Wie Passwortmanager zu mehr Sicherheit beitragen

Sichere Passwörter sind der erste Schritt zu einer erfolgreichen Absicherung Ihrer Infrastruktur. Sie sind wie der erste Schutzwall gegen Angreifer, die sich Zugang zu Ihren Daten und Systemen verschaffen wollen.

Trotzdem ist das beliebteste Passwort in Deutschland im Jahr 2023 immer noch „admin“. Auf den Plätzen 2 und 3 reihen sich mit „123456“ und „zwieback“ nicht weniger unsichere Passwörter ein. Jährlich veröffentlicht das Sicherheitsunternehmen Nord Security Inc. in Zusammenarbeit mit unabhängigen Forschern eine Liste mit den beliebtesten Passwörtern. Die Zeit, die Angreifer benötigen, um die Passwörter zu knacken, liefert die Liste direkt mit. Viele überstehen nicht mal eine Sekunde.

Warum nutzen so viele Menschen so leicht zu entschlüsselnde Passwörter?

Die Antwort ist ebenso simpel wie die Passwörter selbst. Sie bestehen aus einfachen Wörtern, Zahlen- oder Tastenkombinationen und sind leicht zu merken. Bei so vielen verschiedenen Benutzerkonten, wie die meisten heutzutage haben, ist das ein scheinbarer Vorteil, der die Bedenken überwiegt.

Aber eines sind diese Passwörter eben nicht: sicher.

Sichere Passwörter erstellen

Kriminelle, die sich auf das Knacken von Passwörtern spezialisiert haben, verfügen über automatisierte Tools, die sämtliche denkbaren Zeichenkombinationen durchprobieren, komplette Wörterbücher einschließlich gängiger Kombinationen von Wörtern und Zahlen testen oder einmal im Internet veröffentlichte Zugangsdaten bei einer Vielzahl von Diensten ausprobieren. Um solche Angriffe zu erschweren, ist es ratsam, dass Passwörter bestimmte Qualitätsstandards erfüllen und stets nur für einen einzigen Zugang verwendet werden.

Wahrscheinlich haben Sie es schon vielfach gehört und gelesen, aber es gibt einige Eckpunkte, nach denen Sie sich richten können, um sichere Passwörter zu erstellen.

• Bauen Sie sich eine Eselsbrücke, damit Sie sich Ihr Passwort gut merken können. Denken Sie sich zum Beispiel einen Satz aus und verwenden Sie von jedem Wort nur den ersten Buchstaben und ersetzen Sie einige Buchstaben durch Zahlen oder Sonderzeichen.
• Achten Sie auf Länge und Komplexität Ihrer Passwörter. Kurze und komplexe Passwörter können ähnlich sicher sein wie lange und weniger komplexe Passwörter. Weniger als acht Zeichen sollte ein Passwort nie haben. Grundsätzlich gilt je länger, desto besser. Kombinieren Sie Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen. Beachten Sie, dass Umlaute wie ä oder ü auf Tastaturen im Ausland evtl. nicht eingegeben werden können.
• Vermeiden Sie Worte oder Zahlen mit persönlichem Bezug. Namen von Freunden, Familienmitglieder, Haustieren, dem Lieblingsschauspieler oder der Lieblingsmusikerin sind genauso ungeeignet wie deren Geburtsdaten.
• Passwörter sollten niemals unverschlüsselt notiert werden. Legen Sie keine Passwörter unverschlüsselt auf Ihrem PC ab und lagern Sie diese nicht auf Notizzetteln in der Nähe Ihres Arbeitsplatzes.
• Ändern Sie Ihre Passwörter, wenn Sie möglicherweise in die Hände von Dritten gelangt sind. Wenn Ihre Geräte von einem Schadprogramm befallen sind, sollten Sie dieses zunächst bereinigen und anschließend alle Passwörter ändern. Auch voreingestellte Passwörter bei neuen Soft- oder Hardwareprodukten sollten immer geändert werden.

Passwortverwaltung mit Passwortmanagern

Passwortmanager wurden entwickelt, um Benutzern die Verwaltung und Sicherung ihrer Passwörter für verschiedene Dienste oder Konten zu erleichtern. Ihr Hauptzweck besteht darin, starke, eindeutige Passwörter für jede Website, jedes Konto und jede Anwendung zu erstellen und zu speichern, ohne dass Benutzer sich alle diese Passwörter merken müssen.

Es ist jedoch wichtig, ein zuverlässiges und vertrauenswürdiges Produkt auszuwählen und bewusst mit dem Master-Passwort umzugehen, da der Verlust dieses Passworts den Zugriff auf alle gespeicherten Informationen gefährden könnte.

Der Einsatz eines Passwortmanagers macht alle anderen Sicherheitsvorkehrungen nicht überflüssig, sondern sollte nur ein Teil der Strategie zum Schutz sensibler Informationen sein. So bieten die meisten Passwortmanager beispielsweise an, einen zusätzlichen Faktor zur Authentifizierung einzurichten.

Die wichtigsten Funktionen von Passwortmanagern

• Passwortgenerierung: Komplexe und sichere Passwörter können per Knopfdruck erstellt werden und entsprechen direkt den empfohlenen Sicherheitsstandards.
• Passwortspeicherung: Alle Passwörter werden in einer verschlüsselten Datenbank oder einem Tresor gespeichert. Geschützt wird dieser Speicherort im Normalfall durch ein Master-Passwort oder durch eine andere Authentifizierungsmethode.
• Automatisches Ausfüllen von Anmeldeinformationen: Passwortmanager können mit den entsprechenden Berechtigungen Benutzername und Passwort automatisch in Webformularen oder Anmeldeseiten ausfüllen.
• Verschlüsselung: Gute Passwortmanager verwenden fortschrittliche Verschlüsselungstechniken, um sicherzustellen, dass die gespeicherten Passwörter sicher und geschützt sind.
• Synchronisation: Bei vielen Passwortmanagern besteht die Möglichkeit, Passwörter zwischen verschiedenen Geräten zu synchronisieren, damit Benutzer auf ihre Konten von verschiedenen Plattformen aus zugreifen können.
• Überwachung von Sicherheitsverletzungen: Einige Passwortmanager bieten Funktionen zur Überwachung von Sicherheitsverletzungen, um Benutzer zu informieren, wenn ihre Konten von einem Datenleck betroffen sind.

Vorteile von Passwortmanagern

• Passwörter und Benutzernamen werden verschlüsselt aufbewahrt
• Hilfe bei der Passwortvergabe bzw. automatische Generierung starker Passwörter
• Synchronisieren zwischen mehreren Geräten ist bei den meisten Passwortmanagern möglich
• statt einem Passwort für jedes Benutzerkonto muss sich nur noch ein Master-Passwort gemerkt werden
• wirken der Wiederverwendung von Passwörtern entgegen
• Anmeldeinformationen werden nur ausgefällt, wenn die URL korrekt übereinstimmt

Nachteile von Passwortmanagern

• bei Verlust des Master-Passworts ist der Zugriff auf alle Konten betroffen und ggf. muss jedes Benutzerkonto einzeln wiederhergestellt werden
• bei erfolgreichen Angriffen sind alle gespeicherten Benutzerkonten gefährdet
• Datenschutz hängt vom Anbieter des Passwortmanagers und seinem Standort ab
• möglicherweise fallen Kosten für den Passwortmanager selbst oder einige Funktionen an
• es ist möglich, dass der Passwortmanager nicht mit allen Geräten oder Betriebssystemen, die Sie im Einsatz haben, kompatibel ist

Es ist wichtig zu betonen, dass viele dieser Nachteile mit bewusstem und sicherem Benutzerverhalten sowie der Auswahl eines vertrauenswürdigen Passwortmanagers gemildert werden können. Trotzdem ist es ratsam, die Vor- und Nachteile sorgfältig abzuwägen und bewusst mit der Sicherheit des Passwortmanagers umzugehen.

Was Sie noch tun können

Datenleaks prüfen

Es passiert immer wieder, dass Zugangsdaten bei Angriffen abgegriffen werden und anschließend verkauft werden oder im Internet landen. Es gibt verschiedene Portale, bei denen Sie überprüfen können, ob Ihre persönlichen Zugangsdaten Teil eines bekanntgewordenen Datensatzes sind. Für den deutschsprachigen Raum ist das beispielsweise der HPI Identity Leak Checker.

Beachten Sie bitte, dass solche Portale häufig nur die E-Mail-Adresse prüfen. Erhalten Sie die Meldung, dass Ihre E-Mail-Adresse in den Datensätzen enthalten ist, kann sich das auf jeden Account beziehen, bei dem diese zur Anmeldung genutzt wird.

Zwei-Faktor-Authentifizierung

Auch wenn es nervig sein kann, aktivieren Sie wo immer möglich die Zwei-Faktor-Authentifizierung (2FA). Diese Sicherheitsmaßnahme zielt darauf ab, den Zugriff auf Konten und Systeme besser zu schützen, indem sie zwei verschiedene Arten von Identitätsnachweisen verlangt. Im Wesentlichen erfordert die 2FA neben dem traditionellen Passwort einen zweiten Authentifizierungsfaktor, wie beispielsweise einen individuellen Code, ein physisches Gerät wie einen TAN-Generator oder biometrische Merkmale wie Fingerabdrücke. Dadurch wird es schwieriger für Angreifer, unbefugten Zugriff zu erlangen, selbst wenn sie das Passwort kennen.

Geräte sperren

Richten Sie eine Bildschirmsperre für Ihre Geräte (z.B. PC oder Smartphone) ein. Wenn ein Benutzer seinen Arbeitsplatz verlässt, ohne sich auszuloggen oder den Computer zu sperren, könnte dies ein Sicherheitsrisiko darstellen. Ein passwortgeschützter Bildschirmschoner trägt dazu bei, unbefugten Zugriff in Abwesenheit des Benutzers zu verhindern.

Single-Sign-On

SSO steht für "Single Sign-On" (Einmalanmeldung) und bezeichnet eine Authentifizierungsmethode, bei der sich Benutzer einmalig bei einem einzigen System oder einer Plattform anmelden müssen, um auf mehrere Anwendungen oder Dienste zuzugreifen, ohne sich jedes Mal erneut anmelden zu müssen. Das Hauptziel von SSO ist es, die Benutzerfreundlichkeit zu verbessern und gleichzeitig die Sicherheit zu gewährleisten. Viele Dienste bieten einen Login über Facebook oder Google an.

Allerdings bedeutet ein Login über diese Dienste auch, dass diese Unternehmen wissen, wann Sie sich wo angemeldet haben. Außerdem können Angreifer bei einem Datenleck dort leichter Zugriff auf andere Nutzerkonten erlangen.