Passwortmanager und Passkeys: So gestalten Sie Ihre Anmeldung sicher
Jedes Konto braucht ein eigenes, langes Passwort. Verwenden Sie dasselbe Passwort an mehreren Stellen, stehen alle Konten offen, sobald eines davon geleakt wird. Niemand kann sich achtzig verschiedene Passwörter merken. Ein Passwortmanager übernimmt das für Sie. Wo es möglich ist, ersetzen Sie das Passwort durch einen Passkey, den gefälschte Websites nicht missbrauchen können.
Was ein Passwortmanager macht
- Er erstellt für jeden Dienst ein langes, zufälliges Passwort: mindestens 15 Zeichen oder eine Passphrase aus fünf oder sechs zufälligen Wörtern.
- Er speichert alles verschlüsselt in einem Tresor.
- Er füllt das Passwort auf der richtigen Website aus, und nur dort.
- Oft warnt er vor doppelt verwendeten oder geleakten Passwörtern und kann auch Codes für die Zwei-Faktor-Authentifizierung sowie Passkeys speichern.
Sie müssen sich nur noch eines merken: das Master-Passwort des Tresors.
Arten
| Art | Vorteil | Beachten Sie |
|---|---|---|
| In Ihren Browser oder Ihr Smartphone integriert | Bereits vorhanden und einfach | Oft kein separates Master-Passwort: Wer Zugriff auf Ihren Computer hat, kommt an Ihre Passwörter. Weniger geeignet für unterschiedliche Systeme und zum Teilen. |
| Eigenständige App mit Synchronisierung über den Anbieter | Funktioniert auf allen Ihren Geräten, mit geteilten Tresoren für ein Team | Sie vertrauen dem Anbieter; Ihr Master-Passwort muss stark sein |
| Lokale Tresordatei auf Ihrem eigenen Computer | Alles in Ihrer eigenen Hand | Backup und Synchronisierung müssen Sie selbst regeln; Teilen ist schwieriger |
Unsere Empfehlung: Proton Pass (ein Schweizer Unternehmen mit einer umfangreichen kostenlosen Version) oder 1Password mit einem Konto auf 1password.eu (ein kanadisches Unternehmen, kostenpflichtig und sehr einfach). Beide funktionieren auf Ihrem Mac, Ihrem Windows-PC, Ihrem Smartphone und in allen gängigen Browsern. Bitwarden ist ebenfalls gut, aber ein amerikanisches Unternehmen: Dort gilt amerikanisches Recht, auch wenn Ihr Tresor in der EU gespeichert ist. In der Anleitung Passwortmanager in der Praxis vergleichen wir 23 Passwortmanager hinsichtlich Bedienkomfort, Sicherheit und EU/DSGVO, und Sie lesen Schritt für Schritt, wie Sie Proton Pass oder 1Password einrichten.
Achten Sie bei der Auswahl darauf: Funktioniert er auf allen Ihren Geräten, können Sie Tresore teilen und jemanden wieder entfernen, können Sie den Tresor mit Zwei-Faktor-Authentifizierung schützen, gibt es einen Notfallzugriff, und können Sie Ihre Daten exportieren, wenn Sie wechseln möchten?
Das Master-Passwort
- Machen Sie daraus eine Passphrase aus fünf oder sechs zufälligen Wörtern, ausgewählt vom Generator und nicht von Ihnen selbst. Ein Liedtext oder ein Sprichwort lässt sich erraten.
- Verwenden Sie es nirgendwo sonst und geben Sie es nur in der App oder Erweiterung des Managers selbst ein.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor. Das ist kein Grund für ein kürzeres Master-Passwort: Wird der Anbieter gehackt, ist Ihr Master-Passwort der einzige Schutz Ihres gestohlenen Tresors.
- Ein vergessenes Master-Passwort ist oft endgültig verloren, denn der Anbieter kann es nicht wiederherstellen. Schreiben Sie es auf Papier, ohne dazuzuschreiben, wofür es ist, und bewahren Sie es zu Hause an einem sicheren Ort auf, zusammen mit dem Wiederherstellungscode Ihres Managers.
- Aktivieren Sie die automatische Sperre nach einigen Minuten Inaktivität.
rn und m sehr wohl. Siehe Phishing erkennen: So lesen Sie einen Link und einen Absender.Teilen im Team und Notfallzugriff
- Geben Sie lieber jeder Person ein eigenes Konto. Müssen Sie dennoch einen Login teilen, verwenden Sie einen geteilten Tresor pro Thema und gewähren Sie nur denjenigen Zugriff, die ihn benötigen. Teilen Sie Zugangsdaten niemals per E-Mail, Chat oder Tabelle.
- Verlässt jemand das Team, entfernen Sie die Person aus dem Tresor und ändern Sie die Passwörter, die sie sehen konnte.
- Richten Sie einen Notfallzugriff für den Fall ein, dass Sie ausfallen: Viele Manager lassen eine Vertrauensperson nach einer Wartezeit hinein. Oder bewahren Sie die Wiederherstellungsdaten in einem versiegelten Umschlag bei einer zweiten Person auf.
Passkeys und Sicherheitsschlüssel
Ein Passkey ersetzt das Passwort. Es handelt sich um ein Schlüsselpaar: Der geheime Teil bleibt auf Ihrem Gerät oder in Ihrem Passwortmanager, die Website speichert nur den öffentlichen Teil. Sie entsperren den Passkey mit Ihrem Fingerabdruck, Ihrem Gesicht oder Ihrer PIN; das geschieht auf Ihrem eigenen Gerät.
- Funktioniert nicht auf einer gefälschten Website. Ein Passkey gehört zur echten Domain, und das prüft Ihr Browser. Auf einer nachgeahmten Website gibt es keinen Passkey, also nichts, was Sie versehentlich eingeben oder bestätigen könnten.
- Nichts zu knacken. Wird die Website geleakt, hat der Angreifer nur öffentliche Schlüssel.
- Ein Sicherheitsschlüssel ist ein kleines Gerät für den USB-Anschluss oder zum Halten an Ihr Smartphone, mit Passkeys, die sich nicht herauskopieren lassen. Registrieren Sie immer mindestens zwei Schlüssel und bewahren Sie den Ersatzschlüssel an einem anderen Ort auf.
- Ist Ihr Passkey in einem Passwortmanager oder im Konto Ihres Smartphones gespeichert, wird er auf Ihre anderen Geräte übertragen. Schützen Sie dieses Konto dann besonders gut.
- Oft funktioniert Ihr Passwort weiterhin. Halten Sie es daher lang und einzigartig.
Bei WebOké
| Dienst | Was ist möglich? |
|---|---|
| Nextcloud | Die Anmeldung mit einem Passkey oder Sicherheitsschlüssel ist möglich, unter Passwortlose Authentifizierung. Ihr Passwort und Ihre anderen Methoden funktionieren weiterhin. Für Apps erstellen Sie ein App-Passwort; speichern Sie dieses ebenfalls in Ihrem Manager. Siehe Eine Authenticator-App einrichten und Backup-Codes aufbewahren. |
| Mein WebOké | Keine Passkeys. Nach Ihrem Passwort fragt Mein WebOké immer einen Anmeldecode per E-Mail ab (Der Anmeldecode per E-Mail) oder einen Code aus einer Authenticator-App. Es gibt keine Wiederherstellungscodes: Haben Sie die App verloren, nehmen Sie bitte Kontakt mit uns auf. |
| DirectAdmin | Two-Step Authentication mit einer Authenticator-App und Backup-Codes, siehe Two-Step Authentication einrichten. |
| Postfächer | Ein E-Mail-Programm meldet sich mit dem Passwort an. Geben Sie jedem Postfach ein eigenes, langes Passwort aus Ihrem Manager. |
Mehr über starke Passwörter lesen Sie in Sichere Passwörter und was Sie bei einem geleakten Passwort tun sowie beim niederländischen NCSC in Wie wähle ich einen Passwortmanager? und Wie wählen Sie eine MFA-Methode?
Möchten Sie mehr erfahren? Besuchen Sie den kostenlosen Kurs Sicher online für Unternehmer, Lektion 2.2 Passwortmanager auswählen und verwenden, oder den kostenlosen Kurs Wechsel zu einer europäischen Cloud, Lektion 7.4 Passwörter in einen Passwortmanager übertragen.