Passwortquaos bei den Eltern beseitigen

[Falc410]

Bitwarden für Privat sollte auch kostenlos sein (zumindest PC). Würde einen der großen Passwort-Manager empfehlen wenn sie es auch als App auf dem Telefon haben wollen. Keepass ist zwar super, aber muss man halt manuell syncen irgendwie.

Es macht einfach keinen Sinn, für eher unwichtige Dinge dauernd neue komplexe Passwörter anzulegen.

Dem kann ich nur wiedersprechen auch "unwichtige" Accounts können Schaden anrichten und kosten dich nerven. Niemals das selbe Passwort an mehreren Stellen verwenden.
Am iPhone und auch im Firefox wird dir ja automatisch ein Passwort vorgeschlagen - ich kenne bis auf 2-3 Master Passwörter kein einziges meiner Passwörter und mir ist es egal ob die 14 oder 20 Stellen haben.

Alternativ, kein Manager aber komplett kostenlos und immer Verfügbar ist SuperGenPass. Benutze ich seit Jahren ebenfalls. Muss man den Eltern vielleicht einmal zeigen aber dann klappt das auch (als JS Bookmark in der Bookmark-Leiste, klappt in jedem Browser, gibts auch als kostenlose "App" - einfach Webseite bookmarken)

Ergänzung (28. Februar 2022)

ob das bei meinen Eltern und den paar Logindaten sinn macht oder ob man doch einfach im Browser das ganze macht und fertig.

Ja macht Sinn, denn es werden langfristig trotzdem mehr Passwörter und man kann auch einfach mal den Browser wechseln.

 

[M4ttX]

Ja macht Sinn, denn es werden langfristig trotzdem mehr Passwörter und man kann auch einfach mal den Browser wechseln.

Exakt und es ist ein für alle mal erledigt.

 

[Peter A.]

Erster Buchstabe der Anwendung + (festes)Passwort + letzter Buchstabe der Anwendung:
Amazon: AFogel5%Nestn
Paypal; PFogel5%Nestl

Üblicherweise loggt man sich ja auch noch mit (unterschiedlicher) Benutzerkennung an und bei wichtigen Anwendungen noch 2FA

 

[M4ttX]

Ja, so erstellt man unsichere Passwörter, wenn man sich vor der Einfachheit eines Passwortmanagers sträubt.

 

[Peter A.]

Was ist denn daran unsicher?

 

[calippo]

Es macht einfach keinen Sinn, für eher unwichtige Dinge dauernd neue komplexe Passwörter anzulegen.

Dauernd muss man Passwörter nicht wechseln, aber für jeden Dienst ein eigenes Passwort zu nutzen und ein ausreichend langes und eben keins aus einem Wörterbuch, das würde ich ganz klar empfehlen.

Fängt doch schon an bei der Unterscheidung: wichtig, ein bisschen wichtig, weniger wichtig usw.
Man müsste doch regelmäßig überprüfen, wie wichtig ein Account ist und wie viele Daten dort hinterlegt sind.
Ich könnte das unmöglich leisten für all meine Accounts, daher bekommen alle ein sehr langes eigenes Passwort.

Was ist denn daran unsicher?

Wenn jemand so ein Passwort oder gar mehrere in die Hände bekommt, kann man die Struktur leicht erkennen und mal testweise auf die üblichen verdächtigen Dienste loslassen.

 

[Ponderosa]

Oder man erstellt sich eine Ines - Passwortkarte

 

[KitKat::new()]

Die Frage ist trotzdem, ob das bei meinen Eltern und den paar Logindaten sinn macht oder ob man doch einfach im Browser das ganze macht und fertig.

Das meiste sind irgendwelche kleinen Shops. Das wichtigste ist wohl Paypal und eBay.

Warum sollte es keinen Sinn machen?

Überall ein anderes Passwort ist auch nicht sicherer. Für wichtige Dinge ein gutes 10-12stelliges, zu dem deine Eltern eine Assoziation haben reicht völlig aus.
Alles andere kann 8 stellig und einfacher sein.

Mit PW-Manager doch egal. Eintippen muss man nichts, also einfach ein langes generieren lassen und fertig
(Bitwarden funktioniert auf Android bei weitem besser als KeePass)

 

[T-Bone90]

Also ich bin ehrlich. Ich selbst mit Enpass kenne auch nur mein Masterpasswort und keines meiner extrem komplizierten Passwörtern. Solche Passwörter hätte ich alleine nie so erstellt aber durch den Passwortmanager klick ich zweimal und fertig. Ich bin super zufrieden und sicher.

Bei meinen Eltern muss es sowas nicht sein. In all den Jahren ist da erstmal nichts passiert, obwohl die Passwörter zum Teil schon super easy waren.
Trotzdem habe ich alle soweit umgeändert, das sie zumindest ganz gut sind. Trotzdem sind sie nicht extrem lang und kryptisch...

Also ich sehe jetzt folgende Vorschläge:

• Entweder ich setze auf Passwörter im Browser (vermutlich schon sicher mittlerweile). Entweder überall Edge oder überall Chrome.
• Ich setze auf einen Passwortmanager (Bitwarden oder KeePassXC)

Passwortmanager ist sicherlich noch etwas besser, aber vermutlich auch komplexer und man braucht wieder extra App und Einrichtung. Beim Browser aktiviere ich es nur, einmal einloggen und es wird gespeichert.

Ist halt die Frage...

Das Problem ist immer noch, dass es Accounts gibt, die mein Bruder mit nutzt (ein paar wenige).
Und er macht sich sowas nicht drauf, ergo kann ich kein extrem kryptisches komplexes Passwort erstellen.

 

[brianmolko]

Ich bin seit etlichen Jahren mit KeePass zufrieden. Sehr einfach und sollte für seine Eltern genau das Richtige sein.
https://keepass.info/

 

[Ham Burger]

Stimme zu. Obwohl ich seit ewiger Zeit selber Roboform nutze (Kostenpflichtig für Nutzung auf mehreren Geräten mit synchronisierung) habe ich für meine Frau ebenfalls Keepass (gibt da 2 Varianten) installiert. PC Handy alles synchron, wobei ich die Datenbank in meiner Nextcloud in meinem Hostingpaket habe.

 

[T-Bone90]

Ich verstehe noch nicht richtig den Unterschied zwischen KeePass und KeepassXC. Was ist besser, sicherer, anwendungsfreundlicher? Und vor allem was wird nicht nächste Woche eingestellt? ;-)
Also nur, falls ich mich dafür entscheide.

Und wie würdet ihr das mit den geteilten Accounts machen? Mein Bruder will ich dann nicht zu einem Passwortmanager bringen.

 

[PHuV]

Du meinst aber schon KeePassXC oder? Weil das normale KeePass wird ja nicht mehr weiterentwickelt.
Und das geht, dass es dann mit dem Browser synchronisiert?

Korrekt. Und Keepass wird meines Wissens nach schon noch weiterentwickelt, oder woher hast Du diese Info?

 

[T-Bone90]

Korrekt. Und Keepass wird meines Wissens nach schon noch weiterentwickelt, oder woher hast Du diese Info?

Irgendwo hatte ich das gestern Abend gelesen...kann aber sein ich habe mich verlesen.

Aber wie gesagt weiß ich, dass ein sehr bekannter Passwortmanager vor 1-2 Jahren mal großflächig gehackt wurde. Ich weiß aber nicht mehr wer. Aber der wäre dann für mich sowas von raus.
Leider weiß ich den Namen wirklich nicht mehr. Aber das habe ich in Erinnerung, als ich mich damals für einen APsswortmanager belesen hatte. Deshalb frage ich lieber mal mehr nach.

 

[Ponderosa]

Keepass und KeepassXC werden weiterenwickelt. Nur KeepassX wird seit 2016 nicht mehr weiterentwickelt.
Ich nutze aber lieber Bitwarden . Sowohl im Opera Browser am PC, als auch auf meinem Smartphone. Da braucht man nur ein Passwort um sich bei Bitwarden anzumelden.
Im Browser mit einer eigenen Erweiterung.

 

[Ham Burger]

Gerade eben habe ich wieder ein Schauermärchen gelesen. Allerdings ein Beitrag von 2015. Alle Daten von Keepass können mit Hilfe eines Opensource-Tools ausgelesen werden. Voraussetzungen sind allerdings:

ein Zugriff zum System des KeePass-Nutzers bestehen. Darüber hinaus muss Letzterer bei dem Passwort-Manager angemeldet sein.

Na ja, das ist bei allen Anderen Möglichkeiten wohl dann auch nicht zu verhindern:
Angreifer Zugriff zum System und Ich muss an Keepass angemeldet sein.

 

[Falc410]

Bei meinen Eltern muss es sowas nicht sein. In all den Jahren ist da erstmal nichts passiert, obwohl die Passwörter zum Teil schon super easy waren.

Eigentlich muss das Passwort auch nicht sehr komplex sein. Nur halt auf jeder Seite unterschiedlich. Ein Bruteforce Angriff wird von jeder (halbwegs seriösen) Webseite erkannt und unterbunden. Aber das Problem ist, wenn die Passwörter eben entwendet werden. Wenn die im Klartext gespeichert sind, dann hat man sowieso verloren, egal wie komplex es ist. Aber mittlerweile sind ja doch alle Passwörter Hash gespeichert. Wenn man nun etwas einfaches genommen hat, kann man das mit einer simplen Rainbow Tabelle oder einem Dictionary innerhalb von Sekunden berechnen.

Passwort-Pattern sind tendiziell auch eher unsicher, auf der anderen Seite muss der Angreifer das Pattern ja erstmal erkennen. Ich würde es auch niemanden empfehlen, da es ja eben Alternativen wie PW-Manager gibt, aber wie gesagt, die Todsünde ist einfach, das selbe Passwort mehrfach zu verwenden oder ein einfaches Passwort welches eben schnell berechnet werden kann (und beides zusammen ist nach Harakiri).

Und zur Komplexität gibt es so viele Memes, weil viele denken, ein Passwort mit Zahlen und Sonderzeichen ist sicherer als eins mit 30+ Stellen. Und dann kann man aber Passwort123! eingeben und die Policy des Anbieters sagt: super sicherees Passwort.../facepalm Aber gut, das ist schon sehr OT.

Besorg deinen Eltern einen PW-Manager, wurden ja welche genannt, Alternativ SuperGenPass anschauen und die haben keine Sorgen mehr.

Ergänzung (28. Februar 2022)

Gerade eben habe ich wieder ein Schauermärchen gelesen. Alle Daten von Keepass können mit Hilfe eines Opensource-Tools ausgelesen werden. Voraussetzungen sind allerdings:

Das dürfte auf jeden Passwort Manager zutreffen. Wenn die Passwort Datenbank entsichert ist, kann man darauf zugreifen, wie soll man sonst die Passwörter auslesen?

 

[Ham Burger]

Und für die, die meinen, es gibt auch "unwichtige" Anmeldedaten: Ab und zu hier mal nachsehen.
Eine Beispielseite zum Test

 

[T-Bone90]

Keepass und KeepassXC werden weiterenwickelt. Nur KeepassX wird seit 2016 nicht mehr weiterentwickelt.
Ich nutze aber lieber Bitwarden . Sowohl im Opera Browser am PC, als auch auf meinem Smartphone. Da braucht man nur ein Passwort um sich bei Bitwarden anzumelden.
Im Browser mit einer eigenen Erweiterung.
Anhang anzeigen 1192375

Ich finde es bei meinem Enpass auch super, dass es eine Erweiterung für jedem Browser gibt.
Und was ist der Unterschied zwischen KeePass und KeePass XC? So richtig werde ich da nicht schlau.

Besorg deinen Eltern einen PW-Manager, wurden ja welche genannt, Alternativ SuperGenPass anschauen und die haben keine Sorgen mehr.

Ergänzung (28. Februar 2022)

Das dürfte auf jeden Passwort Manager zutreffen. Wenn die Passwort Datenbank entsichert ist, kann man darauf zugreifen, wie soll man sonst die Passwörter auslesen?

Nach wie vor ist eben die Frage, ob die Passwörter unbedingt irgendwie auf Rechner und Co gespeichert werden müssen oder ob wir weiterhin den Zettel offline daheim lassen...
Klar wäre eine Verbesserung gut.

Und für die, die meinen, es gibt auch "unwichtige" Anmeldedaten: Ab und zu hier mal nachsehen.
Eine Beispielseite zum Test

Das ist zumindest bei Enpass bei mir direkt integrieret. Finde ich spitze. Keine Ahnung, wie das bei KeePass usw. ist.
Aber erkennen nicht mittlerweile auch die Browser, wenn ein Passwort unsicher bzw. öffentlich ist?

 

[BeBur]

Was würdet ihr machen? Es sollte trotzdem relativ einfach sein. Ich brauche keine 50 Zeichen langen Passwörter, aber zumindest sollten Zahlen, Sonderzeichen und Groß-/Kleinschreibung drin sein.

Die Aktion klingt ein wenig nach Aktionismus ohne klare Zielsetzung und an dem "Kunden" bzw. seinen Bedürfnissen vorbei gearbeitet.
Wichtig ist: Einmalige Passwörter verwenden. Nicht zu schwache Passwörter. Aber hier ist das schon relativ, es wird ja keiner versuchen, sich 100.000.000 mal bei deinem Dad einzuloggen auf ebay.
2FA ist sehr löblich und hilft gegen so ziemliche jeden Angriffsvektor, bei dem das Opfer nicht aktiv mithilft. Aufklärung über Phishing Angriffe (z.B. per Telefon) haben eine höhere Aussicht den Ernstfall abzuwehren als die Frage, ob Passwörter im Browser gespeichert werden dürfen.
Wieso überhaupt immer wieder einloggen, wieso nicht die Cookies behalten... bei einem privat genutzten PC?

Also anfangen sollte man am besten so:
Dagegen will ich mich schützen: 1. 2. 3.
Das kann ich dagegen machen: 1. 2. 3.

Was viele komplett übersehen: Sicherheit heißt meistens Sicherheit gegen Verlust. Ein verlorener, weggeworfener Zettel o.ä. ist deutlich häufiger als irgendeine Katastrophe verursacht durch die Überwindung technischer Hürden (z.B. passwort cracking). Das eine Person am Telefon kooperiert und ganz freiwillig Vollzugriff auf den PC überträgt ist deutlich häufiger als das irgendeine hypothetische Sicherheitslücke Cookies zum Problem machen.