Die richtige Strategie für Kontosicherheit?

[Gaugler]

Servus,

hab mir vorgenommen regelmäßig meine Passwörter zu ändern... heute was mal wieder so weit. Nach dem zehnten Account kommt unweigerlich der Gedanke in mir hoch, dass das alles schon recht Mühselig ist.

Zumal alles irgendwie doch noch einmal - entweder über den E-Mail Account und/oder über das Smartphone abgesichert ist.
Da fragt man sich schon, wie releant das Passwort noch ist, wenn man sowieso noch nach einem Code gefragt wird.

Hinzu kommt: man hat mittlerweile so viele Account (Man denke nur an die neuen Streaming Dienste, Spieleplattformen) über die man die Übersicht behalten soll.

Mit „irgendwelchen“ Hilfsprogrammen, die Passwörter generieren und speichern, tu ich mich noch schwer. Aber vielleicht ist dieser Schritt dann doch bald notwendig - weil Sinnvoll?!

Welche Accounts vertraut ihr diesen Programmen an? Welche Accounts verwaltet ihr noch manuell?
Wie schaut euere Strategie aus?
Was ist von der Möglichkeit zu halten, Passwörter im Browser abzuspeichern?
Mittlerweile gibt es ja auch die Möglichkeit, sich über Google, Microsoft, Apple und Facebook anzumelden. Ach hier bin ich recht skeptisch, wenn es um wichtige Konten geht…
„Wegwerfkonten“ lasse ich allerdings gerne über Drittanbieter verwalten.

 

[Nilson]

Lange und pro Dienst/Webseite einzigartige Passwörter ist wichtiger als komplizierte bzw. sich regelmäßig änderte.
Ich verwalte meine Zugänge/Passwörter über Bitwarden. Da ist aber nur ein Teil und pro Dienst/Webseite einzigartiger Teil des Passworts gespeichert, den ich bei der Eingabe um einen festen Teil erweitere. Somit bin ich auch halbwegs sicher, sollte Bitwarden eine Lücke haben und 2FA nicht greift.

 

[SilenceIsGolden]

Eigentlich ist die regelmäßige anlasslose Passwortänderung schon lange keine Empfehlung mehr. Wichtig ist, dass man lange Passwörter nimmt und für jeden Dienst ein separates. Ohne Passwortmanager ist das m.E. auch nicht mehr sinnvoll zu bewerkstelligen.

 

[KurzGedacht]

hab mir vorgenommen regelmäßig meine Passwörter zu ändern... heute was mal wieder so weit.

Das ändern der Passwörter bringt heutzutage keine Vorteile mehr.
Die Empfehlung stammt aus einer Zeit in der Passwörter im Klartext in den Datenbanken gespeichert wurden und entwendet werden konnten.

Wichtig ist bei jedem Dienst ein anderes Passwort zu nutzen und das nicht in einer vorhersagbaren Form.
Also nicht "MeinStandardPw-facebook" und "MeinStandardPw-Instagram" nutzen.

 

[0x8100]

Hinzu kommt: man hat mittlerweile so viele Account (Man denke nur an die neuen Streaming Dienste, Spieleplattformen) über die man die Übersicht behalten soll.

eine mail & passwort pro service, z.b. amazon@blablub.de, computerbase@blablub.de usw. wenn keine eigene domain vorhanden z.b. gmail mit "+" benutzen, also z.b. john.doe+amazon@gmail.com oder john.doe+computerbase@gmail.com

dazu lange passwörter pro service nach eigener regel: mein.super.geheimes.passwort.bei.amazon oder mein.super.geheimes.passwort.bei.computerbase

einfach zu merken und du merkst welcher services deine mail geleakt hat, wenn auf die mail spam kommt.

 

[nemix]

Das mit dem + bei gmail mache ich auch seit einigen Jahren, mich nervt aber ehrlich gesagt das ganze Passwortgehampel immer mehr ab.
Vor allem wenn man mehrere Geräte im Einsatz hat kommt man um eine Cloudlösung kaum noch herum. Apple macht das ganze auf iOS für mich sehr angenehm, als Firefox User bin ich auf meinem Laptop/PC abgeschnitten und tippe die komplizierten vorgeschlagenen PWs dann per Hand ab.

 

[Gaugler]

Um die Passworterstellung mache ich mir keine großen Gedanken. Da hab ich, denke ich, ein valides System gefunden, das ich schon Jahre in Anwendung hab...

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Dennoch... es ist mühsam.

@Nilson
Bitwarden werd ich mir doch mal anschauen! Zumindest könnte es eine gute Methode sein, die Anzahl an Passwörter, die man sich zu merken hat, zu reduzieren. Die wirklich kritischen Accounts will ich damit denn doch nicht sichern?!

Wobei, was soll eigentlich bei der 2FA schief gehn?
Immerhin hat man sogar die Möglichkeit, dieses Verfahren biometrisch zu sichern.
Oder Überschätze ich das ganze System dann doch etwas?

 

[0x8100]

das video ist nicht falsch, aber unpraktisch. lieber längere passwörter, die man sich merken kann (aber nicht was sich als wörterbuchattacke eignet) als komplizierte passwörter, die man sich nicht merken kann und evtl. daher nicht benutzt. konkret wäre es hier besser gewesen "Das sichere Passwort@$!" zu verwendet anstatt die zeichen zu ersetzen. ansonsten siehe auch https://xkcd.com/936/

 

[carnival55]

ansonsten siehe auch https://xkcd.com/936/

Genau! Das nennt sich Diceware und gilt gemeinhin als gute Methode auf dem Weg zu sicheren Passwörtern:
https://de.wikipedia.org/wiki/Diceware

 

[_RM_]

Auch bei 2FA sollte man ein sicheres Passwort verwenden. Es könnte wer den zweiten Faktor stehlen/abhören und wenn dann das Passwort schwach ist, hat man möglicherweise auch verloren.

 

[hildefeuer]

Also ich speichere alle meine Passwörter im FF-Browser. Ausnahme Homebanking, die Zugangsdaten sind nirgendwo gespeichert, außer im meinem Kopf. Banken wo ich das Password/PIN nicht selbst festlegen und auch online ändern kann, meide ich. Manche Banken geben ja vermeindlich sehr sichere PINs raus, die sich dann niemand merken kann und dann muss man die doch aufschreiben.
Die Passwörter die ich auch auf dem Smartphone haben will speichere ich in Chrome. Die werden dann auch aufs Smartphone synchronisiert.
Habe teilweise Passwörter seit fast 20 Jahren und nie geändert.

 

[henpara]

Was haltet ihr von KeyPass? Man hat die Passwörter verschlüsselt in einer Datei, die man dann auch sicher kann, so dass der Verlust fast ausgeschlossen ist. Öffnen der Datei geht über verschiedene Methoden, z.B. Masterpasswort.

 

[h00bi]

solange deine passwörter nicht im klartext leaken und du nicht überall das gleiche PW nutzt ist ein regelmäßiger pw Change nicht notwendig.
Im Gegenteil, ich sehe im beruflichen Umfeld immer mehr Leute die Ihre Kennwörter an leicht zugänglichen Orten aufschreiben, weil sie sich die Passwörter nicht merken können.
Das macht es auf eine andere Art und Weise wieder mega unsicher.

Ich bin eigentlich ein großer Feind von Passwortmanagern, teste aber seit kurzem Bitwarden/rs auf einem privaten Rasperry Pi (nicht in der Cloud und bei mir auch nicht von außen erreichbar).

Ansonsten hilft es für viele unterschiedliche Passwörter dass man sich Eselsbrücken baut.
Auch kann man die Passwörter nach ähnlichem Schema aufbauen un muss sich nur noch das schema merken. Hier ist dann halt wichtig dass das Schema nicht sofort erkennbar ist.

Beispiel für CB:
$123SbrtpmC!#43
Beispiel für Dr. Oetker:
$123Rktrd!#43

Erklärung:
Vorne immer $123
Dann die domain rückwärts nur die Konsonanten
erster Buchstabe groß
dann !# und deine Schuhgröße anfügen.

Ein Mensch kann da mit 2 Passwörtern theoretisch bereits die Logik herausfinden.
Daher kann man das z.B. auch variieren und das Datum der Registrierung einfügen. Wenn man die Welcome Mail aufhebt ist das auch fix rausgesucht, aber zum 100% auswendig kennen natürlich unbrauchbar.

Zudem kommt es ultraselten vor, dass ein Mensch 2 deiner Passwörter im Klartet hat und sich die Mühe macht diese so zu analysieren.

Finanzdinge wie Konto und Paypal und das Master-Konto (hier gmail, wo alle Passwort-Reset Mails hingehen) kann man dann nochmal eine Stufe komplexer (und anders) absichern.

Irgendein Restrisko bleibt immer.