Passwort-Manager sind eine großartige Möglichkeit, sichere Passwörter zu generieren, sie zusammen mit deinen Kreditkartendetails in verschlüsseltem Speicher aufzubewahren und deine Online-Sicherheit rundum zu verbessern. Aber du könntest dir Sorgen machen, so viele sensible Daten an einem Ort zu speichern. Sind Passwort-Manager sicher in der Anwendung?
Die Antwort ist, dass es darauf ankommt, welchen Passwort-Manager du verwendest. Einige haben bekannte Sicherheitsprobleme, andere haben vielleicht Hintergedanken (wie das Profitieren von deinen Daten), aber die allerbesten Passwort-Manager sind so sicher wie möglich. Wir haben mehrere Passwort-Manager analysiert und gemeinsame Probleme sowie Möglichkeiten zu deren Behebung identifiziert. Lass uns einige Details durchgehen, um zu sehen, wie wir zu unserem Schluss gekommen sind.
- Was macht ein Passwort-Manager?
- Was macht einen Passwort-Manager sicher?
- Schwachstellen bei Passwort-Managern
- Ist die Verwendung eines Passwort-Managers sicher?
Was macht ein Passwort-Manager?
Ein Passwort-Manager(new window) ist ein Programm, das deine Passwörter für dich speichert und neue generiert. Wenn du im Web surfst und auf die Login-Seiten von Diensten zugreifst, bei denen du ein Konto hast, wird ein Pop-up angeboten, um diese Passwörter mit einem Klick für dich auszufüllen.
Passwort-Manager haben einige Vorteile. Zum einen musst du dich nicht mehr auf dein Gedächtnis verlassen, was bedeutet, dass du keine Passwörter mehr verlieren kannst. Zweitens, da du dir keine Passwörter mehr merken musst, kannst du kompliziertere erstellen, was deine Sicherheit erhöht. Dazu kommt, wie viel einfacher ein guter Passwort-Manager das Surfen macht (siehe unseren Artikel über Passwortmüdigkeit), und sie sind ein Muss.
Was macht einen Passwort-Manager sicher?
Passwort-Manager sind darauf ausgelegt, deine Passwörter sicher aufzubewahren, aber natürlich stellt sich die Frage, wie sicher sie selbst sind. Schließlich steht viel auf dem Spiel. Generell ist ein guter Passwort-Manager darauf ausgelegt, Eindringlinge fernzuhalten und deine Daten privat zu halten. Wie gut sie das schaffen, hängt jedoch sehr vom einzelnen Dienst ab.
Es gibt einige Dinge, die die besten Passwort-Manager alle gemeinsam haben. Das Erste davon ist die intelligente Verwendung von Verschlüsselung(new window). Ein guter Passwort-Manager verschlüsselt die Tresore, in denen du deine Passwörter speicherst, mit einem hochmodernen Verschlüsselungsalgorithmus wie AES-256.
Wenn jedoch ein Dienst wirklich auf die Privatsphäre der Nutzer ausgerichtet ist, wird er auch etwas verwenden, das als Ende-zu-Ende-Verschlüsselung bezeichnet wird. Bei normaler Verschlüsselung wird der Verschlüsselungsschlüssel geteilt, wenn du Daten von deinem Computer zu den Servern des Passwort-Managers sendest, sowohl von dir als auch von dem Dienst, den du nutzt.
Im Gegensatz dazu hast bei der Ende-zu-Ende-Verschlüsselung nur du den Schlüssel. Das schließt die Möglichkeit des Ausspähens durch den Dienst, den du nutzt, sowohl während der Übertragung als auch bei der Speicherung, aus. Allerdings ist sie auf technischer Ebene schwer umzusetzen, daher bieten nicht alle Passwort-Manager Ende-zu-Ende-Verschlüsselung an.
Wenn Dienste keine Ende-zu-Ende-Verschlüsselung verwenden, können die Ergebnisse katastrophal sein. Der bisher größte Cloud-Speicher-Datenbruch, der Dropbox-Datenbruch von 2012, geschah, weil ein Dropbox-Mitarbeiter seine Passwörter wiederverwendet(new window) hatte, was Hackern einen Weg ins System ermöglichte. Die Hacker entschlüsselten die Datenbank und stahlen die Passwörter von 70 Millionen Menschen. Hätte Dropbox Ende-zu-Ende-Verschlüsselung verwendet, wäre dies nicht möglich gewesen.
Vorsichtsmaßnahmen wie die Ende-zu-Ende-Verschlüsselung minimieren die Chance menschlicher Fehler und damit die Wahrscheinlichkeit eines Datenbruchs. Allerdings gibt es immer noch einige Schwachstellen, derer du dir bewusst sein musst.
Schwachstellen von Passwort-Managern
Selbst der beste Passwort-Manager ist nicht perfekt. Egal, wie gut er konzipiert ist, es gibt keine hundertprozentige Sicherheit, also solltest du dich darauf konzentrieren, die Risiken zu minimieren.
Eine der größten Schwachstellen in der Sicherheitsarchitektur eines Passwort-Managers bist du selbst, der Nutzer. Denn selbst die beste Sicherheit ist nutzlos, wenn dein Passwort beispielsweise „password“ lautet. Viele Passwort-Manager erhöhen die Sicherheit, indem sie ein Master-Passwort verwenden, das Passwort, das dir den Zugang zu deinem Tresor ermöglicht.
Es ist sehr wichtig, dass dieses Passwort stark(new window) ist, damit es nicht zu leicht geknackt werden kann, aber auch einfach zu merken, damit du es nicht vergisst. Schließlich kann sich dein Passwort-Manager nicht für dich daran erinnern. Die beste Lösung dafür ist, eine Passphrase anstelle eines Passworts(new window) zu verwenden, aber was auch immer du tust, stelle sicher, dass es schwer zu knacken ist und keine Variation deines Namens oder der Straße, in der du aufgewachsen bist.
Eine weitere wichtige Sicherheitsmaßnahme ist die Zwei-Faktor-Authentifizierung, oder 2FA. Dazu musst du beim Zugriff auf einen Dienst ein zweites Gerät verwenden, in der Regel dein Handy. Das fügt eine Sicherheitsebene hinzu und erschwert es jedem Hacker, die Kontrolle über deine Konten zu erlangen.
Ein weiteres Problem ist jegliche Malware, die deinen Computer infizieren könnte. Im Extremfall könnte Malware verwendet werden, um dein System zu übernehmen, während du es ungesperrt lässt, sodass sie auf diese Weise auf deine Tresore zugreifen könnte. Derzeit ist die einzige wirkliche Lösung die Prävention, also stelle sicher, dass du regelmäßig Firewalls und Malware-Scans durchführst, um sicherzustellen, dass nichts davon auf deiner Festplatte landet.
Schließlich gibt es noch Social Engineering und andere Vertrauensspiele, bei denen ein Cyberkrimineller dich irgendwie dazu überredet, dein Master-Passwort preiszugeben. Phishing, bei dem ein Krimineller dir eine E-Mail, eine Textnachricht oder sogar einen Anruf schickt und vorgibt, jemand anderes zu sein, ist das bekannteste Beispiel. Die einzige gute Verteidigung gegen Betrugsspiele wie diese ist das Bewusstsein, also sei dir bewusst, dass du sensible Daten nie preisgeben solltest, es sei denn, du bist sicher, dass du weißt, mit wem du sprichst.
Ist die Verwendung eines Passwort-Managers sicher?
Die Gefahren sind real, aber wenn du einen guten Passwort-Manager verwendest und selbst wachsam bleibst, kannst du jegliche Risiken minimieren. Mit diesem Wissen, ja, Passwort-Manager sind absolut sicher in der Verwendung und verbessern zudem deine gesamte Online-Sicherheit.
Allerdings sind nicht alle Passwort-Manager gleich geschaffen, einige, wie LastPass(new window), sind anfällig für Sicherheitslücken, während andere schwer zu bedienen sind oder potenzielle Schwächen in der Sicherheitseinstellung haben.
Deswegen haben wir Proton Pass entwickelt, einen Passwort-Manager, der alle Lehren, die wir aus dem Betrieb unserer anderen sicheren Dienste wie Proton Mail, Proton VPN(new window) und Proton Drive, gezogen haben, integriert.
Die Sicherheit von Proton Pass besteht aus mehreren Schichten. Auf unserer Seite verwenden wir Ende-zu-Ende-Verschlüsselung für alle Benutzernamen, Passwörter, Bankkarten, sichere Notizen und andere Daten, die du bei uns speicherst. Proton Pass verschlüsselt auch deine Metadaten, wie die Webseiten, für die jedes Passwort zum Einloggen verwendet wird. Proton kann keine deiner sensiblen Daten einsehen.
Sieh dir das Sicherheitsmodell von Proton Pass(new window) an, um eine ausführliche Erklärung unserer Verschlüsselung zu erhalten.
Als ein von Wissenschaftlern gegründetes Unternehmen glauben wir auch an die Wichtigkeit von Transparenz und Peer-Review, um hohe Sicherheitsstandards zu wahren. Während einige Passwort-Manager ihren Code vor Überprüfungen verbergen, ist Proton Pass unabhängig geprüft und Open Source, sodass jeder unseren Code inspizieren kann.
Auf Kundenseite schützen wir dich auf mehrere Arten. Wir nutzen 2FA, was bedeutet, dass es viel schwieriger ist, sich als du auszugeben, um Zugang zu deinem Konto zu erhalten. Wir bieten auch Proton Sentinel an, unser einzigartiges KI-gestütztes Sicherheitsprogramm, das verdächtige Anmeldeversuche verfolgt und vereitelt.
Für uns sind Privatsphäre und Sicherheit keine Marketing-Schlagworte, sie sind Teil unserer DNA. Im Gegensatz zu den meisten unserer Konkurrenten werden wir von unserer Community finanziert, was bedeutet, dass wir uns keine Gedanken über Werbeeinnahmen machen müssen und uns auf das konzentrieren können, was wichtig ist, deine Sicherheit. Wenn dir das zusagt, erstelle noch heute ein kostenloses Proton Pass-Konto.
