Wie misst mein Smartphone das?

[Hexenjohanna]

Für Zugangsdaten habe ich einen Passwortmanager, der alle Passwörter (die er auf Wunsch generiert) automatisch speichert und auf Wunsch in die Anmeldemasken einfügt.

Hmm. Da ja jedes Programm prinzipiell gehackt werden kann bin ich da lieber konservativ sowie beim Erstellen kreativ. Ich würde also niemals ein simples Passwort nutzen oder eins mehrfach verwenden. Für mich ist die Abwägung eher: Ist ein Einbruch in meine Wohnung wahrscheinlicher als der Einbruch in meine Datenumgebungen?

[z10]

Bei Passwortmanagern bin ich auch gespalten. Zum einen erlaubt es mir Passworter höherer Sicherheit und individuell für jede Seite anzulegen. Andererseits muss man sich einen Kopf machen, wie man eine 2Faktor-Authentifizierung umsetzt, wenn man es wirklich sicher haben will. Und der zweite Faktor darf dann nicht das Handy sein, wo man die Passwörter verwenden will, man möchte ihn aber auch nicht verlieren (bzw. sollte zmd. mind. zwei Stück kaufen und/oder eine Recovery-Phrase irgendwo sicher platzieren (Bankschließfach?)), usw..

[Uncoolman]

Ich habe so einen Manager noch nie benutzt. Weil ich dafür EIN Passwort brauche (oder meinetwegen zwei) und 100 Accounts absichere, bekommt der Hacker ALLE meine 100 Passwörter, wenn er EINS hackt (oder zwei). Das ist absoluter Bullshit. Soll er lieber 100 Passwörter knacken, das dauert länger...

[z10]

Wenn du es mit 2FA absicherst, dann braucht er ein Passwort UND physische Hardware (Hardware-Key, dein Telefon, o.ä.), was zumindest das Problem auf dein physisches Umfeld begrenzt.

[MarTenG]

100 schwache Passwörter sind schneller geknackt als ein starkes

Abgesehen davon: https://xkcd.com/538/

[Uncoolman]

Okay, bei dem Comic versteh ich kein Wort. Aber das EINE Passwort des Managers ist naturgemäß genauso stark oder schwach wie meine 100 anderen, denn ich habe es ausgewählt. Und eine irrsinnige Kombination wie 72-5229aGe!771_4Pprwas-31121 muss ich mir sowieso aufschreiben...

[Janusz11]

Ein Password Manager ist schon eine feine Sache. Ist natürlich immer einer Frage, wie man sich selber organisiert. Wenn man sich alle seine Kennwörter selbst merken kann, dann ist das natürlich ideal. Der eigene Kopf ist nach wie vor der beste Password Manager.

Problematisch wird es eben dann, wenn man das nicht mehr kann. Und bevor man dann anfängt, ein und dasselbe Kennwort für alle Dienst zu nutzen oder sich mit einfachen Kennwörtern auszuhelfen oder diese auf Papierschnippsel zu notieren, da finde ich, ist so ein Password Manager schon hilfreich. Und bevor jemand die verschlüsselte Datenbank meines Password Managers in die Hände bekommt, müßte vorher schon ganz gewaltig was schiefgelaufen sein; abgesehen davon, daß die dann ja auch noch geknackt werden müßte.

[axelkothe]

Mein Passwortmanager verwaltet derzeit knapp 600 Einträge... Bevor ich den genutzt habe, habe ich zwangsweise schwächere Passwörter oder je nach Service auch immer die gleichen Passwörter benutzt (natürlich nur bei unwichtigen Dingen wie irgendwelche Foren, bei denen es nicht schlimm ist, wenn das Passort in der freien Wildbahn unterwegs ist). Irgendwann ist die Kapazität meiner Merkfähigkeit auch erschöpft.

Dafür lasse ich mir jetzt immer sichere Passwörter mit 15-25 Zeichen generieren und muss mir nur ein einziges merken...

[z10]

Du hast 600 Orte wo du ein Passwort brauchst? Wow. Da ist es bei mir noch vergleichsweise überschaubar. Und der Comic trifft den Nagel bzw. Schraubenschlüssel auf den Kopf.

[Uncoolman]

Es mag sein, dass der Manager sichere Passwörter erstellt und gut verwaltet. Aber wenn der mal zickt, sieht es doch mies aus, oder? Um in ein Forum oder in einen Shop zu kommen, muss man sich ja anmelden, das heißt, im schlimmsten Fall musst du dir 600 neue Passwörter zuschicken lassen, da du die alle gar nicht notiert hast (und eventuell nicht mal kennst...)...

[Hexenjohanna]

[...]Und bevor jemand die verschlüsselte Datenbank meines Password Managers in die Hände bekommt, müßte vorher schon ganz gewaltig was schiefgelaufen sein; abgesehen davon, daß die dann ja auch noch geknackt werden müßte.

Ja, aber was spricht dagegen, dass genau das passieren wird? https://de.wikipedia.org/wiki/Murphys_Gesetz

Mal ehrlich, wer braucht den Zugang zu seinen verschiedensten Anwendungen jederzeit online verfügbar? In der Regel sind es doch eher ein bis fünf Zugänge maximal, die man täglich benutzt.

Die Vorstellung, jemand überfiele mich und preßt meine Passwörter aus mir raus ist doch einigermaßen unwahrscheinlich bis absurd, ebenso ist es unwahrscheinlich das jemand bei mir einbricht, um dann nicht nach Wertgegenständen, sondern nach Accountzugängen zu suchen.

Insofern gilt meine Paranoia mehr der durchaus knackbaren Passwortmanager in der Cloud, zumal auf dem Gebiet "Cracker" international weitaus mehr Genies herangebildet werden als auf dem Gebiet der profanen Einbrecher.

Also würde ich mir ein Programm für Passwörter maximal auf einer internetisolierten Datenbank installieren oder einfach besser gute, aber mit Hilfe von intelligenten Eselsbrücken gemerkte, Passwörter (zur Sicherheit) in mein Tagebuch daheim schreiben.
Das muss ja auch nicht im Sichtfeld 'rumliegen.

[kanedat]

[..]Insofern gilt meine Paranoia mehr der durchaus knackbaren Passwortmanager in der Cloud, zumal auf dem Gebiet "Cracker" international weitaus mehr Genies herangebildet werden als auf dem Gebiet der profanen Einbrecher. [..]

Ja, okay, aber dann dürftest du gar nichts im Internet nutzen, weil diese Leute auf zig verschiedenen Wegen deine Passworteingaben abgreifen bevor sie sich die Mühe machen würden den Passwortcontainer zu knacken.

[Janusz11]

[...]Und bevor jemand die verschlüsselte Datenbank meines Password Managers in die Hände bekommt, müßte vorher schon ganz gewaltig was schiefgelaufen sein; abgesehen davon, daß die dann ja auch noch geknackt werden müßte.

Ja, aber was spricht dagegen, dass genau das passieren wird?

Der dafür nötige Aufwand bzw. die Verkettung außerordentlicher Zufälle. Siehe das von MarTenG verlinkte Comic.

[Hexenjohanna]

[..]Insofern gilt meine Paranoia mehr der durchaus knackbaren Passwortmanager in der Cloud, zumal auf dem Gebiet "Cracker" international weitaus mehr Genies herangebildet werden als auf dem Gebiet der profanen Einbrecher. [..]

Ja, okay, aber dann dürftest du gar nichts im Internet nutzen, weil diese Leute auf zig verschiedenen Wegen deine Passworteingaben abgreifen bevor sie sich die Mühe machen würden den Passwortcontainer zu knacken.

Zugegeben ein Punkt, aber was machte der Passwortcontainer daran besser?

[kanedat]

Prinzipiell muss man eins sagen: Dein Beitrag skizzierte den "Experten, der alles überlisten kann", was ziemlich pauschal ist und somit (wie bereits aufgezeigt) alles in Frage gestellt.

Wenn man weg von der Pauschalität und hin zum Sachverhalt geht, dann zeigt sich ein differenzierteres Bedrohungsszenario. "Sicherheitslücke" ist nicht gleich "Sicherheitslücke", da unterschiedliche Teilsysteme angegriffen werden, die unterschiedliche Funktionen/ Berechtigungen/ Möglichkeiten haben.

Außerdem muss sich auch bewusst machen wer eigentlich wie angreift. Da sitzt kein Experte und macht sich manuell irgendeinen großen Aufwand, sondern in der Regel sind es "profane Einbrecher" - nur eben im IT-Bereich. Die greifen auf gängige Mittel und Werkzeuge zurück, die (teil-)automatisiert durchlaufen und auf Masse gehen.

Somit ist "Zugriff" auch nicht gleich "Zugriff", weil man nicht pauschal "Zugriff auf den Computer" hat, sondern meistens erst mal nur Zugriff auf Einzelbereiche (Eingaben/ Speicher/ Daten/ etc.). Das bedeutet dann unter anderem:

1. Ein Angreifer kann (teilweise) Daten abgreifen, aber nicht Eingaben.
2. Ein Angreifer kann Eingaben abgreifen, aber nicht Daten.

Zu 1: Ja, wenn man den Container abgreift, dann kann man ihn theoretisch knacken, aber in der Praxis ist der Aufwand immens und lohnt sich nicht wirklich.
Zu 2: Hier findet schon eine Ausdifferenzierung statt. Bei manueller Eingabe ist (wahrscheinlich) ein Zugang kompromittiert. Beim Passwortmanager wäre es das Masterpasswort, aber es fehlt immer noch der Container.


Es gibt also unterschiedliche Hürden in unterschiedlichen Situationen, deinen teilweise auch nur einzelne Sicherheitsaspekte fallen und nicht gleich sofort alle Sicherheitsaspekte. Außer man zaubert halt wieder den allwissenden Bösewicht aus dem Zylinder.