Der häufigste Weg in ein fremdes Konto ist kein Hack, sondern ein Passwort, das anderswo schon einmal geleakt wurde. Zwei Bausteine beheben genau dieses Problem: ein Passwortmanager und ein zweiter Faktor.
Wiederverwendete Passwörter sind das Grundproblem der digitalen Alltagssicherheit. Wird ein beliebiger Onlinedienst kompromittiert, landen die erbeuteten Kombinationen in Listen, die automatisiert gegen tausende andere Dienste durchprobiert werden. Dieses Verfahren funktioniert allein deshalb so gut, weil dieselben Zugangsdaten mehrfach verwendet werden.
Was ein Passwortmanager tatsächlich leistet
Ein Passwortmanager legt einen verschlüsselten Tresor an, der mit einem einzigen Hauptpasswort geöffnet wird. Für jeden Dienst erzeugt und speichert er ein eigenes, langes Zufallspasswort. Der eigentliche Sicherheitsgewinn liegt weniger in der Länge der Passwörter als in ihrer Einmaligkeit: Ein Leak bei einem Anbieter bleibt folgenlos für alle anderen Konten.
Ein zweiter, oft unterschätzter Effekt ist der Schutz vor Phishing. Die Browser-Erweiterung eines Passwortmanagers füllt Zugangsdaten nur auf der Domain aus, zu der sie gespeichert wurden. Auf einer täuschend echten Nachbau-Seite bleibt das Feld leer. Dieses stumme Ausbleiben ist ein zuverlässigeres Warnsignal als jede optische Prüfung. Warum das im Zusammenspiel mit anderen Angriffen zählt, zeigt der Artikel zu Ransomware und Phishing.
Cloud-gestützt oder lokal?
Cloud-basierte Manager synchronisieren den Tresor über die Server des Anbieters. Der Tresor wird dabei auf dem Gerät ver- und entschlüsselt, der Anbieter sieht im Normalfall nur einen verschlüsselten Datenblock. Vorteil ist die bequeme Synchronisation über mehrere Geräte, Nachteil die Abhängigkeit von der Umsetzung des Anbieters.
Lokale Manager speichern die Tresordatei selbst, die Synchronisation organisiert man eigenständig. Das gibt maximale Kontrolle, verlagert aber die Verantwortung für Sicherung und Verfügbarkeit vollständig zum Nutzer. Wer die Tresordatei verliert und keine Sicherung hat, verliert alle Zugänge.
Für die meisten Anwender ist die ehrliche Antwort: Beide Varianten sind deutlich besser als der Zustand ohne Manager. Die Entscheidung sollte weniger an der Architektur hängen als an der Frage, welche Lösung tatsächlich konsequent genutzt wird. Wer Wert auf einsehbaren Quellcode legt, findet Argumente dazu in der Übersicht zu Open-Source-Software.
Das Hauptpasswort
Der Tresor ist genau so sicher wie das Passwort, das ihn öffnet. Bewährt hat sich eine Passphrase aus mehreren zufälligen, nicht zusammenhängenden Wörtern. Sie ist leichter zu merken und schwerer zu erraten als kurze Zeichenketten mit Sonderzeichen. Wichtig ist vor allem: Das Hauptpasswort wird nirgendwo sonst verwendet, und es existiert ein sicher verwahrter Wiederherstellungsweg. Ein vergessenes Hauptpasswort ist bei seriösen Anbietern nicht zurücksetzbar, das ist Teil des Konzepts.
Der zweite Faktor: nicht alle sind gleichwertig
Zwei-Faktor-Authentifizierung ergänzt das Wissen um einen Besitz. Die verbreiteten Verfahren unterscheiden sich erheblich in ihrer Schutzwirkung.
- SMS-Codes. Besser als nichts, aber angreifbar über den Austausch der Mobilfunkkarte beim Anbieter und über abgefangene Nachrichten.
- Zeitbasierte Einmalcodes aus einer App. Deutlich robuster, funktionieren offline. Sie lassen sich allerdings abphishen, wenn der Nutzer den Code auf einer gefälschten Seite einträgt.
- Push-Bestätigungen. Bequem, aber anfällig für Ermüdung: Wer nachts wiederholt Anfragen erhält, bestätigt irgendwann versehentlich. Sinnvoll nur mit Zahlenabgleich.
- Hardware-Sicherheitsschlüssel. Der derzeit stärkste verbreitete Faktor. Der Schlüssel prüft die Domain kryptografisch mit, eine gefälschte Seite bekommt schlicht keine gültige Antwort. Damit ist klassisches Phishing wirkungslos.
Für besonders schützenswerte Zugänge, insbesondere administrative Konten und das E-Mail-Postfach, lohnt der Hardware-Schlüssel. Das E-Mail-Konto verdient dabei die höchste Priorität, denn über die Passwort-vergessen-Funktion ist es der Generalschlüssel zu fast allen anderen Diensten.
Passkeys als Nachfolger
Passkeys ersetzen das Passwort durch ein Schlüsselpaar. Der private Teil verlässt das Gerät nicht, der Dienst speichert nur den öffentlichen Teil. Damit gibt es kein Passwort mehr, das geleakt, erraten oder abgefischt werden könnte. Die Anmeldung erfolgt über die Gerätesperre. Da noch nicht alle Dienste Passkeys unterstützen, bleibt der Passwortmanager auf absehbare Zeit notwendig, zumal die meisten Manager Passkeys inzwischen selbst verwalten.
Ein realistischer Einstieg
- Passwortmanager einrichten und ein starkes, einzigartiges Hauptpasswort festlegen.
- Zuerst das E-Mail-Konto absichern: neues Zufallspasswort und starker zweiter Faktor.
- Danach die Konten mit finanziellem Bezug und alle administrativen Zugänge.
- Die integrierte Prüfung auf mehrfach verwendete und geleakte Passwörter durchlaufen lassen und die Treffer abarbeiten.
- Wiederherstellungscodes ausdrucken und getrennt vom Rechner aufbewahren.
Im Unternehmenskontext gehört dazu eine geregelte Übergabe: Zugänge, die nur einer Person bekannt sind, werden bei Krankheit oder Austritt zum Problem. Geteilte Tresore mit klaren Rollen lösen das, ohne dass Passwörter per Mail kursieren. Wie sich das in ein Gesamtkonzept einfügt, beschreibt der Beitrag zu Zero Trust.
Häufige Fragen
Ist es sicher, alle Passwörter an einem Ort zu speichern?
Ja, sofern das Hauptpasswort stark und einzigartig ist und ein zweiter Faktor den Tresor schützt. Das Risiko eines zentralen Tresors ist deutlich kleiner als das Risiko wiederverwendeter Passwörter über dutzende Dienste hinweg.
Welcher zweite Faktor ist der beste?
Ein Hardware-Sicherheitsschlüssel, weil er die Domain kryptografisch mitprüft und damit klassisches Phishing wirkungslos macht. App-basierte Einmalcodes sind der beste Kompromiss, SMS-Codes die schwächste verbreitete Variante.
Was passiert, wenn ich mein Hauptpasswort vergesse?
Bei seriösen Anbietern lässt es sich nicht zurücksetzen, weil der Anbieter den Tresor nicht entschlüsseln kann. Deshalb sollten Wiederherstellungscodes ausgedruckt und getrennt vom Rechner aufbewahrt werden.