Wir benötigen sichere und einzigartige Passwörter, um Geschäftsanwendungen zu nutzen, sicher auf E-Mails und soziale Medien zuzugreifen und sogar Filme über einen Streamingdienst anzusehen. Passwortmanager nehmen uns einen Teil der Arbeit beim Erstellen, Zuordnen und Merken dieser Passwörter ab. In diesem Artikel erklären wir, wie Passwortmanager funktionieren, wie man einen Passwortmanager verwendet und wie Sie den richtigen für Ihre Zwecke auswählen.
- Was ist ein Passwortmanager?
- Wie funktionieren Passwortmanager?
- 7 Vorteile eines Passwortmanagers
- 9 Schritte für den Einstieg in Ihren Passwortmanager
- Tipps zum Erstellen sicherer Masterpasswörter
- Den richtigen Passwortmanager auswählen
- Die besten Passwortmanager 2024
- FAQs
- Fazit: Passwortmanager verbessern Sicherheit und Zugänglichkeit
Was ist ein Passwortmanager?
Ein Passwortmanager löst mehrere Probleme im Zusammenhang mit der Flut an Zugangsdaten, die wir täglich benötigen. Dies sind die wichtigsten Funktionen eines Passwortmanagers (wobei die meisten noch viel mehr können):
- Sichere Passwörter generieren: Ein Passwortmanager generiert wirklich zufällige Passwörter. Damit wird das Problem „erratbarer“ Passwörter gelöst. Wenn wir unsere Passwörter erstellen, tun wir dies meist nach dem Assoziationsprinzip, damit sie einprägsam sind – Namen des Partners, der Kinder oder des Haustiers, Straßenadressen, Sportmannschaften usw. –, und fügen eine Mischung aus Zahlen oder Symbolen hinzu, um sie schwerer knackbar zu machen. Sie sind ziemlich offensichtlich.
- Doppelte Passwörter vermeiden: Derselbe Gedächtnisfehler, der uns Passwörter nach dem Assoziationsprinzip erstellen lässt, führt dazu, dass wir dasselbe Passwort oder geringfügige Varianten für mehrere Konten verwenden. Wird ein Passwort geknackt, sind alle Zugangsdaten offengelegt. Passwortmanager erstellen für jedes Konto neue, zufällige Passwörter.
- Passwörter speichern und zuordnen: Es hat keinen Sinn, Dutzende kryptischer Passwörter zu generieren, wenn wir sie in einer Tabelle oder (wahrscheinlicher) auf einem Berg von Haftnotizen speichern müssen. Passwortmanager behalten den Überblick über die von ihnen generierten Zugangsdaten sowie über die Konten und Anwendungen, für die sie erstellt wurden.
Wie funktionieren Passwortmanager?
Es gibt drei Arten von Passwortmanagern: Online-, Offline- (oder lokal installierte) und tokenbasierte Systeme. Die ersten beiden funktionieren im Wesentlichen gleich. Tokenbasierte Systeme unterscheiden sich davon.
Online- und Offline-Passwortmanager erstellen eine separate Datenbankdatei, die als Tresor bezeichnet wird. Passwörter werden in dieser separaten Datei gespeichert, unabhängig davon, ob der Manager sie generiert hat oder Sie sie selbst erstellt haben. Bevor sie jedoch in den Tresor übertragen werden, verschlüsselt der Passwortmanager sie – üblicherweise mit einer undurchdringlichen 256-Bit-Verschlüsselung nach dem Advanced Encryption Standard (AES).
Dadurch sind die Inhalte des Tresors ohne den Passwortmanager nicht lesbar; dieser entsperrt sie mithilfe eines Masterpassworts. (Beachten Sie, dass Tresore auch Informationen wie Kreditkartennummern und andere Details enthalten können, die häufig für Transaktionen verwendet werden.)
Der Unterschied liegt im Speicherort des Tresors. Online- (oder cloudbasierte) Manager speichern den Tresor auf dem Server des Anbieters; Offline-Systeme speichern ihn auf Ihrem Gerät oder einem Medium wie einem USB-Stick oder einer SD-RAM-Karte. Beide Systeme haben Vor- und Nachteile.
Online-Passwortmanager
Der größte Vorteil eines Online-Passwortmanagers ist die Zugänglichkeit. Auf Passwörter kann von jedem Gerät und überall dort zugegriffen werden, wo Internetzugang besteht (stellen Sie jedoch sicher, dass Sie eine Verbindung über ein virtuelles privates Netzwerk verwenden, um die Informationen während der Übertragung zu schützen). Geräte müssen nicht separat synchronisiert oder aktualisiert werden.
Andererseits haben Sie Pech, wenn kein Internetzugang vorhanden ist. Die umfassende Zugänglichkeit eröffnet Angriffswege zum Diebstahl Ihrer Passwörter, und Sie verlassen sich darauf, dass der Dienstanbieter Ihre Passwörter schützt. Ein Vertrag oder eine Gebühr ist (fast) unvermeidlich.
Offline-Passwortmanager
Lokal gespeicherte Systeme zur Passwortverwaltung bieten mehr Sicherheit, da sie keinen Angriffen aus dem Internet ausgesetzt sind. Außerdem ist der Datenschutz besser – Sie teilen Ihre Konten und Passwörter nicht mit einem Drittanbieter. Kostenlose Open-Source-Anwendungen sind verfügbar, und beispielsweise die Zwei-Faktor-Authentifizierung mithilfe eines Hardware-Fingerabdruckscanners ist zuverlässiger.
Der offensichtlichste Nachteil: Wenn Sie das Gerät verlieren, verlieren Sie auch Ihre Passwörter, sofern sie nicht regelmäßig gesichert werden. Alle Geräte, mit denen auf die Konten zugegriffen wird, müssen synchronisiert und aktualisiert werden, und Sie sind auf die Nutzung dieser Geräte beschränkt.
Tokenbasierte Systeme
Diese Systeme greifen auf ein externes Gerät wie einen USB-Stick oder eine Zugangskarte zurück, um auf Passwörter zuzugreifen. Der Tresor wird nirgendwo gespeichert. Stattdessen erstellt der Schlüssel gemeinsam mit einer Anwendung auf dem Gerät bei jeder Nutzung die Datenbank. Das ist möglicherweise das sicherste System zur Passwortverwaltung, da Sie den Schlüssel bei sich tragen. Einen USB-Stick verliert man jedoch leichter als ein Gerät mit lokal installiertem Manager – und wenn das passiert, sind Ihre Passwörter verloren.
Viele kommerzielle Lösungen zur Passwortverwaltung bieten eine Kombination dieser Kategorien.
7 Vorteile eines Passwortmanagers
Sicherere Passwörter
Passwortmanager können wirklich zufällige Passwörter generieren, die gegen Social-Engineering-Angriffe immun sind. Da sich Nutzer keine einzelnen Passwörter und die zugehörigen Konten merken müssen, spielt die Komplexität keine Rolle, und Passwörter müssen nicht wiederverwendet werden, damit sie leichter zu merken sind.
Nahtloser Zugriff auf allen Geräten
Greifen Sie auf allen Geräten auf sämtliche Konten zu, insbesondere mit einem Online-Passwortmanager. Ein Masterpasswort oder ein physischer Schlüssel lässt sich für Nutzer leichter im Blick behalten als Dutzende Passwörter.
Zentralisierte Zugriffsverwaltung
Eine Lösung zur Passwortverwaltung in Unternehmen ermöglicht es der IT-Abteilung, Team-Passwörter in einem einzigen verwaltbaren Tresor zu konsolidieren, Teammitglieder leichter hinzuzufügen oder zu entfernen, Zugriffsrechte zu verwalten und Passwortrichtlinien durchzusetzen – alles über eine einzige Anwendung.
Risikomanagement
Viele Passwortmanager bieten Funktionen, die das Durchsickern von Sicherheitsinformationen verhindern und die IT-Verantwortlichen über kompromittierte Konten informieren. Einige umfassen Überwachungsabonnements, die geknackte Zugangsdaten verfolgen, die im Web kursieren.
Notfallzugriff
Lösungen für das Privileged Access Management können für eine Funktion nach dem Prinzip „Scheibe einschlagen im Notfall“ konfiguriert werden. Das ist für Entwicklungsteams nützlich, die möglicherweise Code reparieren müssen, den sie nicht selbst geschrieben haben, indem Berechtigungen zentral neu zugewiesen und Nutzer nachverfolgt werden.
Zugangsdaten teilen
Die IT-Verwaltung kann mehreren Konten dieselben Zugangsdaten zuweisen, wenn beispielsweise mehrere Nutzer gelegentlich auf einen einzigen abonnierten Dienst zugreifen müssen.
Zusätzliche Informationen speichern
Viele Passwortmanager ermöglichen es, zusätzliche Informationen – etwa Kreditkartennummern, Kundenlisten oder biografische Angaben – sicher neben den Passwörtern im Tresor zu speichern. Sie sind mit demselben Masterpasswort zugänglich und können automatisch verwendet werden.
9 Schritte für den Einstieg in Ihren Passwortmanager
Die Einrichtung eines Passwortmanagers unterscheidet sich je nach Produkt. Im Großen und Ganzen umfasst sie jedoch die folgenden Schritte:
Passwortmanager auswählen
Die wichtigste Überlegung ist die Art der Lösung. Wenn Ihnen Komfort, Zugänglichkeit und Benutzerfreundlichkeit auf jedem Gerät wichtig sind, entscheiden Sie sich möglicherweise für einen Online-Passwortmanager. Für ein Team oder Unternehmen, das bestimmte Geräte oder eine lokale Umgebung nutzt, ist eine lokale Lösung möglicherweise besser. Eine tokenbasierte Lösung könnte der beste Ansatz sein, wenn Sie bereit sind, spezielle Hardware auf den Geräten der Nutzer zu installieren.
Weitere Überlegungen erläutern wir hier.
Abonnementplan auswählen
Wenn Sie sich für einen Anbieter mit einer Online- oder Hybridlösung entscheiden, wählen Sie den passenden Abonnementplan. Preis und Funktionen unterscheiden sich bei Einzelpersonen, Familien und kleinen Teams, während sie sich bei einer Unternehmenslösung nach der Anzahl der Lizenzen (Nutzer) richten.
Konto erstellen
Sie müssen mindestens Ihren Namen und Ihre E-Mail-Adresse registrieren. Möglicherweise werden weitere Angaben benötigt.
Starkes Masterpasswort erstellen
Möglicherweise müssen Sie von verschiedenen Geräten oder mehreren Orten auf Ihren Passworttresor zugreifen. Sie können sich nicht auf Haftnotizen verlassen. Die entscheidenden Begriffe lauten „stark“ und „einprägsam“. Im nächsten Abschnitt finden Sie Tipps zum Erstellen sicherer, aber leicht zu merkender Passwörter.
Notfallschlüssel abrufen
Viele Passwortmanager stellen einen Schlüssel bereit, mit dem Sie Ihren Tresor entsperren können, wenn Sie Ihr Passwort vergessen. Bewahren Sie ihn an einem sicheren Ort auf und geben Sie ihn nicht weiter.
Softwarekomponenten installieren
Je nach Art und Marke der Lösung kann dies eine Desktop-App, eine Online-App, eine Browsererweiterung oder weitere Komponenten umfassen.
Vorhandene Passwörter hinzufügen
Folgen Sie den Anweisungen, um Ihren vorhandenen Passwortspeicher und die zugehörigen Konten in den Tresor zu übertragen.
Passwörter pflegen
Bewerten Sie beim Laden Ihrer vorhandenen Passwörter deren Stärke. Wenn Sie MyDogsName@12 verwendet haben, ändern Sie es, sobald Sie sich bei der App oder dem Dienst anmelden. Lassen Sie den Passwortmanager ein neues, sicheres Passwort generieren. Experten sind geteilter Meinung darüber, ob Passwörter jährlich oder nach einem anderen Zeitplan geändert werden müssen, aber schaden kann es nicht.
Tresor sichern
Passwortmanager sollten es ermöglichen, Ihren Tresor als CSV-Datei (Comma-Separated Values) auf einen USB-Stick oder einen anderen externen Speicher zu exportieren. Jedes Datenbank- oder Textprogramm kann sie öffnen, falls etwas schiefgeht. Sichern Sie Ihren Tresor, wenn Sie Passwörter hinzufügen oder ändern.
Tipps zum Erstellen sicherer Masterpasswörter
Ihr Passwortmanager kümmert sich nun um alle Ihre Passwörter – mit Ausnahme Ihres Masterpassworts. Dieses erstellen Sie selbst. Denken Sie an die entscheidenden Begriffe: „stark“ und „einprägsam“. Idealerweise wäre es eine Zeichenfolge aus mindestens 28 wirklich zufälligen Zeichen, aber ohne fotografisches Gedächtnis ist das sehr viel verlangt.
Das Sicherheitsunternehmen Proton AG (das einen kostenlosen Open-Source-Passwortmanager für Einzelpersonen sowie einen VPN-Dienst anbietet) nennt folgende Merkmale eines sicheren Passworts:
Länge: Ein Passwort sollte mindestens 12 Zeichen lang sein, empfohlen werden jedoch 15 oder mehr Zeichen.
Zufälligkeit: Verwenden Sie eine Kombination aus Buchstaben, Groß- und Kleinschreibung, Zahlen und Sonderzeichen in einer unvorhersehbaren Zeichenfolge.
Einzigartigkeit: Verwenden Sie für jedes Konto ein eigenes Passwort.
Aber wie soll man es sich merken? Eine Technik, die viele verwenden, besteht darin, ein Grundwort – etwa „microscope“ – zu nehmen und beim Wechsel der Groß- und Kleinschreibung Buchstaben durch Zahlen und Symbole zu ersetzen: „m1kR0sc0p37“. Das lässt sich erschreckend leicht knacken. Hacker verfügen über einen speziellen Wörterbuchangriff für genau solche Passwörter.
Ein sichererer Merksatz-Ansatz ist eine Passphrase. Beginnen Sie mit einer Zeichenfolge aus fünf oder mehr zufälligen Wörtern, die logisch nicht zusammengehören: Koolaid-rug-tortoise-drawer-towel. Trennen Sie sie durch eine zufällige Zahlenfolge: 8730. Verändern Sie das Ergebnis, indem Sie Symbole einsetzen.
Kool@1d8rug7T()RTOISE3towel0 ist nicht schwer zu merken, aber praktisch unmöglich zu erraten. (Wenn Ihnen die Kreativität fehlt, generiert Proton eine Passphrase für Sie.)
Wenn Sie ein Masterpasswort direkt nach der Auswahl häufig verwenden, prägen sich sowohl das Passwort als auch das damit verbundene Muskelgedächtnis besser ein.
Den richtigen Passwortmanager auswählen
Den perfekten Passwortmanager für alle gibt es nicht. Berücksichtigen Sie bei der Auswahl einer Lösung Folgendes:
Online, offline oder tokenbasiert: Wie bereits erwähnt, beeinflussen Ihre Prioritäten, für welche Lösungsklasse Sie sich entscheiden. Online-Systeme ermöglichen eine nahtlosere Nutzung auf mehreren Geräten. Offline- oder lokale Verwaltungssysteme müssen auf allen Geräten eines Nutzers installiert werden, sind aber häufig als Open-Source-Software verfügbar; sie sind kostenlos, erfordern jedoch versiertes IT-Personal für die Wartung. Tokenbasierte Systeme verbergen Ihren Tresor am besten, benötigen aber möglicherweise spezielle Hardware.
Preis: Die meisten Anbieter verlangen eine Abonnementgebühr. Diese ist wahrscheinlich nach Anzahl und Art der Nutzer gestaffelt. Einige Manager sind für Einzelpersonen kostenlos. Das bedeutet nicht zwangsläufig, dass sie weniger sicher sind als kostenpflichtige Angebote.
Schlüsselwiederherstellung: Wählen Sie eine Lösung, die am besten zur Richtlinie Ihrer Organisation für die Passwortwiederherstellung passt. Zu den Optionen gehören lokal gespeicherte Notfallschlüssel und Wiederherstellungsadressen per E-Mail.
Kompatibilität: Ihre Lösung muss auf allen Geräten funktionieren, die das Unternehmens- oder Heimnetzwerk nutzen. Bei Online-Angeboten ist dies kein Problem, bei vollständig lokalen Lösungen könnte es jedoch eines sein.
Zusätzliche Funktionen: Passwortgeneratoren sind unverzichtbar. Auch andere Funktionen können nützlich sein: automatisches Ausfüllen von Formularen, Speicherung vertraulicher Informationen wie Kundenlisten und Telefonnummern, VPNs sowie Tools zur Identifizierung verdächtiger Websites und weitere hilfreiche Zusatzfunktionen.
Multifaktor-Authentifizierung: Für mehr Sicherheit reicht ein Passwort möglicherweise nicht aus. Die Zwei-Faktor-Authentifizierung umfasst typischerweise etwas, das der Nutzer weiß (ein Passwort), und etwas, das er besitzt – eine Zugangskarte oder einen Fingerabdruck – oder sein Gesicht zur Identifizierung.
Die besten Passwortmanager 2024
Wir haben die besten Passwortmanager für Unternehmen einzeln und im direkten Vergleich an anderer Stelle im Online-Universum von TechAdvice getestet. Sehen Sie sich unsere Bewertungen an, indem Sie auf die folgenden Links klicken. Wir haben außerdem direkt auf die Websites der Unternehmen verlinkt.
- 1Password: Bester Passwortmanager insgesamt.
- Bitwarden: Am besten für Anforderungen an das Self-Hosting.
- LastPass: Am besten für Kern- und Enterprise-Funktionen.
- RoboForm: Am besten für kostengünstige Geschäftstarife.
- Keeper: Beste Lösung für Behörden.
- NordPass: Am besten für eine schnelle Implementierung.
FAQs
Ist es eine gute Idee, einen Passwortmanager zu verwenden?
Die Nutzung eines Passwortmanagers bietet viele Vorteile. Es lassen sich komplexe, wirklich zufällige Passwörter generieren, die gegen Social-Engineering-Angriffe immun sind. Nutzer müssen sich nur ein einziges Passwort merken (oder einen einzigen Token aufbewahren). Passwortmanager funktionieren konten- und geräteübergreifend. Die IT-Verwaltung kann die zentrale Kontrolle behalten, ohne Zugriff auf einzelne Passwörter zu haben.
Der größte Nachteil eines Passwortmanagers besteht darin, dass er einen Single Point of Failure darstellt. Masterpasswörter können vergessen werden. Token und Endgeräte können verloren gehen, gestohlen werden oder kaputtgehen. Ein einziger erfolgreicher Angriff legt alle im Tresor gespeicherten Passwörter offen. Den Manager auf mehreren Geräten zu installieren, ist unpraktisch, wenn es sich nicht um eine vollständig onlinebasierte Lösung handelt. Wägen Sie die Vor- und Nachteile gegeneinander ab.
Können Passwortmanager Ihre Passwörter sehen?
Seriöse Anbieter von Passwortmanagern verwenden ein „Zero-Knowledge“-System. Passwörter werden auf Ihrem Gerät verschlüsselt, bevor sie in Ihren Tresor übertragen werden. Der Standard ist eine 256-Bit-Verschlüsselung nach dem Advanced Encryption Standard (AES). Der Inhalt des Tresors kann ohne den separat gespeicherten Verschlüsselungsschlüssel nicht gelesen werden.
Welcher Passwortmanager ist am einfachsten zu verwenden?
Der am einfachsten zu bedienende Passwortmanager ist möglicherweise der, der bereits in Ihrem Internetbrowser vorhanden ist. Der Chrome-Browser von Google integriert den Google Password Manager (GPM) ohne Installation, Einrichtung oder Gebühren. GPM bietet Ihnen die Option, das zufällig generierte Passwort zu verwenden, und füllt die entsprechenden Felder automatisch aus. Das Passwort wird zusammen mit Ihrem Google-Konto gespeichert, sodass Ihr E-Mail-Login Ihr Masterpasswort darstellt.
Der Nachteil besteht darin, dass Nutzer auf ihren Geräten häufig bei ihrem E-Mail-Konto angemeldet bleiben, wodurch das Gerät zum Masterpasswort wird, wenn jemand anderes die Kontrolle darüber erlangt. Funktionen zur Gruppenverwaltung gibt es nicht, daher eignet sich GPM am besten für Einzelpersonen – vorausgesetzt, Chrome ist ihr Browser.
Wo lassen sich Passwörter am sichersten aufbewahren?
Es gibt verschiedene Auffassungen darüber, wo sich ein Passworttresor am sichersten aufbewahren lässt. In einer Unternehmenslösung bietet ein gehärteter Server, der nur über ein virtuelles privates Netzwerk zugänglich ist, Sicherheit und leicht durchsetzbare Backups. Bei einer tokenbasierten Lösung existiert der Tresor erst, wenn er mit dem Gerät und der Software verbunden wird – allerdings lässt sich ein Token leichter verlieren oder beschädigen als ein Server.
Kann ein Passwortmanager gehackt werden?
Alles kann gehackt werden. Passwortverwaltungslösungen bilden da keine Ausnahme. Sie können sowohl lokal als auch aus der Ferne gehackt werden. Meist wird nicht der Manager, sondern der Nutzer gehackt – etwa durch Social Engineering, Phishing, Keylogging-Angriffe, Gerätediebstahl oder mangelnde Passworthygiene (beispielsweise, wenn der Passwortmanager nicht so eingestellt ist, dass er sich sperrt, sobald ein Gerät eine Weile nicht verwendet wurde).
Angriffe aus der Ferne beruhen auf schlechtem Design (unzureichender Verschlüsselung) oder Software-Schwachstellen. Seriöse Anbieter achten sorgfältig darauf, diese Schwachstellen durch Patches zu beheben, doch ihre Produkte stehen aufgrund ihrer weiten Verbreitung verstärkt im Visier von Hackern.
Dennoch ist ein hochwertiger Passwortmanager sicherer als gar keiner. Er ist nur ein Element eines umfassenden Sicherheitskonzepts zum Schutz Ihres Unternehmens oder Ihrer Geräteumgebung.
Fazit: Passwortmanager verbessern Sicherheit und Zugänglichkeit
Passwörter sind ein wesentlicher Bestandteil jedes IT-Sicherheitskonzepts. Eine gute Passworthygiene – komplexe und einzigartige Passwörter sowie deren sichere Speicherung – und die schiere Anzahl benötigter Passwörter machen ein System zu ihrer Verwaltung erforderlich.
Sie können Ihre Suche mit unseren Bewertungen der besten Angebote für 2024, beginnen oder mit einem unserer produktspezifischen Vergleiche und direkten Vergleichstests.