Hundert verschiedene Passwörter – das kann sich doch kein Mensch merken!

Es werden immer mehr. Für soundsoviele Webseiten oder Apps muss man sich ein Passwort merken. Das alles im Kopf zu behalten, ist quasi unmöglich. Aber immer die gleichen drei, kurzen Passwörter zu benutzen, ist auch keine Lösung. Das ist zu unsicher. Da hilft ein Passwortmanager.

So ein Passwortmanager – was macht der genau?

Ein Passwortmanager ist wie ein Tresor für all deine Logins. Du brauchst nur noch ein einziges Master-Passwort – alles andere übernimmt der Manager für dich. Du kannst alle deine Passwörter und Benutzernamen notieren und sie sicher – wie in einem Safe – im Passwortmanager einsperren. Dein Passwortmanager schlägt dir sichere Passwörter vor und überprüft auf Wunsch auch bestehende Passwörter.

Selbst beim Notieren der Zugangsdaten hilft dir der Passwortmanager, indem er dich bei neuen Passwörtern fragt, ob er sich diese merken soll. Wenn du das nächste Mal auf eine dem Manager bekannte Webseite gehst (z. B. auf deine Lernplattform) fragt dich der Passwortmanager, ob er die Zugangsdaten ausfüllen soll. Dann gibst du dein Master-Passwort ein und bestätigst damit, dass du du bist. Anschliessend füllt der Passwortmanager die benötigten Zugangsdaten ein und du bist entspannt eingeloggt. Ein Passwortmanager ist deshalb eine der ersten Apps, die du dir auf deinem Computer einrichten solltest.

Welchen Passwortmanager soll ich nehmen?

Folgende Passwortmanager sind empfehlenswert:

• Apples iCloud-Schlüsselbund: Gute, kostenfreie Lösung für Apple-Benutzer, mit der man geräteübergreifend Passwörter sicher aufbewahren kann. Die verständliche Anleitung von Apple zeigt dir, wie du auf dem Mac oder auch mobilen Apple-Geräten diesen iCloud-Schlüsselbund einrichtest.
• Proton Pass: Daten in der Schweiz und Deutschland (Schweizer Unternehmen), Open Source, kostenlos für unbegrenzte Anzahl gespeicherter Logindaten und unbegrenzte Anzahl Geräte.
• Kee Pass XC: Daten (alle Passwörter) bleiben standardmässig lokal auf eigenem Gerät, gehen also gar nicht ins Internet. Zugriff auf Passwörter von mehreren Geräten aus muss deshalb selber eingerichtet werden. Open Source, kostenlos.
• Bitwarden: Daten in der EU oder USA, Open Source, kostenlos für persönliche Nutzung mit bis zu 2 Nutzer:innen und mehreren Geräten.
• 1Password: Daten in USA, CAN oder EU, Kosten: ab €2.65 pro Monat (kostenlose 14-tägige Testphase), Nutzung auf mehreren Geräten.

Gute Passwörter

Tipps für das Master-Passwort

Wichtig bei der Nutzung eines Passwortmanagers ist: Dein Master-Passwort solltest du dir wirklich merken können. Einige Systeme bieten zwar Sicherheitsfragen oder Wiederherstellungscodes an – aber wenn du dein Masterpasswort vergisst, kannst du meist nicht mehr auf deine gespeicherten Passwörter zugreifen.

• Leicht zu merken sind beispielsweise Passphrasen: Das sind mindestens vier Wörter aneinandergereiht, ohne Leerzeichen dazwischen, wie etwa: EinPasswort-ManageristsowasTolles
• Oder du nutzt die Anfangsbuchstaben eines Satzes: Mein Hund weckt mich jeden Morgen um 7 Uhr voller Elan – was für ein Start in den Tag!
  Die Anfangsbuchstaben dieser Wörter zusammen mit den Satzzeichen ergeben ein sicheres Passwort aus Gross- und Kleinbuchstaben, Ziffern und Sonderzeichen: MHwmjMu7UvE-wfeSidT!
• Notiere dir dein Master-Passwort an einem sicheren Ort. Ein Zettel in einem abschliessbaren Fach ist sicherer als ein Screenshot auf dem Handy.

Was macht ein Passwort sicher?

Es gibt mehrere Möglichkeiten, ein Passwort sicher zu machen. Hier ein paar Beispiele:

• Keine Wörter benutzen, die so in einem Wörterbuch stehen. Für Hacker ist es kein grosser Aufwand, sämtliche Einträge eines Lexikons durchzuprüfen. Wortkombinationen, am besten mit Sonderzeichen und Ziffern versehen, sind hingegen eine gute Idee.
• Länge des Passworts: mindestens 12 Zeichen, je länger, desto besser. Hier gilt wirklich: «Viel hilft viel.»
• Nutze jedes Passworts am besten nur ein einziges Mal. Das gleiche Passwort sollte nicht für mehrere Webseiten oder Apps verwendet werden.
• Öffentlich zugängliche Informationen wie etwa der Name der Mutter oder das letzte Ferienziel haben in einem Passwort nichts zu suchen – vor allem nicht, wenn diese Informationen auf Social Media veröffentlicht wurden.

Weitere Tipps zu guten Passwörtern findest du beim Bundesamt für Informatik und Telekommunikation im Artikel Sichere Passwörter machen Angreifern das Leben schwer – der übrigens auch die Nutzung eines Passwortmanagers empfiehlt.

Zum Ausprobieren

In Zusammenarbeit mit Sicherheitsforschern werden jährlich die weltweit unsichersten Passwörter ermittelt. Kannst du dir vorstellen, welche das sein könnten und wie schnell es geht, diese zu knacken?

Im Artikel von NordPass (auch ein Anbieter eines Passwortmanagers) Die häufigsten Passwörter kannst du dir die unsichersten Passwörter aus 44 Ländern anschauen. Spoiler: Sie unterscheiden sich nicht so sehr, wie man denkt.

Zwei-Faktor-Authentifizierung

Zusätzlich zu sicheren Passwörtern wird häufig die Zwei-Faktor-Authentifizierung (2FA) empfohlen. 2FA bedeutet, dass du dich nicht nur mit einem Passwort anmeldest, sondern mit zwei verschiedenen Nachweisen, um zu zeigen, dass du wirklich du bist.

Zum Beispiel: Du gibst zuerst dein Passwort ein (das ist der erste Faktor) und bekommst danach einen Code aufs Handy oder musst eine App bestätigen (das ist der zweite Faktor). Ein starkes Passwort ist wie ein Schlüssel. Zwei-Faktor-Authentifizierung fügt durch den Sicherheitscode ein zweites Schloss hinzu. So ist dein Konto viel besser geschützt – selbst wenn jemand dein Passwort kennt, kann er sich ohne den zweiten Schritt nicht einloggen.

Und bei der Drei-Faktor-Authentifizierung? Da brauchst du zusätzlich deinen digitalen Fingerabdruck – so, als würdest du neben Schlüssel und Schloss noch einen Iris-Scanner an der Haustür einbauen. Besonders sicher – aber eher im Profi-Bereich notwendig.

Passwörter im Browser speichern

Wenn es darum geht, Passwörter für Webseiten zu speichern, ist die einfachste Möglichkeit das Abspeichern direkt im Browser. Alle gängigen Browser können Passwörter speichern: Chrome, Firefox, Edge, Safari und auch deren Versionen für Mobilgeräte. Meist wird man bei der Eingabe von Zugangsdaten gefragt, ob diese im Browser gespeichert werden sollen. Die so gespeicherten Passwörter werden beim nächsten Besuch der Webseite automatisch ausgefüllt. Das ist bequem, aber gleichzeitig eine der Sicherheitsrisiken, die man bei dieser Funktion in Kauf nimmt. Denn gerät der Computer in die falschen Hände oder jemand schafft es auf den Browser zuzugreifen, dann hat diese Person automatisch Zugriff auf alle Webseiten mit vorausgefüllten Passwörtern.

Deshalb ist ein eigenständiger Passwortmanager zu bevorzugen. Die meisten davon bieten sogenannte Browser-Erweiterungen, mit denen man den gleichen Effekt bekommt, wie mit einem Browser-Passwortmanager.

Genauere Hinweise zu Passwortmanagern in Browsern findest du im Kapitel E6 | Passwortmanager im Browser nutzen.

Keine Passwörter mehr durch Passkeys?

Neben der Nutzung eines Passwortmanagers nimmt auch die Verbreitung von Passkeys zu. Dieses relativ neue Verfahren nutzt technisch einen anderen Ansatz als Passwörter: Beim herkömmlichen Verfahren mit Passwörtern wirst du auf der Webseite / App deiner Wahl nach deinen Zugangsdaten gefragt. Wenn du den richtigen Benutzernamen und das zugehörige Passwort parat hast, «weiss» die Webseite, dass du du bist und gestattet dir den Zugriff.

Bei der Verwendung von Passkeys läuft es ein bisschen anders, dafür wird ein ausgeklügeltes Vorgehen mit sogenannten privaten und öffentlichen Schlüsseln genutzt. Diese beiden Schlüssel müssen zusammenpassen, damit du Zugriff erhältst. Dein privater Schlüssel wird auf deinem Gerät gespeichert und du musst ihn – im Unterschied zu einem Passwort – nicht mehr eingeben. Stattdessen zeichnest du auf deinem Gerät entweder das Sicherheitsmuster, das du fürs Entsperren deines Smartphones festgelegt hast, nutzt deinen PIN oder bestätigst die Nutzung des Passkeys per Fingerabdruck oder Gesichtserkennung (biometrische Authentifizierung).

Für die Nutzung von Passkeys benötigst du ein Programm auf deinem Gerät, das dieses Verfahren unterstützt. Das kann ein Passwortmanager sein, oder du nutzt dein Google-Konto oder deine Apple-ID. Über diese Anbieter können Passkeys auch geräteübergreifend gespeichert und synchronisiert werden. Das heisst, dass du den gleichen Passkey auch von mehreren Geräten aus nutzen kannst.

Passkeys sind also an dein/e Gerät/e gebunden. Dort sind sie nur durch die Eingabe deines PINs, deines Sicherheitsmusters, deines Fingerabdrucks oder per Gesichtserkennung zugänglich. Falls du deinen Passkey also nur auf einem einzigen Gerät gespeichert hast und dieses Gerät verlierst, wird es etwas kompliziert.

Tipp: Alle oben genannten Passwortmanager unterstützen auch die Verwaltung von Passkeys.

Weiterführende Informationen

• Eine Zusammenfassung zum Passkey-Verfahren zeigt das einminütige Video Passkey – was ist das eigentlich? (YouTube-Short, Smartphone Lexikon).
• SwissSign beschreibt im Blogartikel Passkeys: Passwortloses Login wie Passkeys funktionieren und vergleicht diese Technologie mit der Nutzung von Passwörtern.
• Falls du mehr wissen willst zum Zusammenspiel zwischen privatem und öffentlichen Schlüssel: Das zugrundeliegende Verfahren nennt man «asymmetrische Kryptografie».

Das Wichtigste in Kürze: