Passwortmanager - Pro&Contra

[Benrath]

Welchen Passwort Manager sollte man denn nehmen?
Ich würde eher den Trade off sehen, dass wenn mich jemand hackt, er dann auf einen Schlag alle meine Accounts kennt, wo ich die Passwörter nutze? Oder?

 

[Shihatsu]

Wenn dich jemand hackt? Von welchem Szenario redest du hier? Warum sollte ausgerechnet dich jemand hacken? Beispiele pls. Und das soll kein nitpicking oder flamen werden - sondern die Fragestellung eingrenzen.
Ein guter passwortmanager ist lokal, open source, hat mindestens ein audit der implementierung der crypto durch jemand vernünftiges hinter sich und benutzt vor allem keine eigene crypto, sondern setzt auf bekannte sichere verfahren. Passwortmanager sind natürlich nur so sicher wie die brain.exe des Anwenders es erlaubt.
Ich persönlich nutze keepass.
Btw empfehle ich dafür nen thread im tech, das wir sehr schnell sehr weit von cloudbleed wegführen.

 

[Benrath]

Gerne, to be honest ich hab keine Ahnung welche Beispielsfälle "mich hacken"einschließt. Nen flasches Attachment öffnen?
Generell erhöht sich mein Verständnis durch Bündelung das Risiko, dass alles gleichzeitig korrumpiert wird. Kann man das raustrennen? oder soll ich neuen Thread aufmachen?

 

[Zweifeuerkraut]

Jep, du legst alle deine Eier in einen Korb und du erhöhst damit den möglich enstehenden Schaden. Die Chance aber, dass das eintrifft... Ultra gering. Da müsste sich ja tatsächlich einer mit dem Vorsatz, Mr. Benrath zu hacken, hinsetzen und dich hacken, sprich dein keepass File extrahieren und dein Passphrase ausfindig machen.
Als Staatsfeind wäre das tatsächlich ein Risiko, gezielt gehackt zu werden. Als Ottonormalbürger hingegen sehen die Bedrohungsszenarios anders aus, sprich Opfer von irgend einem breit gefächerten Angriff zu werden, also eine Sorte Malware, die dir entweder Pornpopus schaltet oder, neuerdings, deine Daten verschlüsselt und dich zu einer Zahlung zwingen will.

Problematisch wäre allerdings eine Malware, die deine Kiste nach .kdb Files durchsucht, dies auf einen entfernten Server lädt und dein PW via Keylogger mitschneidet

Naja ich bleib dabei. Lieber habe ich bei allen Online Accounts ein unterschiedliches 16-stelliges Zufallspasswort, gesammelt in keepass als überall das selbe (schwache?) Passwort zu haben und dann drei Jahre später zu erfahren, dass einer meiner Accounts mal gehackt und komprimitiert wurde, weil die ihre Passwort DB nicht anständig geschützt haben.

 

[deleted_24196]

# an KeePass. Nutze das Tool jetzt schon >5 Jahre und mein PW-Bestand ist auf >300 angewachsen.

 

[Tür]

Was passiert wenn die Platte mit der Datenbank abraucht?

 

[deleted_24196]

Was passiert wenn die Platte mit der Datenbank abraucht?

Backup nutzen?

 

[Tür]

Muss man halt dran denken das regelmäßig zu backupen, weil wenn man sich die ganzen Passwörter nirgendwo sonst merkt sind halt alle auf einmal weg.

 

[Sodom&Gomorrha]

Habe die Meldung erst jetzt mitbekommen. Dabei habe ich zumindest den Heise Security RSS-Feed in den Bookmarks und das nicht bemerkt

Mache es genau wie 2FK und morphium. Keepass, ausschließlich lokal mit schön starken random PWs und einer dicken Masterphrase - und gut. Wobei man natürlich auch andere Passwortsafes nehmen kann, aber ist halt recht bequem, gerade im Zusammenspiel mit Browser-Erweiterungen, sich automatisch anzumelden, ohne das PW eintippen zu müssen.

 

[deleted_24196]

Muss man halt dran denken das regelmäßig zu backupen, weil wenn man sich die ganzen Passwörter nirgendwo sonst merkt sind halt alle auf einmal weg.

Kein KeePass synct bei jedem Save mit einer Kopie auf meinem NAS. Von dort wird es erneut verschlüsselt zu GDrive hochgeladen und alle zwei Wochen sichere ich alle wichtigen Daten noch auf eine externe mit TrueCrypt verschlüsselte USB-Festplatte.

 

[Schico]

was, wenn ich mich an nem fremden rechner einloggen will, was durchaus ab und zu vorkommt? dann muss ich mein passwort zurücksetzen, weil ich mein keepass nicht auf dem rechner habe? wobei das nichts bringen würde, da eine passwortrücksetzung in aller regel über die mailadresse läuft, auf die ich aber mangels passwort auch nicht zugreifen kann?

 

[deleted_24196]

@Schniko
Für unterwegs habe ich KeePass Droid installiert und führe ne ein paar Wochen alte KeePass Datenbank mit mir auf dem Smartphone rum. Für die wichtigsten 2-3 Seiten (u.a. auch GMail, welches dank 2FA extra geschützt ist) habe ich Passwörter vergeben, die ich mir merken kann.

 

[tzui]

so ein Aufwand für ein paar verpimmelte Shopping Gaming und Foren Passwörter. Achne ihr arbeitet ja alle in security Firmen und/oder in hoch geheimen Projekten. Meine Passwörter gammeln als unverschlüsselte txts bei google drive rum oder sind im chrome, der die natürlich auch schön praktisch in der cloud saved.

 

[Wintermute]

Würg. Immerhin gehöre ich nicht zur ein-login-für-alles-Fraktion.
Naja, wollte mir eh mal keepass angucken, kann ich auch gleich komplett drauf umsteigen...

 

[Shihatsu]

Also, fangen wir mal von vorne an.
Benrath: Mit "dich" hacken meinte ich tatsächlich das Szenario das genau dich jemand aufs Korn nimmt: Wenn das passiert, hast du eh keine Chance. Moderne Spearfishing-Angriffe würden selbst so Leute wie mich einfach durchlöchern. Und ich schul den Scheiss.
Alle anderen "hacking Angriffe" sind entweder Bösartigkeiten auf dem Server (z.B. nen keyloggendes iFrame von nem verseuchten Adserver) - die kann man größtenteils mit brain.exe verhindern (Wie gesagt: UAC in Windows auf Anschlag, Scriptblocker, kein Java -> man ist ziemlich safe) oder oldschool Trojaner Infektionen (sowas "kann" man sich immer einfangen - Office Lücken, falsches Attachement geklickt (Fishing wird immer besser), von "Freunden" infiziert werden, ...). Beides betrifft die Wahl des Passwordmanagements überhaupt nicht. Dem Keylogger ist es egal wo das Passwort herkommt, dem Trojaner erst recht. Und wenn man sich etwas einfängt, das die Passwortdatenbank klaut, dann ist man auch noch lange nicht gearscht. Hier gilt wieder: Man ist ja Benrath, Shihatsu oder tzui. NIEMAND wird das nötige Geld in den Ring werfen, das nötig ist um eine .kdbx mit vernünftiger passphrase zu knacken. Es sei denn wir wären ein wichtiger CEO, Politiker oder Drogenboss. Und diese Art von Leuten wird gespearfished, ist VIEL billiger.
So, zu der Frage mit dem Backup: Jupp, für die .kdbx empfehle ich jedem eine K-Fall sichere Backupstrategie. K-Fall wäre z.B.: Euer Haus mitsamt PC und Backupfestplatte raucht ab. Das sollte natürlich nicht passieren. Daher macht ein dezentrales Backup Sinn, das kann natürlich auch ein Cloudprovider euerer Wahl sein. Ich hab 2 verschiedene Datenbanken für privat - eine für Passwort weg? Joa, ärgerlich, aber egal (Facebook, ingame, ...). Die landet auf 2 Platten (lokal, NAS) und der Dropbox (nochmals verschlüsselt und getarnt, ob das sooo sinnvoll ist.... egal Paranoia will gefüttert werden). Und dann eine für den wirklich wichtigen Scheiss (da steht auch sowas wie Sozialversicherungsnummern etc drin). Die verlässt miene Kontrolle nicht und landet ausser den beiden Platten noch im externen Backup (2 Platten, die sich abwechseln, eine hängt am NAS, eine liegt auf der Arbeit, nach nem Monat wird gewechselt) und zusammen mit meinen cold wallets auf nem USB-Stick, der gut versteckt ist. Und tzui: threadverbot
Btw, login auf fremdem Rechner: Ganz böse Idee. Das ist der vektor über den ich oben schrieb - via Freunde infizieren. Niemals auf einen solchen REchner eure kdbx packen. keepass2go und kdbx auf nem USB-Stick mit schreibschutz packen ist schon gefährlich genug.

 

[Zweifeuerkraut]

so ein Aufwand für ein paar verpimmelte Shopping Gaming und Foren Passwörter. Achne ihr arbeitet ja alle in security Firmen und/oder in hoch geheimen Projekten. Meine Passwörter gammeln als unverschlüsselte txts bei google drive rum oder sind im chrome, der die natürlich auch schön praktisch in der cloud saved.

Kannst du natürlich handhaben, wie du willst. Ich selber hab mittlerweile ziemlich viele Passwörter in verschiedenen Kategorien. Diverse Shops (Identity Theft kann jeden treffen und ist ultramühsam zu bekämpfen), mein Google Account (bei andern iTunes. Wer da sein halbes Leben drin hat wird entäuscht sein, wenn ein Kiddy seine gesamten Fotos und Timemachine Backups gelöscht hat), Kreditkarten-Sicherheitsfragensecuritydings, Passwörter für meine virtuellen Server in der Cloud usw. usf.

 

[Benrath]

Wie hoch ist denn realistisch das Risiko, dass jemand mein Gmail passwort knackt? Weil dann ist die für mich praktischere Variante den Password Manager von Chrome zu nutzen und gut ist. Backup is dann ja schon inclusive.

Ich hab in etwa 5-10 Seiten wo das PW wichtig wäre und man mir wirtschaftlichen Schaden zufügen könnte.
Email,
Amazon,
3-5 andere online shops (Expedia, DB, .. ka)

Sonst nutze ich lowkey passwörter die nicht die gleichen sind wie für die wichtigen sachen. Bzw ärgern mich behinderte Seiten, die ohne Grund Passwörter mit Zahl und sonderzeichen haben.

 

[Shihatsu]

Sobald du halt auch Passwörter hast die nicht per Browser zu nutzen sind und gespeichert werden sollen brauchst du wieder nen Passwortmanager. Und ich würde einer lokalen keepass-DB ca. tausendmal mehr vertrauen als google bzw. deren Absicherung ihrer cloud.

 

[deleted_24196]

Und dann eine für den wirklich wichtigen Scheiss (da steht auch sowas wie Sozialversicherungsnummern etc drin).

Darf ich fragen warum du für die Sozialversicherungsnummer(n) soviel Aufwand betreibst? Meines Wissens nach stehen die Versicherungsnummern eh auf diversen Karten die man eh mit im Portemonnaie hat.Wir haben ja kein zentrales System wie die USA, wo alles von dieser einen immens wichtigen Nummer abhängt.

 

[parats']

Geht ihm primär sicherlich um den Schutz vor Identitätsdiebstahl.

 

[Sodom&Gomorrha]

Abgesehen davon, dass ein PW-Manager das Einloggen subjektiv doch SEHR viel bequemer macht. Einen langen Master merken, damit KeePass entsperren - und dank Keefox für Firefox erkennt der Browser die Logins (die ausschließlich in der Datenbank des Managers gespeichert werden, nicht in FF).

Und selbst wenn ein Keylogger etwa das Clipboard abgreift, ist (theoretisch) nur der Login für diese und jene Webseite mit seinem random PW futsch. Klar kann man auch an die KeePass-Datenbank irgendwie heran, aber darauf muss der Troj erstmal kommen. Bevor Fragen kommen: Ja mir ist klar, Malware kann so viel mehr, und wenn die deinen Rechner eh schon fernsteuert, ist ein Passwort das letzte Problem.

Geht aber darum, dass man nicht überall dasselbe Passwort verwendet oder sich 3895784357 Passwörter merken muss.

Selbst merken tue ich mir nur: Drei Mail-, die Bucht-, PayPal und mein Steam- () Passwort, die sind mir wichtig und als Kennwörter komplex genug, um diese auch ohne PW-Manager im Kopf zu haben.

 

[Shihatsu]

Darf ich fragen warum du für die Sozialversicherungsnummer(n) soviel Aufwand betreibst? Meines Wissens nach stehen die Versicherungsnummern eh auf diversen Karten die man eh mit im Portemonnaie hat.Wir haben ja kein zentrales System wie die USA, wo alles von dieser einen immens wichtigen Nummer abhängt.

Sozialversicherungsnummer war nur ein Beispiel für eine der besonders schützenwerten Einträge in der kdbx. Den Aufwand betreiben mache ich hauptsächlich wegen den cold wallets.

Geht ihm primär sicherlich um den Schutz vor Identitätsdiebstahl.

This.

Abgesehen davon, dass ein PW-Manager das Einloggen subjektiv doch SEHR viel bequemer macht. Einen langen Master merken, damit KeePass entsperren - und dank Keefox für Firefox erkennt der Browser die Logins (die ausschließlich in der Datenbank des Managers gespeichert werden, nicht in FF).

Und selbst wenn ein Keylogger etwa das Clipboard abgreift, ist (theoretisch) nur der Login für diese und jene Webseite mit seinem random PW futsch. Klar kann man auch an die KeePass-Datenbank irgendwie heran, aber darauf muss der Troj erstmal kommen. Bevor Fragen kommen: Ja mir ist klar, Malware kann so viel mehr, und wenn die deinen Rechner eh schon fernsteuert, ist ein Passwort das letzte Problem.

Geht aber darum, dass man nicht überall dasselbe Passwort verwendet oder sich 3895784357 Passwörter merken muss.

Selbst merken tue ich mir nur: Drei Mail-, die Bucht-, PayPal und mein Steam- () Passwort, die sind mir wichtig und als Kennwörter komplex genug, um diese auch ohne PW-Manager im Kopf zu haben.

Ja, man sollte auch die Kirche im Dorf lassen. Security ist der natürliche Feind von Usability. Wenn man nen Fernsteuerungs-Troj aufm Rechner hat, ist eh alles verloren. Und: Keepass kann autologin ganz ohne Plugins. Das Ding ist mächtig, müsst euch mal videos und tuts dazu reinziehen.

 

[Das Schaf]

Und: Keepass kann autologin ganz ohne Plugins. Das Ding ist mächtig, müsst euch mal videos und tuts dazu reinziehen.

wtf
da nutz ich das schon so lange und brauch so nen random post um eigentlich die beste funktion rauszufinden.

danke

 

[deleted_24196]

wtf
da nutz ich das schon so lange und brauch so nen random post um eigentlich die beste funktion rauszufinden.

danke

Strg+Alt+A ist doch DER Shortcut überhaupt.

 

[ViperDK]

Raute an KeePass. Ist der überlegene Nachfolger der password.txt geworden!

 

[Benrath]

Lustigerweise versuche ich jetzt doch mal Keepass zu nutzen, weil mein neuer Arbeitgeber paranoid ist und ich Chrome nicht mehr nutzen kann. Ich befürchte, dass wird mich zu Hause dazu zwingen InetExplorer oder wieder Mozilla zu nutzen.

Da es keine Servernutzung von Keepass für mich gibt, muss ich mir die Datei wohl ab und an per Email nach Hause schicken.

 

[deleted_24196]

Da es keine Servernutzung von Keepass für mich gibt, muss ich mir die Datei wohl ab und an per Email nach Hause schicken.

Kannst du nachrüsten.

 

[Benrath]

Ne ich darf nicht vom AG aus.

 

[DuffTheSame]

Ein hoch auf die Nekromantie - auch alte Themen verdienen Aufmerksamkeit!

Da sich hier offenbar viele KeePass User tummeln;

- Welche App ist zZ Mittel der Wahl auf Android? Sind die, wie meine Rechereche bisher zeigt, wirklich alle als unproblematisch zu bewerten (jene die es in den PlayStore geschafft haben)

- Wie löst Ihr das auf Fremdcomputern? Schreibgeschützter Stick mit Tresor und KeePassMobil oder gibt es unterdessen Alternativen?

- Sicherheitsdatei - Relevantes Feature oder Gimmick?

Danke für Eure Inputs!

 

[Shihatsu]

Android ist per default als "fremder Rechner" zu betrachten. Hier sollte (muss?!?) man die Geschichte mit den 2 verschiedenen Datenbanken betreiben. Egal wie sicher die App selber ist, es gibt andere Apps, die die Sicherheit durchlöchern, es gibt das Baseband, das da total drauf scheißt, es gibt zig offene Lücken im Android selber, oder im Dalvik, oder oder oder. Ich wüßte garnicht wo ich da anfangen sollte. Da du also nur "unwichtige" Passwörter aufm Telefon haben solltest, ist die App egal. Nimm die mit dem besten DL-Zahl/Bewertung Koeffizienten ab 100k Downloads. Oder, besser, die aus dem F-Droid Store.
TLDR: Don't.

Fremdcomputer wenn überhaupt dann nur via Schreibgeschützem USB-Stick auf dem nen PortableApps läuft - das starten, nicht das auf dem Rechner installierte KeePass. Selbes TLDR wie oben.

Sicherheitsdatei: Ist halt der zweite Faktor. Kenntnis des Passworts und Besitz der Datei. Je nach Szenario und Angriffsvektor durchaus beachtlicher Sicherheitsgewinn. Man sollte aber eben auch UND machen, und nicht ODER.

 

[DuffTheSame]

Ja, zwei Datenbanken war im Vornherein klar. Ehrlichgesagt hab ich nur ne Handvoll "wichtige" PW, das meiste ist halt Alltagsgedöns für das ich den Komfort von Keepass will. Webshops und solche Spässe...
Sicherheitsdatei werd ich in dem Fall anlegen, frisst ja auch im Winter nichts weg. Nur so aus Neugier - wenn dann wirklich jemand den Tresor klauen würde, wie gross ist der Zusatzaufwand das S-File auch gleich zu holen? Man kann halt nicht nach der Endung des Tresorfiles suchen, aber ist das wirklich der Trick an der Geschichte?
Der Stick wird richtig Retro, vielleicht lege ich auch noch Warzone und RedAlert als Portable drauf :thumbsup:

 

[drwilly]

Nochmal für alle, da relevant: https://www.heise.de/ct/artikel/Passwortloses-Anmelden-dank-FIDO2-4494951.html

Es ist bereits möglich, sich sicher und komplett ohne Passwort bei Internet-Diensten anzumelden.
Externe Hardwaretoken, Windows 10 und Android können als FIDO2-Sicherheitsschlüssel agieren.
Mit dem können dann alle Apps und insbesondere der Browser auf diesem Gerät eine FIDO2- Anmeldung durchführen.

Wie immer bei so Sachen ist die Unterstützung durch die Webseiten ernüchternd [SUP]hallo ingame[/SUP]. Aber da wo's geht …

 

[mAiLmAn]

Nutze KeePass und einen YubiKey. Funktioniert mit Cloud Sync auch am Handy. (Klingt komisch, ist aber so!)