Passwort-Sicherheit... EIN gutes Passwort für alle Accounts ausreichend?

[Mr.Seymour Buds]

Hi,
ich habe die Diskussion mal so überflogen, da ich selbst auch der Meinung bin relativ unsichere Passwörter zu benutzen. Deswegen überlege ich auch schon länger mir einen PW-Manager anzulegen, der mir die Liste auch ausdrucken kann.
Aber mal an alle die einen solchen Manager schon benutzen. Wie macht ihr das wenn ihr unterwegs seid und nicht auf die Liste zugreifen könnt?

Dafür habe ich etwas sehr altmodisches. Es nennt sich "Gedächtnis".

 

[Knecht_Ruprecht]

Du bindest dich auch an ein Tool. Heißt halt Microsoft Excel statt etwa KeePass. Ich sehe da keinen Unterschied. Bis auf die Tatsache, dass ein ordentlciher Passwortsafe die Daten auch ordentlich verschlüsselt. Wo ich mir bei Excel nicht so sicher wäre.

[Edit]
Wenn ich unterwegs bin, dann nutze ich schlicht keine kritischen Dienste.

 

[Bullet22022]

Dafür habe ich etwas sehr altmodisches. Es nennt sich "Gedächtnis".

Also wenn du dir 10 Passwörter in Form von: ASsdfSDr456#" merken kannst, find ich das sehr bewundernswert aber ich kann es leider nicht!

 

[Tyrosh22]

Falls du KeePass verwenden möchtest, gibt es dafür auch Apps, um Datenbanken von unterwegs aus zu öffnen.

 

[highks]

Eine Fehlerquelle mehr und die Angst, daas das kaputt oder verloren geht. Muss immer rausgekramt werden vor dem Eintippen. Vielleicht nicht immer zur Hand (wird ja alles mobiler.

Bei Excel wäre ich mir aber nicht so sicher, ob das das Dokument auch vernünftig verschlüsselt wird, und ob Bearbeitungs-Reste von der Platte und vom RAM gelöscht werden.

Keepass ist dagegen ein Open-Source Security Tool vom Kaliber wie Truecrpyt. Die Programmierer haben alles eingebaut, was irgendwie relevant sein könnte. Angefangen bei wirklich sicherer Verschlüsselung mit AES, aber auch solche Features dass das Programm nach x Minuten Inaktivität automatisch die Datenbank wieder sperrt, oder den Zwischenspeicher nach dem Kopieren des Passworts nach x Sekunden wieder löscht, usw.
Außerdem gibt es ganz praktische Shortcuts, um das Kopieren und Einfügen von Username und Passwort einfacher und schneller zu machen (nur ein Shortcut muss gedrückt werden für Copy und Paste ins richtige Feld...)

Ich nutze Keepass auf Windows, OSX und Android und habe die Datenbank auf Google Drive liegen. Das ist ja kein Problem, bei sicherer AES Verschlüsselung mit 30-stelliger Passphrase. Sollte Keepass irgendwann eingestellt werden (man weiß ja nie) dann funktioniert ja aber die aktuelle Version erst mal unbeschränkt weiter und ich kann ganz locker auf was anderes umsteigen. Ich sehe da nicht das Problem.

Die wenigsten würden das sicher ablegen und regelmäßig sichern.

Das selbe gilt aber für deine Excel Tabelle! Das ist genau so eine Datei, wie meine keepass Datenbank. Und wer keine Backups macht, dem ist nicht zu helfen.

 

[M@rsupil@mi]

@highks: Schön gesagt.

Dafür habe ich etwas sehr altmodisches. Es nennt sich "Gedächtnis".

Solche Leute kenne ich nur zu gut. Wenn dann was gebraucht wird, was man nicht 3 x am Tag verwendet, dann es eine elendig lange Qual aus Variationen von „habe es gleich“ und endet i.d.R. mit „weiß ich nicht mehr“.

Von den ganzen zusätzlichen Sachen, wie geheime Fragen / Antworten, Rücksetzcodes, Sicherheitsschlüssel und CO noch gar nicht gesprochen. Klar, merkt man sich alles…

Aber mal an alle die einen solchen Manager schon benutzen. Wie macht ihr das wenn ihr unterwegs seid und nicht auf die Liste zugreifen könnt?

Es gibt viele davon auch als App für Mobilgeräte.

Habe ich allerdings bislang nie benötigt.

 

[crvn075]

Nicht ganz. Nur weil man etwa einen Verschlüsselungstrojaner auf dem System hat, sind deswegen nicht die PW im PW-Manager in Gefahr.

Das System wurde kompromittiert und ist damit aus sicherheitstechnischer Sicht ein Totalschaden.
Oder weißt du ganz sicher, was der Verschlüsselungstrojaner alles macht und nicht macht? Und wenn der Verschlüsselungstrojaner auf dein System kam, gilt das in gleichem Zuge vielleicht auch für andere Dinge? Hat er für andere Dinge vielleicht erst Tür und Tor geöffnet?

Wenn du seit der Infektion den Schlüssel nicht eingegeben/eingestöpselt hast, dann sind die Passwörter sicherlich noch gut geschützt. Wenn das hingegen der Fall ist, dann ist es quasi unmöglich, irgendeine Aussage zur Unversehrtheit der Passwörter zu machen.

 

[max_1234]

Sobald Schadware auf dem Rechner ist ist es ZU SPÄT.
Passwörter können kinderleicht aus Browsern und Passwort-Safes ausgelesen werden.

Und wenn das nicht reicht, dann loggt man einfach Tastatureingaben mit. Der springende Punkt ist: Da gibt es keine Hürden mehr. Jeder 0815 IT Student könnte sich in 20min entsprechendes zusammen pasten.

Und nochmal ganz wichtig: Im Browser gesicherte Passwörter sind FREIWILD für Schadware. D.h. diese können direkt im Cleartext ausgelesen werden. Erübrigt sich hier ja anscheinend, wenn die Meisten dasselbe Passwort für mehrere Dienste verwenden.

mfg,
Max

 

[Mr.Seymour Buds]

Also wenn du dir 10 Passwörter in Form von: ASsdfSDr456#" merken kannst, find ich das sehr bewundernswert aber ich kann es leider nicht!

Solche Leute kenne ich nur zu gut. Wenn dann was gebraucht wird, was man nicht 3 x am Tag verwendet, dann es eine elendig lange Qual aus Variationen von „habe es gleich“ und endet i.d.R. mit „weiß ich nicht mehr“.

Um genau die Passwört ging es ja. Die man eben regelmäßig und eventuell unterwegs braucht. Denke die sollte man sich merken können. Meine Großeltern konnten noch im Alter große Teile vom Faust aufsagen. Man muss nur wollen.

 

[M@rsupil@mi]

dann ist es quasi unmöglich, irgendeine Aussage zur Unversehrtheit der Passwörter zu machen.

Also auch nicht, dass sie zwangsweise abgegriffen wurde nur weil Schadsoftware vorhanden ist und genau darum ging es.

 

[crvn075]

Also auch nicht, dass sie zwangsweise abgegriffen wurde nur weil Schadsoftware vorhanden ist und genau darum ging es.

Was eine völlig wertlose Erkenntnis ist. Oder was versprichst du dir davon?

Das ist in etwa so, als würdest du deinen Haustürschlüssel unauffindbar an Ort XY verlieren und sagen, ach, hier kommt vermutlich nur selten jemand hin, das Schloss lasse ich nicht austauschen. Ob da nicht doch jemand den Schlüssel findet, wirst du wohl kaum empirisch untersuchen, genauso wenig, wie du den Schädling in eine Sandbox stecken und anfangen würdest, ihn zu debuggen.

 

[M@rsupil@mi]

Einer prinzipiellen Gefahr habe ich nie widersprochen und auch habe ich nie gesagt, dass man danach keine Kennwörter wechseln sollte. Wertlos sind höchstens hinkende Vergleiche.

 

[crvn075]

Einer prinzipiellen Gefahr habe ich nie widersprochen und auch habe ich nie gesagt, dass man danach keine Kennwörter wechseln sollte.

Ich zitiere mal:

Nur weil man etwa einen Verschlüsselungstrojaner auf dem System hat, sind deswegen nicht die PW im PW-Manager in Gefahr.

Klar sind sie in Gefahr, aus den oben genannten Gründen.
Was du meinst ist vermutlich, dass sie deswegen nicht automatisch und in jedem Falle in fremde Hände gelangen. Wenn wir jetzt aber eine Seite zurück gehen, dann war die Aussage, dass Passwörter in einem kompromittierten System generell nicht sicher sind und ich sehe nicht, warum dies nicht so sein sollte.

 

[stepbackThree]

danke für die vielen antworten. das problem des internets ist aber, dass sich die in diesem fall vorsichtigen, "ahnungsvollen" alle zu wort melden und der 08/15 user nicht. ich kann mir kaum vorstellen, dass mehr als 5% meines bekanntenkreises mehr als ein passwort für alles hat und bei denen ist sicherlich kein sonderzeichen drin.

natürlich klingt das alles schön was ihr da sagt, aber kombiniert man alle aussagen, kann man gar nicht mehr sicher sein im netz, selbst bei lächerlichem aufwand...

 

[Yuuri]

Das System wurde kompromittiert und ist damit aus sicherheitstechnischer Sicht ein Totalschaden.

Beim System: Ja. Für den PW-Safe: Nein. Ein Keylogger ist dabei ein ganz anderes Kaliber. Aber prinzipiell ist das System über den Jordan gegangen, ja.

Und nochmal ganz wichtig: Im Browser gesicherte Passwörter sind FREIWILD für Schadware. D.h. diese können direkt im Cleartext ausgelesen werden.

Das zeig mir mal bei einer Verschlüsselung mittels Master-Passwort (zumindest beim Firefox). Ohne Master-Passwort stimmt es natürlich.

danke für die vielen antworten. das problem des internets ist aber, dass sich die in diesem fall vorsichtigen, "ahnungsvollen" alle zu wort melden und der 08/15 user nicht.

Und warum stellst die die Frage dann im Internet?

natürlich klingt das alles schön was ihr da sagt, aber kombiniert man alle aussagen, kann man gar nicht mehr sicher sein im netz, selbst bei lächerlichem aufwand...

Ist man auch nicht. Sicherheit ist kein Zustand, sondern ein Prozess. Was heute gilt, kann morgen obsolet sein. Auch im Falle von AES und 1 Mio Hashrunden kann morgen gut und gern alles zusammenfallen.

Das Sicherste momentan ist die 2FA (natürlich mit unabhängigen, nicht kompromittierten Geräten, optimalerweise besitzt das Zweitgerät keinerlei Verbindung zur Außenwelt), aber sowas bietet nun mal nicht jeder an, weil es teilweise keinen Sinn ergibt. Bspw. wäre eine 2FA hier auf CB vielleicht ganz nett, aber objektiv betrachtet vollkommener Overkill.

https://www.youtube.com/watch?v=pXkTMhp7QFI

 

[crvn075]

Beim System: Ja. Für den PW-Safe: Nein. Ein Keylogger ist dabei ein ganz anderes Kaliber. Aber prinzipiell ist das System über den Jordan gegangen, ja.

Ja, darum ging's ja die ganze Zeit. Da für dich relativ untransparent ist, was der Schädling tatsächlich auf deinem System macht, ob seine bloße Anwesenheit andere Türen geöffnet hat, ist auch der PW safe in Gefahr. Oder hast du eine Garantie dafür, dass der nicht auch als Keylogger fungiert? Das im gleichen Zuge nichts anderes auf das System kam, was als Keylogger fungiert? In der Computersicherheit gibt es nur 2 Zustände, kompromittiert und nicht kompromittiert, dazwischen ist nichts. Der PW-Safe mag nicht zwingend gefährdet sein, aber ein "Nein, ist nicht gefährdet" ist halt nicht zutreffend. Ausnahme: jeglicher Schädling kann aus zeitlichen Gründen den Schlüssel für den Save gar nicht kennen, z.B., weil du ihn seit der Infektion gar nicht mehr eingegeben hast.

Sicherheit ist kein Zustand, sondern ein Prozess.

Schönes Zitat.

 

[purzelbär]

danke für die vielen antworten. das problem des internets ist aber, dass sich die in diesem fall vorsichtigen, "ahnungsvollen" alle zu wort melden und der 08/15 user nicht. ich kann mir kaum vorstellen, dass mehr als 5% meines bekanntenkreises mehr als ein passwort für alles hat und bei denen ist sicherlich kein sonderzeichen drin.

Die 08/15 User und deine Bekannten interessieren sich aber mit Sicherheit nicht so für die Sicherheit rum um den Computerdie hier antwortenden User aber schon und sie geben ihr Wissen und Erfahrungen in Foren wie hier weiter. Um auf dein Eingangsposting einzugehen: ich finde es nicht gut das du ein, wenn auch ein komplexes Passwort für alles benutzt. Bist du zu faul(sorry)bzw bequem dazu für jeden Account, Onlineshop, Paypal, ebay usw. ein jeweils anderes Passwort zu erstellen? Ich hab für jeden Account, Onlineshop, Foren, E-Mails usw jeweils eigene Passwörter die vielleicht nicht so komplex sind, aber auf meinem PC wird kein Passwort zum Beispiel gespeichert wenn ich mich irgendwo einlogge, muss beim nächsten einloggen das Passwort wieder eingeben, die Passwörter sind alle in einer Textdokument Liste und von dieser Liste hab ich mehrere Kopien auf USB Sticks und der USB Festplatte die nur der Datensicherung dient und dementsprechend nur dann eingeschaltet wird, aber keine der Liste findet man auf meinem PC und die Liste ist auch ausgedruckt und auf den Ausdruck der Liste haben nur meine Frau und ich Zugriff.

 

[Der-Orden-Xar]

Hi,
warum denn nicht? Ist ja nicht so, dass das ein Mehraufwand wäre oder man sich das merken müsste.

1. Geh auf random.org (o.Ä.) und lasse dir ein 24 stelliges Passwort generieren
2. Ergänze selbst an beliebigen sechs Stellen Sonderzeichen, Umlaute oder was auch immer
3. Speichere das Passwort in einem verschlüsselten Keymanager wie KeyPass ab

Und warum nicht
1. Öffne keepass
2. Öffne den Passwortgenerator und wähle die passende Methode aus
3. Speichere das neue PW ab.
?

Ohne die restlichen Kommentare zu lesen: NEIN
[...]
Wie bestimmt mal gepostet kannst du natürlich ein langes/sicheres Password mit individuellen extras ändern, z.B. ComputerBasejlfjklfd/()/()()fjhdspojhpods oder PayPaljlfjklfd/()/()()fjhdspojhpods oder Facebookjlfjklfd/()/()()fjhdspojhpods ... Jedes mal ein neues Password und Kinderleicht zu merken.

ja uwrde gepostet, ebenso wie:
Spätestens nach der 2. schwachen krypto, die jemand in die Finger bekommt ist das System erkannt und kann überall verwendet werden, damit ist das System nicht mehr Sicher.

So intelligent halte ich das auch So weiß man das Passwort immer und es ist trotzdem immer anders ^^

Hier gilt das selbe.

Also wenn du dir 10 Passwörter in Form von: ASsdfSDr456#" merken kannst, find ich das sehr bewundernswert aber ich kann es leider nicht!

Also die Längsten, die ich mir im Kopf gemerkt habe waren 25 Zeichen lang
Geht alles, ist nur umständlich und spätestens, wenn man mehrere davon hat und mal zum Kugelschreiber greift zum aufschreiben erkennt man, dass da doch nicht-zufällig aussehende Zeichenfolgen entstehen können :/

 

[Casa Deliziosa]

*im PW-Manager nachschau*
Habe es bei mir im Anfang 2014 eingerichtet. Da war es noch Code per SMS / Mail. Inzwischen gibt es auch eine App.

Vielen Dank fürs Nachschauen, habe ich jetzt auch (nach)gelesen.


Was auch nur so lange funktioniert, wie keiner den Zettel in die Hand bekommt. Das mag dann vielleicht nicht der Angreifer aus China sein, aber vom Einbrecher über Kinder / Geschwister bis hin zu Gästen und Ehepartnern können da auch reichlich Leute im schlimmsten Fall drauf "zugreifen".

Ja, stimmt auch wieder. Eventuell einen Safe, oder verstecken.

Gruß Casa

 

[florian.]

ich kann mir kaum vorstellen, dass mehr als 5% meines bekanntenkreises mehr als ein passwort für alles hat und bei denen ist sicherlich kein sonderzeichen drin.

Das meist benutzte Passwort ist 123456
aber was willst du eigentlich von uns?
wolltest du eine Bestätigung, dass dein Vorhaben gut ist?
die wirst du hier nicht bekommen.

machs dir ruhig einfach, aber beschwer dich bitte nicht, wenn deine Accounts gekapert werden.