
• Automatische Synchronisation mit allen genutzten Geräten
• Automatische Bewertung des Sicherheitsgrads aller Passwörter
• Einfache Integration bestehender Logins
• Individuell bestimmbare Shortcuts für automatische Anmeldung
• Gruppierung von Kennwörtern möglich (Ordner- oder Tag-System)
• 1 GB Speicherplatz für Dokumente

Das Passwort-Manager-Tool bietet einen eigenen Generator, mit dem Sie sichere Kennwörter generieren können. Hierbei lassen sich Einstellungen zur Länge, Aussprechbarkeit oder hinsichtlich der gewünschten Ziffern und Symbole treffen. Der Generator lässt sich außerdem dazu verwenden, neue Passwörter für bereits bestehende Accounts zu erstellen. Für 1Password können Sie verschiedene Lizenzen erwerben: Privatnutzer sind mit der Basisversion (für eine Person) oder dem Familienpaket (für fünf Personen) gut versorgt. Agenturen und Unternehmen haben die Wahl zwischen den drei Business-Plänen „Standard“ (für kleinere Teams), „Pro“ (für KMUs) und „Enterprise“ (für große Unternehmen), die mit zusätzlichen Features aufwarten – wie einer Administrator-Konsole, einer erweiterten Zugriffskontrolle oder einem persönlichen Account-Manager. 

Dashlane

2012 veröffentlichte das US-amerikanische Unternehmen Dashlane sein gleichnamiges, proprietäres Passwort-Tool, das heute zu den erfolgreichsten Lösungen auf dem Markt zählt. Nach einer 30-tägigen Testphase kann man den Passwort-Manager entweder in einer kostenfreien Version mit eingeschränktem Funktionsumfang nutzen oder zu einer kostenpflichtigen Premium-Variante aufwerten. Für Unternehmen bietet Dashlane zudem mit der Business-Edition eine Lösung, die Funktionen zur gemeinsamen Nutzung enthält – wie eine zentrale Verwaltungskonsole oder eine Option zur Passwort-Freigabe. Zusätzlich zu Desktop-Versionen für Windows und macOS sowie Apps für iOS und Android existieren Plugins für Chrome, Firefox, Safari, Opera und Edge, die Dashlane in den jeweiligen Internetbrowser integrieren.

Die Benutzeroberfläche von Dashlane ist grundsätzlich in drei Bereiche eingeteilt: Unter der Rubrik „Passwort Manager“ finden Sie die eingetragenen Passwörter (AES-256-verschlüsselt), wobei die Software bereits existierende Login-Daten automatisch implementiert. Eine Besonderheit stellt der Password Changer dar, der die automatisierte Änderung eines Kennworts für alle unterstützten Websites ermöglicht – Dashlane loggt sich in diesem Fall eigenständig bei dem gewünschten Webprojekt ein und übernimmt den Austausch. Ferner können Sie in diesem Bereich das Sicherheits-Dashboard aufrufen und persönliche, passwortgeschützte Notizenanfertigen. Unter dem Menüpunkt „Brieftasche“ speichern Sie persönliche Kontaktinformationen, Zahlungsbelege oder Kopien (z. B. von Ausweis oder Führerschein). Der Bereich „Kontakte“ enthält alle Funktionen, die Sie zur gemeinsamen Nutzung des Passwort-Manager-Tools benötigen. Weitere Features sind unter anderem:

• Automatisches Ausfüllen von Formularen und Logins
• Sicherheitswarnungen bei unsicheren Passwörtern
• Kategorisierung der Kennwörter
• Diverse Schnittstellen für Passwort-Import (unter anderem Browser wie Chrome und Firefox, aber auch andere Tools wie KeePass, LastPass oder 1Password)
• Export der Daten (Excel- oder CSV-Format sowie im eigenen Dash-Format)
• Passwortverlauf

Wie viele andere Passwort-Manager auch, hat Dashlane einen integrierten Generator, mit dem sich Kennwörter mit einer Länge von bis zu 28 Zeichen erzeugen lassen. Dabei können Sie auswählen, ob Buchstaben, Ziffern, Symbole sowie Groß- und Kleinschreibung zum Einsatz kommen sollen oder nicht. Alle Nutzer einer kostenpflichtigen Edition können darüber hinaus sämtliche eingetragenen Daten und Passwörter geräteübergreifend synchronisieren, um die Informationen jederzeit und überall parat zu haben. Außerdem bietet Dashlane in den Bezahlpaketen auch die Möglichkeit einer Zwei-Faktor-Authentifizierung: In diesem Fall wird das standardmäßige Master-Passwort mit einem U2F-YubiKey kombiniert, der sich auf einem externen Speichermedium befindet. 

Ein Restrisiko bleibt

Passwort-Manager sind hilfreich, um komplexe und sichere Passwörter zu generieren oder selbige zu verwalten. Wo das Gedächtnis versagt, setzt der Manager ein. Doch dass sämtliche Passwörter über eine Software verwaltet werden, führt gleichzeitig auch zu dem großen Nachteil dieser Programme. Denn, verliert oder vergisst man den Masterschlüssel, dann steht man bei allen Anwendungen vor verschlossener Tür. Man ist außerdem immer abhängig von der erstellten Datenbank – bei lokalen Installationen kann man so nur am heimischen PC von den Managern profitieren. Sobald man eine mobile oder Cloud-Lösung wählt, steigt natürlich auch wieder das Sicherheitsrisiko. Denn einen hundertprozentigen Schutz gewährt keine der Lösungen. 

Eigenes Passwortsystem als sichere Alternative 

Möchte man unabhängig von Datenbanken und Programmen bleiben, muss man auf das eigene Gedächtnis setzen. Eine sinnvolle Option ist dann ein Passwortsystem, bei dem man nach einem vorher festgelegten Schema ein sicheres Masterpasswort je nach Webportal, das man nutzen möchte, modifiziert. Beim Einprägen des Masterpassworts können einfache Gedächtnis-Taktiken helfen.

Quelle: https://www.ionos.at/digitalguide/server/sicherheit/passwort-manager-die-besten-tools-im-ueberblick/