Passwortmanager
Ein Passwortmanager ist eine praktische Anwendung, um Passwörter sicher zu speichern und sie bei der Anmeldung einfach zu verwenden. So müssen Sie sich Passwörter nicht mehr merken und können problemlos für jede Anwendung ein anderes, starkes Passwort nutzen. Im Folgenden erfahren Sie mehr über die Funktionsweise und Möglichkeiten eines solchen Passwortmanagers. Außerdem erläutern wir, welchen Nutzen Sie innerhalb Ihrer IAM-Umgebung aus diesem intelligenten Tool ziehen können.
Was ist ein Passwortmanager?
Ein Passwortmanager ist, je nach Anbieter, eine Cloud-Anwendung oder Software, die Sie lokal auf einem Gerät installieren. Den Kern bildet ein gut gesicherter digitaler Tresor, in dem Sie Passwörter speichern und bei der Anmeldung auf Websites und Anwendungen verwenden können. Neben Passwörtern lassen sich dort meist auch andere vertrauliche Daten wie PIN-Codes, Dokumente oder Kreditkartendaten speichern. Als Eigentümer erhalten Sie mit einem Master-Passwort Zugriff auf Ihre Daten. Dies ist auch das einzige Passwort, das Sie als Nutzer noch behalten müssen. Alle übrigen Passwörter und Daten stehen mit einem Klick zur Verfügung. Passwortmanager werden sowohl privat als auch in Unternehmen und Organisationen eingesetzt.
Wie funktioniert ein Passwortmanager?
Nach der Installation oder Aktivierung Ihres Passwortmanagers können Sie beginnen. Sie schützen das Tool mit einem persönlichen Benutzernamen, meist einer E-Mail-Adresse, und einem Master-Passwort. Dieses Passwort muss selbstverständlich eindeutig und ausreichend stark sein, denn damit erhalten Sie Zugriff auf alle Ihre Passwörter. Deshalb lässt sich ein Passwortmanager in der Regel zusätzlich mit Multi-Faktor-Authentifizierung (MFA) absichern.
Einträge zu Ihrem Passwortmanager hinzufügen
In Ihrem digitalen Tresor können Sie anschließend Passwörter und andere Daten speichern. Dazu legen Sie zunächst fest, welchen Eintragstyp Sie hinzufügen möchten, beispielsweise ein Passwort oder eine Kreditkarte. Anschließend können Sie die relevanten Daten eingeben. Bei einem Passwort handelt es sich beispielsweise um den Namen der Anwendung oder des Webservices, die URL, den Benutzernamen und das Passwort. Wenn es sich um ein neues Konto handelt und Sie noch ein Passwort erstellen müssen, generieren die meisten Passwortmanager mithilfe ihres integrierten Passwortgenerators automatisch ein starkes Passwort. Passwortregeln wie die Mindestlänge und die verwendeten Zeichen können Sie dafür selbst festlegen.
Anmeldung mit Ihrem Passwortmanager
Die meisten Passwortmanager bieten Plug-ins für alle gängigen Browser. Rufen Sie damit die Anmeldeseite einer Website oder Anwendung auf, deren Kontodaten bereits gespeichert sind? Dann erkennt der Passwortmanager dies und füllt die Daten mit der Autofill-Funktion automatisch aus. Erstellen Sie irgendwo ein neues Konto? Dann können Sie diese Daten mit einem Klick zum Passwortmanager hinzufügen.
Daten teilen
Über den Passwortmanager können Sie Daten häufig auch einfach mit beispielsweise Familienmitgliedern oder Kollegen teilen. Besonders privat ist dies eine praktische Möglichkeit, um etwa die Anmeldedaten von Netflix und anderen gemeinsamen Konten zu teilen. In Unternehmensumgebungen ist das Teilen von Kontodaten meist nicht erwünscht.
Vorteile eines Passwortmanagers
Ein solcher Passwortmanager bietet mehrere Vorteile für Sicherheit und Benutzerfreundlichkeit:
Nur ein Passwort merken: Sie müssen sich nur Ihr Master-Passwort merken. Gerade deshalb ist es kein Problem, dieses Passwort ausreichend stark zu gestalten.
Starke Passwörter: Die Regel für Passwörter lautet, dass sie eindeutig und ausreichend stark sein müssen. Normalerweise ist dies ein Problem, wenn Sie sich alle Passwörter selbst merken müssen. Das ist nun nicht erforderlich, sodass diese Anforderung kein Problem darstellt.
Effizient und benutzerfreundlich: Meist sorgt die Autofill-Option dafür, dass Anmeldedaten automatisch eingegeben werden. Andernfalls können Sie dies selbst mit einem Klick erledigen.
Synchronisierung: Bei einem Online-Passwortmanager stehen Ihre Passwörter automatisch auf all Ihren Geräten zur Verfügung.
Sichere Speicherung: Der Passwortmanager fungiert als Tresor für digitale Daten. Ohne das Master-Passwort sind die Daten garantiert nicht zugänglich.
Zusätzlicher Schutz vor Phishing: In einem Passwortmanager speichern Sie auch die URL einer Website oder Anwendung. Bei Phishing-Versuchen wird häufig eine abweichende URL verwendet, die der Passwortmanager nicht erkennt.
Ein Passwortmanager macht die Nutzung und Verwaltung Ihrer Passwörter damit deutlich einfacher und sicherer.
Sind Passwortmanager sicher?
Ja. Unabhängig davon, ob die Daten lokal oder in der Cloud gespeichert sind, werden sie mit starken Verschlüsselungsmethoden wie AES-256 verschlüsselt. Das bedeutet selbstverständlich, dass der zentralen Anmeldung besondere Aufmerksamkeit gewidmet werden muss. Dafür benötigen Sie jedoch nur ein Master-Passwort, sodass es normalerweise kein Problem ist, ein eindeutiges und starkes Passwort zu wählen. Besonders in Kombination mit Multi-Faktor-Authentifizierung oder einem Hardware-Key wie dem YubiKey ist der Zugriff hervorragend geschützt.
Dieser Schutz beschränkt sich jedoch auf den Passwortmanager. Sobald Sie sich irgendwo anmelden, werden die Anmeldedaten aus dem Passwortmanager auf regulärem Weg online an die betreffende Anwendung oder Website übertragen. Dort können Passwörter weiterhin von Hackern gestohlen werden. Der Passwortmanager sorgt dafür, dass Sie als Person so sicher wie möglich mit Passwörtern umgehen, aber es bleiben Passwörter und diese sind immer bis zu einem gewissen Grad anfällig. Daher wird intensiv an anderen Authentifizierungsmethoden wie biometrischer Verifizierung und Passkeys gearbeitet.
Tipps zur Auswahl eines Passwortmanagers
Welcher Passwortmanager ist der beste? Die Antwort auf diese Frage hängt selbstverständlich immer von den individuellen Anforderungen und Umständen ab. Im Folgenden haben wir einige Punkte zusammengestellt, auf die Sie bei der Auswahl eines Passwortmanagers unbedingt achten sollten:
Sicherheit: Bietet der Passwortmanager Ende-zu-Ende-Verschlüsselung (E2EE), sodass wirklich nur der Nutzer Zugriff hat? Wird ein starkes Verschlüsselungsalgorithmus wie AES-256 verwendet? Wird MFA unterstützt?
Gerätekompatibilität: Welche Geräte können Sie verwenden und mit welchen Betriebssystemen und Browsern?
Benutzerfreundlichkeit: Können Sie Einträge einfach hinzufügen und die gespeicherten Passwörter unkompliziert für die Anmeldung verwenden?
Kosten: Welche Funktionen erhalten Sie mit welchem Abonnement? Viele kostenlose Konten bieten gerade zu wenig Funktionalität, um wirklich nutzbar zu sein.
Zukunftssicherheit: Unterstützt die Software auch modernere Authentifizierungsformen wie Passkeys?
Reputation und Transparenz: Gab es Sicherheitsvorfälle und wie ist der Anbieter damit umgegangen? Basiert die Software auf Open Source und ist sie überprüfbar?
Auch viele Organisationen und Unternehmen fördern oder verpflichten zur Nutzung eines Passwortmanagers. Bei der Auswahl eines Passwortmanagers für Unternehmen sollten Sie zusätzlich Aspekte wie Wartung, Anwenderunterstützung, Monitoring und Reporting-Tools berücksichtigen. Selbstverständlich müssen Sie auch prüfen, inwieweit die Lösung den eigenen IT-Richtlinien entspricht.
Wie erstellen Sie ein sicheres Passwort?
Ein sicheres oder starkes Passwort ist ein Passwort, bei dem ein Angriff im Verhältnis zum möglichen Ertrag zu teuer ist oder zu viel Zeit kostet. Die Gefahr liegt dabei nicht so sehr in Echtzeit-Anmeldeversuchen, denn diese werden meist bereits nach einigen fehlgeschlagenen Versuchen erkannt.
Anders verhält es sich bei einer gestohlenen oder geleakten Datenbank mit Anmeldedaten. Passwörter werden darin verschlüsselt als sogenannte Hash-Codes gespeichert. Mit einem solchen Hash können Sie sich nicht anmelden, aber offline lässt sich mithilfe von Brute-Force-Techniken ermitteln, welches Passwort zu einem bestimmten Hash-Code passt. Mit der heutigen Rechenleistung können Millionen oder sogar Milliarden von Passwortvarianten pro Sekunde ausprobiert werden, bis ein Passwort gefunden wurde.
Lange und komplexe Passwörter
Sie benötigen daher ausreichend Passwortvarianten, damit selbst ein solcher Brute-Force-Ansatz weiterhin zu viel Zeit und Rechenleistung erfordert. Dies erreichen Sie, indem Sie Passwörter komplex und lang gestalten:
Ursprünglich bestanden Passwörter meist nur aus Buchstaben. Heute verlangen Anwendungen häufig ein komplexes Passwort mit Zahlen, Großbuchstaben und Sonderzeichen. Das führt zu deutlich mehr Varianten und erschwert einen Angriff erheblich.
Ähnliches gilt für die Länge. Passwörter mit 8 Zeichen gelten heute als zu kurz. Häufig liegt die Mindestlänge inzwischen bei 12 Zeichen oder mehr. Je länger ein Passwort ist, desto mehr Varianten gibt es.
Viele Anwendungen haben daher strenge Anforderungen für die Wahl eines Passworts festgelegt. In den meisten Passwortmanagern können Sie solche Regeln für den integrierten Passwortgenerator einstellen. Bei diesen Passwörtern müssen Sie sich hinsichtlich Länge und Komplexität auch nicht einschränken. Sie müssen sie schließlich nicht selbst behalten.
Wie legen Sie Ihr Master-Passwort fest?
Bei Ihrem Master-Passwort ist das anders, denn dieses müssen Sie sich selbst merken. In diesem Fall sollte es vorzugsweise ein besonders langes Passwort sein, jedoch ohne komplexe Zeichen. Wir ersparen Ihnen die Berechnungen, aber die Faustregel lautet: Zusätzliche Länge trägt bei einem Passwort stärker zur Sicherheit bei als die Verwendung komplexer Zeichen. Komplexe Passwörter sind hingegen meist schwieriger zu merken und zu verwenden.
Deshalb entscheiden sich immer mehr Nutzer für eine Passphrase, die aus mehreren Wörtern besteht. Zusammen ergibt dies ein sehr langes und sicheres Passwort, das sich dennoch relativ einfach merken lässt. Unser Tools4ever-Passwortgenerator nutzt dieses Prinzip. Er generiert automatisch eine sichere Passphrase aus mehreren Begriffen, beispielsweise:
vinyl ketzer klinik konten
In der Praxis lässt sich selbst ein solcher Satz aus nicht existierenden oder zusammenhanglosen Wörtern meist einfacher merken als ein kürzeres, aber komplexes Passwort.
Passwortmanager mit IAM-Plattformen wie HelloID?
Besteht Bedarf an einem Passwortmanager, wenn Ihre Organisation auch eine IAM-Plattform nutzt? Grundsätzlich ergänzen sich beide Lösungen. Mit einer IAM-Plattform wie HelloID stellen Sie sicher, dass Nutzer mit den richtigen Konten und Berechtigungen ausgestattet werden. Diese Einstellungen werden in verschiedenen Zielsystemen provisioniert. Wie sich Nutzer anschließend an einem solchen Zielsystem anmelden, unterscheidet sich je nach Kunde. Wenn sich Nutzer manuell anmelden, ist ein Passwortmanager nahezu eine notwendige Ergänzung. Nur so können Sie für jede Anwendung ein eindeutiges und sicheres Passwort verwenden.
Die meisten Organisationen ermöglichen die Anmeldung jedoch über die HelloID-Access-Management-Funktionalität von HelloID oder über einen externen Identity Provider wie Active Directory oder Entra ID. In diesem Fall verfügen Sie über Single-Sign-On-Funktionalität und die Rolle eines Passwortmanagers ist weniger wichtig.
Kein Aufwand mit Passwortmanagern durch Single Sign-On?
Viele Organisationen nutzen Single Sign-On (SSO). Damit müssen Sie sich zu Beginn einer Benutzersitzung nur einmal beispielsweise bei Active Directory anmelden. Anschließend sorgt der SSO-Mechanismus dafür, dass Sie automatisch Zugriff auf alle registrierten Anwendungen erhalten. Auf den ersten Blick benötigen Sie dann keinen Passwortmanager mehr. Schließlich verwenden Sie diesen, um Ihre Anmeldedaten zu speichern, während Sie diese bei SSO überhaupt nicht benötigen.
Dies ist jedoch nicht die ganze Geschichte. Nicht alle Unternehmensanwendungen unterstützen Single Sign-On, und Mitarbeitende verwenden ohnehin häufig auch eigene geschäftliche Anwendungen und Websites. Diese Konten können Sie nicht alle über die IAM-Plattform verwalten. Daher benötigen Sie Ihren Passwortmanager weiterhin, um sich die Passwörter zu merken.
IAM und einen Passwortmanager kombinieren?
IAM Single Sign-On und Ihr Passwortmanager können sich daher hervorragend ergänzen. Auf unserer Website erfahren Sie mehr über die SSO-Funktionalität als Bestandteil des HelloID Access Management Moduls. Mit diesem Modul verfügen Sie außerdem über Multi-Faktor-Authentifizierung, mit der Sie Ihre Authentifizierung zusätzlich absichern.