Passwortmanager - Was empfehlt ihr?

[BeBur]

Man kann zwar Sonderzeichen einsetzen, aber meine persönliche Erfahrung ist, dass das dann ab und zu nervig ist. Bei irgendwelchen unwichtigeren Diensten wo ich vermute, dass ab und an mal händisch eingeben zu müssen (z.B. Netflix) verwende ich nur Kleinbuchstaben.

 

[crashbandicot]

Ein Nachteil hat das ganze aber: Die Kennwörter werden nicht bei https://haveibeenpwned.com/Passwords überprüft ob sie sicher sind.

Geht sogar als Offline-Check, d.h. deine Passwörter bzw. Hashes verlassen niemals deinen Rechner.

https://github.com/mihaifm/HIBPOfflineCheck

 

[ArcherV]

@crashbandicot danke!

 

[Oli_P]

ich benutze eine Text Datei

Der Sinn hinter einem PasswordManager bei dem ich wohl möglich auch noch online ein Konto habe damit es funktioniert, ergibt sich mir leider nicht.
Eine TextDatei is mit jedem System kompatibel und offline nutzbar.

Der Sinn eines Passwort-Managers mit Online-Konto erschließt sich mir auch nicht, deswegen nutz ich ja Keepass? Okay, natürlich gibts einen Sinn... man hat überall seine Passwörter parat auf jedem Gerät. Aber man gibt dann auch Kontrolle ab, indem man die Passwörter jemanden anvertraut. Warum man das grade bei Passwörtern tun sollte, das erschließt sich mir nicht. Man kann natürlich auch die Keepass-Datenbank in die Cloud speichern und abrufen; muss man aber nicht. Man hat die Wahl. Eine txt-Datei wär mir viel zu unkomfortabel. Einloggen per Tasten-Kombination (ob nun Webseite oder irgendeine Anwendung)... das find ich komfortabel

 

[hansstramm]

Ich konnte meine Steam Passwörter nun ändern.
Warum das am Anfang nicht funktioniert hat, verstehe ich auch nicht.

Verwendet habe ich dazu den Passwortgenerator von Firefox.
Manchmal nahm Steam das Passwort an, manchmal musste ich das Passwort verkleinern oder aneinandergereihte Großbuchstaben löschen, damit Steam das Passwort verwenden konnte.

Ich verwende also nach wie vor Firefox, um meine Passwörter zu speichern.
Allerdings habe ich bei den wichtigsten Accounts das Passwort gegen ein sicheres von Firefox getauscht.

Sieht so aus:

Des Weiteren habe ich Firefox durch ein Hauptpasswort geschützt.
Das ist für mich ein guter Kompromiss aus Sicherheit und Komfort.

Wenn die Server von Firefox gehackt werden habe ich eben ein Problem.
Dieses Risiko hat man jedoch auch, wenn man einen anderen Online Dienst nutzt, um seine Passwörter zu speichern.

In Zukunft habe ich vor mir einen eigenen Server zu bauen, dann werden meine Passwörter auf meinem eigenen Server gespeichert.

 

[Bnugi]

Hallo,

kann jemand einen PW Manager empfehlen, der eine Sicherung aus Kuffs Password Safe Pro (Android) importieren kann bzw. welcher aus den hier bisher genannten kann das? Kuff supported nicht mehr, ich möchte wechseln, gleich auf Windows und Android und ich habe massig Einträge. Lockrz nimmt die PW Safe Datei, ist aber lästig mühsam bei der Eingabe.

Für Keepass gibt es ein plugin, aber das funzt wohl nur für alte Versionen 1.05 bis 1.09, die 1.39 und 2.xy nimmt das Plugin nicht. Und csv Export habe ich im Password Safe nicht gefunden.

 

[Oli_P]

Moin! Ich kenne nicht diesen Kuffs Password Safe und auch nicht erwähntes Plugin für Keepass, welches offensichtlich nur unter Keepass 1x läuft. Aber vielleicht nimmst du nur zu diesem Zweck mal eine alte Keepass 1-Version, damit du dieses Plugin nutzen kannst? Kannst ja auch die portable Version nehmen vom alten Keepass, dann musst du nix installieren.

 

[finley]

Ich bin jetzt von Kaspersky auf Bitwarden umgestiegen. Wollte ja schon lange von dem russischen Anbieter weg wegen Sicherheitsbedenken. Bitwarden ist sogar viel günstiger als gedacht. Die Version "Basic FREE" ist praktisch komplett kostenlos ohne nennenwerte Einschränkungen. Premium kostet auch nur 1€ im Monat falls man das will. Bin aufs erste ziemlich begeistert! Auch die Importfunktion lässt keine Wünsche offen.

 

[Racle]

Hallo zusammen,

ich hab seit ein paar Tagen nun auch einen Passwortmanager installiert. Soweit ich das bislang beurteilen kann, eine riesen Erleichterung, das ich Esel erst jetzt damit anfange ärgert mich ein wenig. Aber egal. Ich nutze im Übrigen Nordpass. Lt. Dr. Google soll dieser ziemlich sicher sein. Habt Ihr ähnliches zu berichten?

Nun zu meiner eigentlichen Frage und seht mir nach, dass diese vlt. dämlich klingen mag, aber ich bin mir halt nicht gänzlich sicher ;-)

Wenn ich einen Passwortmanager nutze, dann kann und sollte ich doch wahrscheinlich alle gespeicherten Passwörter aus Google und sonstigen Browsern löschen, richtig?

Importiert hab ich bereits alles. Bevor ich was lösche was ich hinterher bereue, frag ich dann mal lieber :-))

Vielen Dank für Euer Feedback.

 

[Kronos60]

Wenn ich einen Passwortmanager nutze, dann kann und sollte ich doch wahrscheinlich alle gespeicherten Passwörter aus Google und sonstigen Browsern löschen, richtig?

Kannst du machen. Die Datenbank würde ich mir auf einer externen Festplatte oder einem Stick sichern.

 

[Noninterlaced]

löschen, richtig

Ja, richtig, dennoch besser den PW Manager auch mal backuppen, bzw. die Passwortdatei sichern.

 

[Oli_P]

Seh eben diesen Heise-Artikel wegen Bitwarden und Autofill-Plugin. Aber es scheint ein "Sturm im Wasserglas" zu sein. Genau wie bei Keepass vor ein paar Wochen (wegen der unverschlüsselten Config-Datei). Aber so richtig ernste Sicherheitslücken werden bei den beiden wohl nicht so einfach gefunden. Davon abgesehen, dass ich auch kein Autofil nutzen würde. Habs mal probiert, aber da muss wieder ein Plugin installiert werden + Erweiterung im Browser. Viel zu umständlich und vielleicht auch nicht unbedenklich wegen Angriffspunkten. Bitwarden werd ich auch irgendwann mal ausprobieren, einfach nur um es mal gesehen zu haben. Hab meine Keepass-Installation lieb gewonnen, da steckt einiges an Arbeit hinter ums so hinzubekommen und Autotype will ich nie mehr missen

 

[UDPEnjoyer]

Wenn's lokal sein kann KeePass

 

[Simple Man]

Aber was ist der große Unterschied zwischen "Ich habe 1 Passwort für alles" und "Ich habe 1 Passwort für den Tresor, indem sich alle meine hochsicheren Passwörter für alles befinden"?

Sobald einmal das Passwort zu Lastpass oder sonst einer Vault bekannt ist, kann der Angreifer doch all meine abgespeicherten Webseiten mit den dazugehörigen Passwörtern einsehen? Ist sogar noch schlimmer weil aufgelistet: webseite, username, pw

 

[Nilson]

Du reduzierst den Schwachpunkt von vielen Stellen auf eine Stelle.
Wenn du überall das gleiche Passwort hast, muss nur eine Seite komprimiert werden damit die Zugangsdaten für alle anderen Seiten offen liegen.
Wenn mit einem Passwortmanager alle Passwörter einzigartig sind, ist es "egal" weil die anderen Seiten noch sicher sind.
Klar sind Passwortmanager deshalb im Fokus von Angreifern und auch nicht immer sicher. Einer offline Lösung wie Keepass oder einer OpenSource Lösung wie Bitwarden traue ich aber eher zu meine Passwörter sicher zu speichern als Oma Hildas Blog.
Dazu noch 2FA/MFA aktivieren, sodass man trotz Passwort nicht überall rein kommt (zumindest zu E-Mail Konten und Dienste wo auch Bezahldaten hinterlegt sind)

 

[Simple Man]

Wenn du überall das gleiche Passwort hast, muss nur eine Seite komprimiert werden damit die Zugangsdaten für alle anderen Seiten offen liegen.
Wenn mit einem Passwortmanager alle Passwörter einzigartig sind, ist es "egal" weil die anderen Seiten noch sicher sind.

Das verstehe ich nicht.
Wenn du als Angreifer das eine Masterpasswort für den Passwortmanager hast, dann kannst dich einloggen und hast somit Zugriff auf alle dort abgespeicherten Seiten.
Im Passwortmanager hat der Angreifer sogar die Auflistung aller Seiten, auf welchen du angemeldet bist.

Knackt jemand mein pw hier auf computerbase, dann haben sie loginname und pw, aber keinen Plan ob ich nun auf Pornhub oder Facebook angemeldet bin.

 

[Nilson]

aber keinen Plan ob ich nun auf Pornhub oder Facebook angemeldet bin.

Das auszuprobieren kostet keine Sekunde. Das machen die ja nicht mit Hand sonder per Script. Das ist kein Hindernis.

 

[Dr. McCoy]

Aber was ist der große Unterschied zwischen "Ich habe 1 Passwort für alles" und "Ich habe 1 Passwort für den Tresor

Erstens ist ein Passwort für alles sicherheitstechnisch gesehen ein absolutes No-Go.

Zweitens: Ein Passwort-Manager erleichtert es Dir nun, viele verschiedene und gleichzeitig komplexe Passwörter für unterschiedliche Accounts zu generieren und zu sichern. Natürlich ist es dabei am sichersten, dies offline umzusetzen und nicht in einer Cloud zu speichern.

 

[Simple Man]

Ein Passwort-Manager erleichtert es Dir nun, viele verschiedene und gleichzeitig komplexe Passwörter für unterschiedliche Accounts zu generieren und zu sichern.

Ja das verstehe ich schon, ABER sobald der Angreifer an mein Masterpasswort für den Passwort-Manager/Tresor gelangt, sieht er ja alle da abgespeicherten Webseiten. Mit 1 pw ist der Zugriff auf n-Seiten ermöglicht. Auf z.B. Lasspass, wenn man sich einloggt, kann man ja mit einem Click die abgespeicherte Seite aufrufen und automatisiert mit dem hochkomplexen pw einloggen.

Ich habe zwar 100 hochwirksame, computergenerierte Passwörter für alle möglichen Webseiten, aber wenn mein Masterpasswort für den Passwort-Manager "Hansi101" lautet und dieses "gehackt" wird, dann hat ja der Angreifer dennoch Zugriff auf die 100 geschützten Webseiten.

 

[Nilson]

dann hat ja der Angreifer dennoch Zugriff auf die 100 geschützten Webseiten.

ja hat er. Deswegen wo möglich 2FA/MFA aktivieren. Das aber dir dein Masterpasswort entwendet wird ist bei einem ordentlichen Passwortmanager ungleich geringer als bei einer x-belieben Webseite. Darum geht es. Risikominimierung.