Passwortmanager und Passkeys: So regeln Sie Ihre Anmeldung sicher
Jedes Konto benötigt ein eigenes, langes Passwort. Verwenden Sie dasselbe Passwort an mehreren Stellen, sind bei einem Leck gleich alle offen. Niemand merkt sich achtzig verschiedene Passwörter. Ein Passwortmanager übernimmt das für Sie. Wo es möglich ist, ersetzen Sie das Passwort durch einen Passkey, den gefälschte Websites nicht missbrauchen können.
Was ein Passwortmanager macht
- Er erstellt für jeden Dienst ein langes, zufälliges Passwort: mindestens 15 Zeichen, oder eine Passphrase aus fünf oder sechs zufälligen Wörtern.
- Er speichert alles verschlüsselt in einem Tresor.
- Er trägt das Passwort auf der richtigen Website ein, und nur dort.
- Häufig warnt er vor doppelten oder geleakten Passwörtern, und er kann auch Codes für die Zwei-Faktor-Authentifizierung und Passkeys speichern.
Sie müssen sich nur noch eines merken: das Hauptpasswort des Tresors.
Arten
| Art | Vorteil | Zu beachten |
|---|---|---|
| In Ihrem Browser oder Telefon integriert | Bereits vorhanden und einfach | Oft kein separates Hauptpasswort: Wer Zugriff auf Ihren Computer hat, kommt an Ihre Passwörter. Weniger geeignet für verschiedene Systeme und zum Teilen. |
| Separate App mit Synchronisierung über den Anbieter | Funktioniert auf allen Ihren Geräten, mit gemeinsamen Tresoren für ein Team | Sie vertrauen dem Anbieter; Ihr Hauptpasswort muss stark sein |
| Lokale Tresordatei auf Ihrem eigenen Computer | Alles in eigener Hand | Sie müssen selbst für Backup und Synchronisierung sorgen; Teilen ist schwieriger |
Bekannte Beispiele sind Bitwarden, 1Password, KeePassXC und Proton Pass, neben den Managern in Browsern und Telefonen. Dies ist keine Empfehlung. Achten Sie bei der Wahl darauf: Funktioniert er auf allen Ihren Geräten, können Sie Tresore teilen und jemanden wieder daraus entfernen, können Sie den Tresor mit Zwei-Faktor-Authentifizierung absichern, gibt es einen Notfallzugriff, und können Sie Ihre Daten exportieren, falls Sie wechseln möchten?
Das Hauptpasswort
- Machen Sie daraus eine Passphrase aus fünf oder sechs zufälligen Wörtern, die vom Generator ausgewählt werden und nicht von Ihnen selbst. Ein Liedtext oder Sprichwort lässt sich erraten.
- Verwenden Sie es nirgendwo anders und geben Sie es nur in der App oder Erweiterung des Managers selbst ein.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor. Das ist kein Grund für ein kürzeres Hauptpasswort: Wird der Anbieter gehackt, ist Ihr Hauptpasswort der einzige Schutz für Ihren gestohlenen Tresor.
- Vergessen ist oft endgültig, denn der Anbieter kann es nicht wiederherstellen. Schreiben Sie es auf Papier, ohne zu vermerken, wofür es ist, und bewahren Sie es zu Hause an einem sicheren Ort auf, zusammen mit dem Wiederherstellungscode Ihres Managers.
- Aktivieren Sie die automatische Sperre nach ein paar Minuten Inaktivität.
rn und m sehr wohl. Siehe Phishing erkennen: So lesen Sie einen Link und einen Absender.Teilen im Team und Notfallzugriff
- Geben Sie lieber jedem ein eigenes Konto. Müssen Sie dennoch einen Login teilen, verwenden Sie einen gemeinsamen Tresor pro Thema und gewähren Sie nur Zugriff für diejenigen, die ihn benötigen. Teilen Sie niemals per E-Mail, Chat oder Tabelle.
- Verlässt jemand das Team, entfernen Sie ihn aus dem Tresor und ändern Sie die Passwörter, die er sehen konnte.
- Richten Sie Notfallzugriff ein für den Fall, dass Sie ausfallen: Viele Manager lassen eine vertraute Person nach einer Wartezeit hinein. Oder bewahren Sie die Wiederherstellungsdaten in einem versiegelten Umschlag bei einer zweiten Person auf.
Passkeys und Sicherheitsschlüssel
Ein Passkey ersetzt das Passwort. Es handelt sich um ein Schlüsselpaar: Der geheime Teil bleibt auf Ihrem Gerät oder in Ihrem Passwortmanager, die Website speichert nur den öffentlichen Teil. Sie entsperren den Passkey mit Ihrem Fingerabdruck, Gesicht oder einer PIN; das geschieht auf Ihrem eigenen Gerät.
- Funktioniert nicht auf einer gefälschten Website. Ein Passkey gehört zur echten Domain, und das überprüft Ihr Browser. Auf einer Lookalike-Website gibt es keinen Passkey, also nichts, was Sie versehentlich eintragen oder bestätigen könnten.
- Nichts zu knacken. Wird die Website geleakt, hat der Angreifer nur öffentliche Schlüssel.
- Ein Sicherheitsschlüssel ist ein kleines Gerät für den USB-Anschluss oder zum Halten an Ihr Telefon, mit Passkeys, die sich nicht entfernen lassen. Registrieren Sie immer mindestens zwei Schlüssel und bewahren Sie den Ersatzschlüssel an einem anderen Ort auf.
- Liegt Ihr Passkey in einem Passwortmanager oder im Konto Ihres Telefons, wird er auf Ihre anderen Geräte übertragen. Schützen Sie dieses Konto dann besonders gut.
- Oft funktioniert Ihr Passwort auch weiterhin. Halten Sie es also lang und einzigartig.
Bei WebOké
| Dienst | Was ist möglich? |
|---|---|
| Nextcloud | Anmelden mit einem Passkey oder Sicherheitsschlüssel ist möglich, unter Anmelden ohne Passwort. Ihr Passwort und Ihre anderen Methoden funktionieren weiterhin. Für Apps erstellen Sie ein App-Passwort; bewahren Sie das ebenfalls in Ihrem Manager auf. Siehe Eine Authenticator-App einrichten und Backup-Codes aufbewahren. |
| Mein WebOké | Keine Passkeys. Nach Ihrem Passwort fragt Mein WebOké immer nach einem Anmeldecode per E-Mail (Der Anmeldecode per E-Mail), oder einem Code aus einer Authenticator-App. Es gibt keine Wiederherstellungscodes: Haben Sie die App verloren, nehmen Sie bitte Kontakt mit uns auf. |
| DirectAdmin | Zwei-Faktor-Authentifizierung mit einer Authenticator-App und Backup-Codes, siehe Zwei-Faktor-Authentifizierung einrichten. |
| Postfächer | Ein E-Mail-Programm meldet sich mit dem Passwort an. Geben Sie jedem Postfach ein eigenes, langes Passwort aus Ihrem Manager. |
Mehr über sichere Passwörter lesen Sie in Sichere Passwörter und was Sie bei einem geleakten Passwort tun, und beim NCSC in Wie wähle ich einen Passwortmanager? und Wie wählen Sie eine MFA-Methode?