Wichtige Erkenntnisse
- Ein Passwortmanager ist eine Software, die Anmeldedaten sicher in einem verschlüsselten Tresor speichert und verwaltet, der durch ein einziges Master-Passwort geschützt ist.
- Dadurch muss man sich nicht mehr mehrere Passwörter merken und erhält gleichzeitig sichere, einzigartige Passwörter für jedes Konto, was das Risiko von Sicherheitsverletzungen verringert.
- Passwortmanager können Anmeldedaten automatisch ausfüllen, Zeit sparen und lassen sich oft geräteübergreifend synchronisieren, sodass man überall bequem darauf zugreifen kann.
- Sie bieten zusätzliche Sicherheitsvorteile, wie z. B. die Verweigerung des automatischen Ausfüllens Ihrer Anmeldedaten auf gefälschten Phishing-Websites und die Begrenzung des Schadens durch kompromittierte Konten, indem die Erstellung einzigartiger Passwörter vereinfacht wird.
- Viele Passwortmanager können mittlerweile auch Passkeys speichern – eine neuere, phishing-resistente Methode, sich ohne Passwort anzumelden.
- Obwohl sie im Allgemeinen sicher und zuverlässig sind, erfordern sie dennoch gute Sicherheitspraktiken wie den Schutz des Master-Passworts, die Verwendung einer Multi-Faktor-Authentifizierung und den Schutz der Geräte vor Malware.
Was ist ein Passwort-Manager?
Ein Passwort-Manager ist eine App, die Ihre Passwörter erstellt, speichert und automatisch ausfüllt. Ihre Zugangsdaten werden in einem verschlüsselten Tresor aufbewahrt, den Sie mit einem einzigen Master-Passwort entsperren. Sie müssen sich also nur dieses eine Passwort merken.
Einst, in den Anfängen des Internets, besaß man vielleicht nur eine Handvoll Passwörter für einige wenige wichtige Webanwendungen, mit denen man einkaufte, lernte, in Kontakt blieb und arbeitete. Heute ist das Ganze viel komplizierter. Die meisten von uns verwalten mittlerweile Dutzende, wenn nicht Hunderte von Online-Konten.
Technologie verspricht zwar, unser Leben zu erleichtern, und das tut sie im Allgemeinen auch, doch jede neue Website und Anwendung, für die wir uns anmelden, bedeutet ein weiteres Passwort, das wir uns merken müssen. Für die meisten ist es mittlerweile unmöglich, sich alle zu merken. Denken Sie einmal an sich selbst: Verwenden Sie Ihre Passwörter für mehrere Konten, wie so viele Internetnutzer? Das sollten Sie auf keinen Fall tun.
Mithilfe riesiger Listen gestohlener Passwörter (sogenannter „Dumps“), die im Darknet erworben werden, können Cyberkriminelle diese Passwörter auf anderen Websites ausprobieren (eine Art Brute-Force- Angriff, auch Credential Stuffing genannt) oder alte Passwörter verwenden, um Nutzer in Betrugsfällen zu erpressen . Dies ist der Dominoeffekt von Datenlecks . Ein Datenleck führt zum nächsten und so weiter.
Gestohlene Passwörter gehören weiterhin zu den beliebtesten Werkzeugen von Angreifern. Laut dem Verizon Data Breach Investigations Report 2026 wurden gestohlene Zugangsdaten in mehr als einem Drittel der bestätigten Datenschutzverletzungen verwendet. Jemand Interesse an der Zahl 1234567?
Wie sind wir hierhergekommen und was können wir dagegen tun?
Der berühmte xkcd -Webcomic „ Password Strength “ brachte es am besten auf den Punkt: Nach 20 Jahren Bemühungen haben wir alle darauf trainiert, Passwörter zu verwenden, die „für Menschen schwer zu merken, aber für Computer leicht zu erraten sind“.
Es stimmt. Vor 20 Jahren rieten Cybersicherheitsexperten den Verbrauchern dringend, Standardpasswörter auf IoT-Geräten (wie etwa Ihrem Internet-Router) zu ändern oder einfache Passwörter wie „12345“ oder „password“ zu vermeiden. Daraus entstand das lang und starke Passwort, über das sich xkcd lustig macht: ein allgemeines Wort mit einer Mischung aus Groß- und Kleinbuchstaben, mindestens einer Zahl und einem Symbol.
Bei der Erstellung eines neuen Kontos verlangen Websites lange und sichere Passwörter. Andernfalls ist die Kontoerstellung nicht möglich. Selbst wenn man die Kontoerstellung übersteht, vergisst man die gerade erstellte , komplizierte Verschlüsselung schnell wieder und muss sich damit abfinden, den Link „Passwort vergessen?“ als tägliche Anmeldeoption zu nutzen.
Glücklicherweise müssen Sie sich all diese Passwörter nicht mehr merken. Ein Passwort-Manager kann sie für Sie speichern.
Malwarebytes Labs definiert einen Passwort-Manager als „eine Softwareanwendung, die zur Speicherung und Verwaltung von Online-Anmeldedaten entwickelt wurde. Sie erzeugt auch Passwörter. Diese Passwörter werden normalerweise in einer verschlüsselten Datenbank gespeichert und durch ein Master-Passwort gesichert.“
Wie funktioniert ein Passwort-Manager?
Sobald alle Ihre Kontobenutzernamen und Passwörter in den Tresor eingegeben wurden, müssen Sie sich nur noch Ihr Master-Passwort merken. Das Eingeben Ihres Master-Passworts entsperrt Ihren Passwort-Tresor, und von Ihrem Tresor aus können Sie dann jedes benötigte Passwort abrufen.
Im Hintergrund verschlüsselt der Passwort-Manager alle Daten in Ihrem Tresor. Die meisten seriösen Passwort-Manager verwenden die sogenannte Zero-Knowledge-Verschlüsselung: Ihr Tresor wird auf Ihrem eigenen Gerät verschlüsselt und entschlüsselt, sodass selbst das Unternehmen, das ihn speichert, Ihre Passwörter nicht lesen kann. Ihr Master-Passwort ist der Schlüssel.
Beim Besuch einer Website prüft der Passwort-Manager die Webadresse und schlägt passende Benutzernamen und Passwörter vor. Bei der Erstellung eines neuen Kontos generiert er automatisch ein sicheres, zufälliges Passwort und speichert es. Viele Passwort-Manager speichern mittlerweile auch Passkeys , sodass Sie denselben Tresor auch dann nutzen können, wenn Websites auf Passwörter verzichten.
Was sind die Vorteile der Nutzung eines Passwort-Managers?
Sie müssen sich nicht mehr alle Ihre Passwörter merken. Sie müssen sich nur noch das Master-Passwort merken, das Ihren Passwort-Tresor entsperrt. Und wenn Sie sich für einen cloudbasierten Passwort-Manager entscheiden, können Sie von jedem Gerät aus auf Ihren Passwort-Tresor zugreifen.
Sie können hochsichere Passwörter für Sie automatisch generieren. Passwort-Manager bieten Ihnen in der Regel an, ein automatisch generiertes Passwort zu verwenden, wann immer Sie ein neues Konto bei einer Website oder Anwendung erstellen. Diese zufälligen Passwörter sind lang, alphanumerisch und im Wesentlichen unmöglich zu erraten.
Sie können Sie vor Phishing-Seiten warnen. Hier eine kurze Erklärung zu Phishing- Betrugsmaschen: Spam- E-Mails werden gefälscht , sodass sie aussehen, als kämen sie von einem legitimen Absender, beispielsweise einem Freund, Familienmitglied, Kollegen oder einem Unternehmen, mit dem Sie geschäftlich zu tun haben. Die in der E-Mail enthaltenen Links führen zu ähnlich gefälschten, schädlichen Webseiten, die darauf abzielen, Anmeldedaten abzugreifen. Da ein Passwort-Manager jedes gespeicherte Login mit einer bestimmten Webadresse verknüpft, bietet er Ihnen nicht an, Ihren Benutzernamen und Ihr Passwort auf einer gefälschten Webseite automatisch auszufüllen. Das ist Ihr Hinweis, genauer hinzusehen, bevor Sie etwas eingeben. Sind Sie sich bei einem Link unsicher? Überprüfen Sie ihn mit dem Malwarebytes Scam Link Checker .
Sie können Ihren Erben im Todesfall helfen. Dies nennt man digitales Erbe . Viele Passwortmanager bieten eine Notfallzugriffsfunktion, mit der Sie eine Vertrauensperson – beispielsweise ein Familienmitglied oder den von Ihnen benannten Nachlassverwalter – benennen können, die im Todesfall auf Ihren Passwort-Tresor zugreifen kann. Richten Sie dies rechtzeitig ein, da Ihre Familie sonst in der Regel keinen Zugriff hat.
Passwort-Manager sparen Zeit. Neben der reinen Speicherung von Passwörtern füllen viele Passwort-Manager auch Anmeldeinformationen für den schnelleren Zugriff auf Online-Konten automatisch aus. Darüber hinaus können einige auch Name, Adresse, E-Mail, Telefonnummer und Kreditkarteninformationen speichern und automatisch ausfüllen. Dies kann beim Online-Shopping beispielsweise eine enorme Zeitersparnis sein.
Viele Passwortmanager synchronisieren sich über verschiedene Betriebssysteme hinweg. Wenn Sie ein Windows Benutzer bei der Arbeit und ein Mac Benutzer zu Hause, springen Sie auf Ihren Android Montag bis Freitag und wenden Sie sich an iOS An den Wochenenden können Sie unabhängig von der verwendeten Plattform schnell auf Ihre Passwörter zugreifen. Dasselbe gilt für alle gängigen Webbrowser; z. B. Chrome Firefox, Edge und Safari.
Sie helfen, Ihre Identität zu schützen. Passwortmanager schützen indirekt vor Identitätsdiebstahl , und zwar aus folgendem Grund: Indem Sie für jede Website ein individuelles Passwort verwenden, trennen Sie Ihre Daten quasi über alle genutzten Websites und Anwendungen hinweg. Wenn ein Krimineller eines Ihrer Konten hackt, kann er nicht unbedingt auf Ihre anderen Konten zugreifen. Das ist zwar kein hundertprozentiger Schutz, aber eine zusätzliche Sicherheitsebene, die Sie nach einem Datenleck sicherlich zu schätzen wissen werden.
Sind Passwort-Manager sicher?
Ja, für die meisten Nutzer ist ein seriöser Passwort-Manager deutlich sicherer als die Wiederverwendung von Passwörtern oder deren Speicherung in einer Notiz-App. Zwar wurden auch schon Passwort-Manager gehackt , doch ihre Erfolgsbilanz in puncto Datensicherheit ist insgesamt sehr gut. Das bekannteste Beispiel ist LastPass, das 2022 bekannt gab, dass Angreifer Kopien der verschlüsselten Passwort-Tresore von Kunden gestohlen hatten. Da diese Tresore verschlüsselt waren, benötigten die Angreifer dennoch das jeweilige Master-Passwort, um sie zu öffnen. Genau deshalb ist ein langes, einzigartiges Master-Passwort so wichtig.
Es gibt viele seriöse Passwortmanager, die starke Verschlüsselung verwenden und sicher sind. Achten Sie bei der Auswahl auf Zero-Knowledge-Verschlüsselung, Unterstützung für Multi-Faktor-Authentifizierung und eine Historie unabhängiger Sicherheitsprüfungen. NordPass Password Manager ist ein Beispiel dafür.
Es ist wichtig zu wissen, dass bei einer Infektion Ihres Smartphones oder Computers mit Schadsoftware wie einem Infostealer oder Keylogger auch Ihr Passwortmanager gefährdet sein kann. Daher ist es unerlässlich, Ihre Anti-Malware- und Antivirensoftware stets aktuell zu halten.
Wenn Ihr Passwortmanager-Anbieter eine Sicherheitslücke meldet, ändern Sie zuerst Ihr Masterpasswort. Ändern Sie anschließend die Passwörter für Ihre wichtigsten Konten, wie E-Mail und Online-Banking, und stellen Sie sicher, dass die Zwei-Faktor-Authentifizierung aktiviert ist.
Welche Arten von Passwort-Managern gibt es?
Desktopbasierte Passwortmanager speichern Ihre Passwörter lokal auf Ihrem Gerät, z. B. Ihrem Laptop, in einem verschlüsselten Tresor. Sie können von keinem anderen Gerät auf diese Passwörter zugreifen, und wenn Sie das Gerät verlieren, gehen auch alle darauf gespeicherten Passwörter verloren. Lokal installierte Passwortmanager sind eine hervorragende Option für alle, die ihre Daten nicht in fremden Netzwerken speichern möchten. Einige lokal installierte Passwortmanager bieten ein ausgewogenes Verhältnis zwischen Datenschutz und Benutzerfreundlichkeit, indem sie es Ihnen ermöglichen, mehrere Passwort-Tresore auf verschiedenen Geräten anzulegen und diese beim Verbinden mit dem Internet zu synchronisieren.
Cloudbasierte Passwortmanager speichern Ihre verschlüsselten Passwörter im Netzwerk des Anbieters. Dieser ist direkt für die Sicherheit Ihrer Passwörter verantwortlich. Der Hauptvorteil cloudbasierter Passwortmanager – wie beispielsweise 1Password und NordPass – besteht darin, dass Sie von jedem Gerät mit Internetverbindung auf Ihren Passwort-Tresor zugreifen können. Cloudbasierte Passwortmanager sind üblicherweise in verschiedenen Formen verfügbar, am häufigsten als Browsererweiterung, Desktop-App und mobile App.
Integrierte Passwortmanager sind in Ihrem Browser oder Betriebssystem enthalten, wie beispielsweise der Google Passwortmanager. Chrome Und Android , die Passwörter-App auf Apple-Geräten und der Passwort-Manager in Microsoft Edge Sie sind kostenlos, praktisch und haben sich in den letzten Jahren stark verbessert. Ihre größte Einschränkung besteht darin, dass sie am besten innerhalb ihres eigenen Ökosystems funktionieren. Wenn Sie also verschiedene Marken auf Ihren Geräten verwenden, ist ein dedizierter Passwortmanager in der Regel einfacher.
Single Sign-On (SSO). Im Gegensatz zu einem Passwort-Manager, der für jede Anwendung ein eigenes Passwort speichert, ermöglicht SSO die Nutzung eines einzigen Logins für viele Anwendungen. Stellen Sie sich SSO wie Ihren digitalen Reisepass vor. Bei der Einreise in ein fremdes Land bestätigt Ihr Reisepass den Zoll- und Einwanderungsbehörden Ihre Staatsangehörigkeit und ermöglicht Ihnen eine reibungslose Einreise. Ähnlich verhält es sich mit SSO: Sie verifizieren Ihre Identität einmalig beim SSO-Anbieter, der diese dann für jede Anwendung bestätigt. Unternehmen bevorzugen SSO gegenüber Passwort-Managern aus mehreren Gründen. Vor allem bietet SSO Mitarbeitern einen sicheren und komfortablen Zugriff auf die benötigten Anwendungen. Zudem reduziert SSO den Zeitaufwand der IT-Abteilung für die Fehlerbehebung und das Zurücksetzen vergessener Passwörter.
Best Practices für Passwörter
Passwörter nicht wiederverwenden. Selbst mit einem Passwort-Manager. Stattdessen sollten Sie einzigartige Passwörter für jede Seite erstellen und den Passwort-Manager das tun lassen, wofür er gemacht ist. Verwenden Sie einen sicheren starken Passwort-Generator, um einzigartige Passwörter für alle Ihre Konten zu erstellen.
Verwenden Sie lange und zufällige Passwörter. Viele Passwortmanager schlagen Ihnen beim Erstellen eines Kontos automatisch sichere Passwörter vor. Falls nicht, ist die Länge wichtiger als die Komplexität. Die aktuellen NIST-Richtlinien empfehlen Passwörter mit mindestens 15 Zeichen, wenn ein Passwort Ihre einzige Verteidigungslinie ist. Je zufälliger und unsinniger, desto besser, insbesondere da Sie es sich nicht merken müssen. Das übernimmt der Passwortmanager. Der entscheidende Unterschied liegt in der Erstellung Ihres Master-Passworts (das alle anderen Passwörter entsperrt). Dieses müssen Sie sich merken. Wenn Sie also kein fotografisches Gedächtnis haben, ist eine Passphrase die beste Lösung.
Verwenden Sie eine Passphrase. Wenn Sie ein Masterpasswort erstellen, versuchen Sie es mit einer Passphrase ; also einer Reihe von Wörtern, die leicht zu merken, aber schwer zu erraten sind. Etwas Vertrautes mit einer ungewöhnlichen Note, zum Beispiel: „Bohnen-Burrito-Eiscreme-Split“. Oder einfach eine Ansammlung von zufälligen Dingen, die sich ein Mensch leicht vorstellen kann, ein Computer aber nicht: „Schicke Ratte Neon-Avocado-Auto“. Lassen Sie Ihrer Fantasie freien Lauf und verwenden Sie nicht diese Beispiele, da veröffentlichte Passphrasen auf den Listen von Angreifern landen. Haustiernamen, Kindernamen oder andere Familiennamen oder Sätze wie „Lass mich rein!“ sind viel zu häufig und daher für Cyberkriminelle leicht zu entschlüsseln.
Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) oder die Multi-Faktor-Authentifizierung (MFA). Eine der besten Möglichkeiten, jedes Konto zu schützen – unabhängig davon, ob ein Passwort-Manager verwendet wird oder nicht – ist die Aktivierung der MFA. Bei einem MFA-fähigen Passwort-Manager müssen Sie Ihre Identität mithilfe von mindestens zwei Authentifizierungsfaktoren bestätigen. Dazu gehören etwas, das Sie wissen, etwas, das Sie besitzen, und etwas, das Sie sind. Das, was Sie wissen, ist in der Regel Ihr Passwort, kann aber auch eine PIN sein. Das, was Sie besitzen, kann beispielsweise Ihr Mobiltelefon, Ihre Bankkarte oder ein physischer Sicherheitsschlüssel sein. Das, was Sie sind, kann schließlich mithilfe biometrischer Merkmale wie Gesichts-, Stimm- oder Iriserkennung und Fingerabdruckidentifizierung verifiziert werden. Auch Verhaltensbiometrie , wie beispielsweise Tastatureingaben, kann eingesetzt werden.
Diese zusätzliche Sicherheitsebene bedeutet, dass jeder, der versucht, sich in Ihr Konto einzuloggen (auch Sie selbst), neben Benutzername und Passwort weitere Authentifizierungsfaktoren kontrollieren muss. Ein Beispiel: Nachdem Sie Ihr Master-Passwort für den Zugriff auf den Passwort-Manager eingegeben haben, wird ein Code an Ihr Mobiltelefon gesendet, den Sie vor dem Zugriff auf den Tresor eingeben müssen. Beachten Sie jedoch, dass Telefonnummern missbraucht werden können, wenn Sie Ihr Telefon als Authentifizierungsfaktor verwenden.
Diese Masche nennt sich SIM-Jacking (auch SIM-Swapping genannt) und findet statt, wenn sich ein Cyberkrimineller als Sie ausgibt und Ihren Mobilfunkanbieter dazu bringt, Ihre Telefonnummer auf sein eigenes Telefon umzuschreiben, indem er Ihre Sicherheitsfragen erfolgreich beantwortet. Oft genügt Kriminellen schon eine kurze Suche in sozialen Medien, um die benötigten Antworten zu erhalten. Sobald die Kriminellen die Kontrolle über Ihr Telefon haben, verfügen sie über alles, was sie benötigen, um Ihre Identität zu stehlen. Daher sollten Sie für wichtige Konten stattdessen eine Authentifizierungs-App wie Authy oder Google Authenticator oder einen physischen Sicherheitsschlüssel verwenden.
Nutzen Sie nach Möglichkeit Passkeys. Immer mehr Websites bieten die Möglichkeit, sich mit einem Passkey anstelle eines Passworts anzumelden. Passkeys verwenden Ihren Fingerabdruck, Ihr Gesicht oder Ihre Geräte-PIN und sind im Gegensatz zu Passwörtern nicht vor Phishing und Wiederverwendung geschützt. Wenn Ihr Passwort-Manager Passkeys unterstützt, kann er diese zusammen mit Ihren Passwörtern speichern und synchronisieren.
Überlegen Sie es sich gut mit kostenlosen Passwortmanagern. Viele der beliebtesten kostenlosen Passwortmanager basieren auf einem Freemium-Modell, d. h. für bestimmte Funktionen müssen Sie bezahlen. Prüfen Sie daher vor der Auswahl, was die kostenlose Version beinhaltet. Benötigen Sie eine automatische Passwortsynchronisierung über verschiedene Browser und Geräte hinweg? Benötigen Sie eine digitale Weitergabe Ihrer Passwörter? Möchten Sie Ihre Zugangsdaten mit der Familie teilen? Unterstützt der Passwortmanager die Multi-Faktor-Authentifizierung (MFA)? MFA ist heutzutage unerlässlich. Falls die kostenlose Version nicht alle benötigten Funktionen bietet, lohnt sich die Investition in einen kostenpflichtigen Passwortmanager.
Erstellen Sie eine Passwort-Manager-Richtlinie. Ein Tipp für kleine und mittlere Unternehmen: Erstellen Sie eine Passwort-Manager-Richtlinie und informieren Sie Ihre Mitarbeiter darüber, dass die Verwendung eines Passwort-Managers zum Schutz ihrer Arbeitskonten zulässig ist. Ihre Mitarbeiter verwenden bereits eine Vielzahl potenziell unsicherer Methoden, um ihre zahlreichen Passwörter zu verwalten. Gestohlene und wiederverwendete Passwörter gehören nach wie vor zu den häufigsten Einfallstoren für Angreifer. Eine offizielle Passwort-Manager-Richtlinie ist Ihre erste Verteidigungslinie gegen Cyberangriffe auf Ihr Netzwerk.
Siehe auch: Passkey