Ein einziges gutes Passwort merken – alle anderen übernimmt ein Programm für Sie. Das ist die Idee des Passwort-Managers, und sie macht Ihr digitales Leben zugleich sicherer und bequemer. In der vorigen Lektion haben Sie mit Backups Ihre Daten in Sicherheit gebracht; heute kümmern wir uns um die Haustüren zu Ihren Konten. Wir schauen uns an, warum unser Kopf mit Dutzenden Passwörtern überfordert ist, wie ein Passwort-Tresor funktioniert und was hinter der Zwei-Faktor-Anmeldung steckt – jener zweiten Schutzschicht, die Einbrecher selbst dann aussperrt, wenn sie Ihr Passwort kennen.
Das Grundproblem: zu viele Schlüssel für einen Kopf
Zählen Sie einmal in Ruhe nach: E-Mail-Konto, Online-Banking, Krankenkasse, ein oder zwei Online-Shops, Streaming-Dienst, vielleicht die Fritzbox zu Hause und ein Fotodienst – schnell kommen zwanzig, dreißig oder mehr Zugänge zusammen. Und eigentlich bräuchte jedes dieser Konten ein eigenes, langes, zufälliges Passwort.
Warum eigentlich? Weil Kriminelle erbeutete Passwörter überall durchprobieren. Wird ein einziger Anbieter gehackt und Ihre Kombination aus E-Mail-Adresse und Passwort gestohlen, wird sie automatisch bei Hunderten anderen Diensten getestet. Wer überall dasselbe Passwort nutzt, verliert dann nicht ein Konto, sondern alle auf einmal – so, als würde ein einziger verlorener Schlüssel Haustür, Auto und Bankschließfach zugleich öffnen.
Sich dreißig verschiedene Zeichenfolgen wie Xk7#pQ2v!nR9 zu merken, schafft kein Mensch – und das sollen Sie auch gar nicht. Genau für diese Aufgabe gibt es ein Werkzeug.
Der Passwort-Manager: ein Tresor für Ihre Schlüssel
Ein Passwort-Manager (auf Deutsch etwa „Passwort-Verwalter“) ist ein Programm, das alle Ihre Passwörter in einem verschlüsselten Tresor aufbewahrt. Sie merken sich nur noch ein einziges, dafür wirklich starkes Hauptpasswort – den Schlüssel zum Tresor. Alles andere erledigt das Programm: Es denkt sich für jedes Konto ein langes Zufallspasswort aus, merkt es sich und trägt es beim Anmelden automatisch für Sie ein.
Das ist nicht nur bequem, sondern nebenbei ein guter Schutz vor Betrug: Der Manager füllt Ihre Zugangsdaten nur auf der echten Webseite aus. Auf einer täuschend echt nachgemachten Betrugsseite – etwa einer falschen Bank- oder Paketdienst-Seite – bleibt das Anmeldefeld leer. Das Programm lässt sich, anders als das menschliche Auge, von einer gefälschten Adresse nicht hereinlegen.
Welches Programm ist vertrauenswürdig?
Sie müssen nicht lange suchen – eine Handvoll Programme hat sich seit Jahren bewährt:
| Programm | Kosten | Das sollten Sie wissen |
|---|---|---|
| Bitwarden | kostenlos | Deutschsprachig, gleicht Ihre Passwörter automatisch zwischen Computer, Tablet und Smartphone ab. Eine gute Wahl für die meisten. |
| KeePass | kostenlos | Speichert den Tresor nur als Datei auf Ihrem eigenen Gerät – nichts liegt im Internet. Dafür etwas mehr Handarbeit. |
| 1Password | Abo, rund 3 Euro im Monat | Sehr komfortabel und gepflegt, mit gutem Familienpaket, um einzelne Zugänge zu teilen. |
| Passwort-Speicher im Browser | kostenlos | In Firefox, Chrome und Edge bereits eingebaut. Ein solider Einstieg – die eigenständigen Programme bieten mehr Schutzfunktionen. |
Wenn Ihnen ein eigenes Programm im Moment zu viel ist: Auch der eingebaute Passwort-Speicher Ihres Browsers ist ein echter Fortschritt gegenüber dem überall gleichen Merkpasswort. Wichtig ist vor allem der erste Schritt weg vom Kopf- und Zettelsystem.
Zwei Sorgen – und zwei ehrliche Antworten
„Und wenn dieser Tresor gehackt wird – sind dann nicht alle Passwörter auf einen Schlag weg?“ Diese Sorge ist berechtigt und verdient eine ehrliche Antwort. Der Tresor ist verschlüsselt: Sein Inhalt wird mathematisch in eine Geheimschrift verwandelt, die sich nur mit Ihrem Hauptpasswort wieder lesbar machen lässt. Selbst der Hersteller kann nicht hineinsehen. Bricht jemand in dessen Rechenzentrum ein, erbeutet er nur unlesbaren Zeichensalat – vorausgesetzt, Ihr Hauptpasswort ist stark. Ein langer Satz aus vier, fünf zufälligen Wörtern, etwa KaffeeTanteFahrradJuli, ist leicht zu merken und für Maschinen praktisch unknackbar.
„Und wenn ich das Hauptpasswort vergesse?“ Dann kann Ihnen tatsächlich niemand den Tresor öffnen – genau das macht ihn ja so sicher. Die Lösung ist angenehm altmodisch: ein Notfallblatt. Schreiben Sie das Hauptpasswort handschriftlich auf und legen Sie den Zettel dorthin, wo Ihre wichtigen Papiere liegen – in die Dokumentenmappe oder zum Sparbuch. Ein Blatt Papier in Ihrer Wohnung können Internet-Kriminelle nicht stehlen.
Schritt für Schritt: der Umzug in den Tresor
Einen Passwort-Manager einrichten und die ersten Konten umziehen
- Programm installieren
Installieren Sie zum Beispiel Bitwarden aus dem App-Store Ihres Geräts oder von der Hersteller-Webseite und richten Sie dort ein Konto ein.
- Hauptpasswort festlegen und notieren
Wählen Sie einen langen Merksatz aus mehreren zufälligen Wörtern. Schreiben Sie ihn sofort auf Ihr Notfallblatt und legen Sie es zu den wichtigen Papieren.
- Das E-Mail-Konto zuerst umziehen
Melden Sie sich bei Ihrem E-Mail-Anbieter an, lassen Sie den Manager ein neues, langes Passwort erzeugen und speichern Sie es im Tresor. Das E-Mail-Konto kommt zuerst, weil sich darüber fast alle anderen Passwörter zurücksetzen lassen.
- Zwei weitere wichtige Konten umziehen
Wiederholen Sie das mit zwei Konten, an denen Geld hängt – etwa einem Einkaufskonto und einem Bezahldienst. Das Online-Banking folgt ohnehin den eigenen Sicherheitsregeln Ihrer Bank.
- Nach und nach den Rest
Alles Weitere hat Zeit: Ersetzen Sie bei jeder künftigen Anmeldung das alte Passwort durch ein frisch erzeugtes. Nach ein paar Wochen ist der Umzug wie von selbst geschafft.
Die zweite Schutzschicht: Zwei-Faktor-Anmeldung
Die Zwei-Faktor-Anmeldung (kurz 2FA, vom englischen two-factor authentication, also „Anmeldung mit zwei Nachweisen“) ergänzt Ihr Passwort um einen zweiten Nachweis. Das Prinzip kennen Sie vom Geldautomaten: Die Karte allein nützt einem Dieb nichts, die Geheimzahl allein auch nicht – erst Besitz und Wissen zusammen öffnen das Konto. Genauso hier: Selbst wer Ihr Passwort erbeutet hat, bleibt ausgesperrt, solange Ihr Handy nicht auch noch in seiner Hand liegt.
Der zweite Nachweis kommt in drei gängigen Formen:
- Code per SMS: Beim Anmelden schickt der Anbieter eine Kurznachricht mit einer Zahlenfolge, die Sie zusätzlich eintippen. Einfach und weit verbreitet – die Grundstufe.
- Authenticator-App: Eine kleine App auf dem Smartphone (etwa der Google Authenticator oder die App Ihres Passwort-Managers) erzeugt alle 30 Sekunden einen frischen Einmalcode. Sicherer als die SMS, weil unterwegs kein Code abgefangen werden kann.
- Bestätigung aufs Handy: Nach der Passworteingabe erscheint auf Ihrem Smartphone eine Meldung wie „Waren Sie das?“ – ein Fingertipp auf „Ja“ genügt. Diesen Weg nutzen auch viele Banken mit ihren TAN- und photoTAN-Apps.
Vielleicht begegnet Ihnen dabei auch der Begriff Passkey (auf Deutsch etwa „Zugangsschlüssel“): Das ist der moderne Nachfolger des Passworts, bei dem Ihr Gerät die Anmeldung übernimmt und Sie nur noch per Fingerabdruck, Gesichtserkennung oder Geräte-PIN zustimmen. Viele große Anbieter bieten Passkeys inzwischen an – wo Sie die Wahl haben, dürfen Sie ruhig zugreifen.
Wo anfangen? Sie müssen nicht sofort jedes Konto umstellen. Drei Zugänge haben Vorrang: zuerst das E-Mail-Konto – es ist Ihr Generalschlüssel, denn wer es kontrolliert, kann bei fast jedem anderen Dienst auf „Passwort vergessen“ klicken und so nach und nach Ihre Konten übernehmen. Danach das Online-Banking, falls Ihre Bank die zweite Bestätigung nicht ohnehin längst verlangt. Und schließlich die Einkaufskonten, bei denen Ihre Bankverbindung oder Kreditkarte hinterlegt ist. Die Einstellung finden Sie beim jeweiligen Anbieter meist unter „Konto“, „Sicherheit“ oder „Anmeldung“.
Damit haben Sie zwei der wirksamsten Sicherheitswerkzeuge überhaupt kennengelernt: einen Tresor, der sich Ihre Passwörter merkt, und eine zweite Schutzschicht, die Einbrecher auch dann aussperrt, wenn ein Passwort in falsche Hände gerät. Ihre Konten sind damit besser geschützt als die der allermeisten Internetnutzer. In der nächsten Lektion wechseln wir die Blickrichtung – von den Einbrechern zu den stillen Beobachtern: Datenschutz im Browser: Cookies, Tracking und Privatmodus.