Passwort-Manager und Passkeys: Sichere Passwörter erklärt

Ein Passwort-Manager ist eine App, die für jedes Konto ein anderes starkes Passwort erstellt, speichert und automatisch ausfüllt, sodass Sie sich nur noch eines merken müssen. Zusammen mit Passkeys, mit denen Sie sich per Gesicht, Fingerabdruck oder Displaysperre statt mit einem Passwort anmelden, beseitigt er das größte Alltagsrisiko: dasselbe Passwort an vielen Stellen.

E-Mail, Online-Banking und soziale Netzwerke sind vor allem durch Passwörter geschützt. Wird eines gestohlen, kann ein Krimineller Ihre Nachrichten lesen, andere Konten zurücksetzen oder Ihr Geld ausgeben. Das zu beheben dauert kürzer, als Sie vielleicht denken, und erfordert keine Technikkenntnisse.

Warum mehrfach verwendete Passwörter die eigentliche Gefahr sind

Die meisten Menschen fürchten, dass jemand ihr Passwort errät. Das größere Problem ist, dasselbe Passwort mehrfach zu verwenden.

Wird eine Website gehackt, landen Listen mit E-Mail-Adressen und Passwörtern oft im Netz. Angreifer probieren diese Paare mit automatisierten Tools auf vielen anderen Websites aus, etwa bei E-Mail-Diensten, Banken und Onlineshops. Das nennt man Credential Stuffing.

Ist Ihr Passwort bei einem kleinen Onlineshop geleakt und haben Sie es auch für Ihr E-Mail-Konto benutzt, kommt der Angreifer jetzt in Ihr Postfach und kann von dort aus fast alles andere zurücksetzen.

Deshalb braucht jedes Konto ein eigenes Passwort, und da sich niemand Dutzende davon merken kann, gibt es Passwort-Manager.

Was ein sicheres Passwort heute ausmacht

Länge zählt mehr als Komplexität. Ein langes Passwort ist viel schwerer zu erraten als ein kurzes voller Sonderzeichen.

• Nutzen Sie mindestens 12 bis 16 Zeichen, für wichtige Konten mehr.
• Probieren Sie eine Passphrase: vier oder mehr zufällige Wörter ohne Zusammenhang, etwa Fluss-Kerze-Umlauf-Pfeffer. Sie ist lang, leicht einzutippen und leicht zu merken.
• Vermeiden Sie persönliche Angaben wie Namen, Geburtstage oder Telefonnummern.
• Vermeiden Sie gängige Muster wie „Passwort1!“ oder die Jahreszahl an einem alten Passwort.
• Verwenden Sie es nie doppelt. Ein starkes Passwort auf zehn Websites ist nur so sicher wie die schwächste davon.

Merken müssen Sie sich nur wenige: den Entsperrcode Ihres Handys, das Passwort Ihres Haupt-E-Mail-Kontos und das Master-Passwort Ihres Passwort-Managers.

Wie ein Passwort-Manager funktioniert und wie Sie starten

Ein Passwort-Manager bewahrt Ihre Passwörter in einem verschlüsselten Tresor auf. Der Tresor ist mit einem Master-Passwort gesichert, oft zusätzlich mit Fingerabdruck oder Gesicht. Er schlägt neue Zufallspasswörter vor und füllt gespeicherte aus, aber nur auf der echten Website, für die er sie gespeichert hat. Das schützt Sie zusätzlich vor gefälschten Anmeldeseiten.

Einen Passwort-Manager wählen

• Der eingebaute Manager von Handy oder Browser. iPhone, Android, Windows, macOS und die großen Browser bringen einen mit, der Passwörter erzeugen, speichern und synchronisieren kann. Hier fällt der Einstieg am leichtesten.
• Ein seriöser unabhängiger Passwort-Manager. Er funktioniert über verschiedene Plattformen und Browser hinweg, praktisch, wenn Sie Geräte mischen. Installieren Sie ihn nur aus dem App Store, aus Google Play oder von der offiziellen Website des Anbieters.

Schritt für Schritt einrichten

1. Legen Sie ein starkes Master-Passwort fest: eine lange Passphrase, die Sie noch nirgends verwendet haben.
2. Aktivieren Sie die Zwei-Faktor-Authentifizierung für das Konto, das Ihre Passwörter enthält. Unser Ratgeber zur Zwei-Faktor-Authentifizierung erklärt, wie.
3. Richten Sie Wiederherstellungsoptionen ein, etwa einen Wiederherstellungsschlüssel oder einen Notfallkontakt, und bewahren Sie sie sicher auf.
4. Lassen Sie den Manager in den nächsten Tagen beim Anmelden Ihre Passwörter speichern.
5. Ersetzen Sie zuerst die Passwörter Ihrer wichtigsten Konten (E-Mail, Online-Banking, Mobilfunkanbieter, soziale Netzwerke) über die Funktion „Passwort generieren“. Ein paar Konten pro Woche reichen völlig.

Passkeys einfach erklärt

Was ist also ein Passkey? Ein Passkey ist eine neuere Art der Anmeldung, die das Passwort komplett ersetzt. Sie bestätigen Ihre Identität so, wie Sie Handy oder Computer entsperren: mit Gesicht, Fingerabdruck oder PIN.

Im Hintergrund erzeugt Ihr Gerät ein Paar digitaler Schlüssel. Die Website speichert nur den öffentlichen Teil. Der private Teil bleibt geschützt auf Ihrem Gerät oder in Ihrem Passwort-Manager und wird nie an die Website gesendet. Das bedeutet:

• Bei der Website gibt es nichts zu stehlen. Ein Datenleck verrät kein Passwort, das sich woanders nutzen ließe.
• Schutz vor Phishing. Ein Passkey funktioniert nur auf der echten Website, für die er erstellt wurde. Eine gefälschte Anmeldeseite kann ihn Ihnen also nicht entlocken.
• Auf allen Geräten verfügbar. Passkeys in einem eingebauten oder unabhängigen Passwort-Manager werden mit Ihren anderen angemeldeten Geräten synchronisiert.

Wollen Sie sich an einem Computer ohne Ihren Passkey anmelden, kann die Website einen QR-Code anzeigen. Sie scannen ihn mit dem Handy und bestätigen. Das Handy muss sich dabei in der Nähe befinden.

So stellen Sie ein Konto auf Passkey um

1. Melden Sie sich wie gewohnt an und öffnen Sie die Sicherheits- oder Anmeldeeinstellungen.
2. Suchen Sie eine Option wie „Passkeys“ oder „Passkey erstellen“.
3. Bestätigen Sie mit Gesicht, Fingerabdruck oder Displaysperre und wählen Sie, wo er gespeichert wird.
4. Testen Sie ihn: abmelden und mit dem Passkey erneut anmelden.
5. Manche Dienste behalten Ihr Passwort als Reserve. Achten Sie darauf, dass es trotzdem stark und einzigartig ist.

Noch unterstützt nicht jede Website Passkeys. Nutzen Sie sie, wo sie angeboten werden, und für den Rest einen Passwort-Manager.

Prüfen, ob Passwörter geleakt wurden

Die eingebauten Passwort-Manager von iPhone, Android und den großen Browsern sowie die meisten unabhängigen bieten eine Passwortprüfung oder Sicherheitsempfehlungen. Sie warnen, wenn ein gespeichertes Passwort:

• in einem bekannten Datenleck aufgetaucht ist,
• bei mehreren Konten verwendet wird oder
• schwach oder leicht zu erraten ist.

Öffnen Sie diesen Bereich alle paar Monate und beheben Sie die Warnungen, beginnend mit Ihren wichtigsten Konten.

Was tun nach einem Datenleck?

Meldet ein Dienst ein Datenleck oder warnt Ihre Passwortprüfung, gehen Sie in dieser Reihenfolge vor:

1. Ändern Sie das Passwort für dieses Konto und nutzen Sie ein neues aus Ihrem Passwort-Manager.
2. Ändern Sie es überall dort, wo Sie es ebenfalls verwendet haben. Genau hier richtet Mehrfachnutzung den eigentlichen Schaden an.
3. Aktivieren Sie Zwei-Faktor-Authentifizierung oder einen Passkey für dieses Konto, falls noch nicht geschehen.
4. Prüfen Sie das Konto auf unbekannte Geräte, Weiterleitungsregeln oder geänderte Wiederherstellungsdaten.
5. Behalten Sie Ihre Kontoauszüge im Blick, wenn Zahlungsdaten betroffen sein könnten, und melden Sie sich bei Ihrer Bank, wenn Ihnen etwas merkwürdig vorkommt.
6. Seien Sie bei Nachrichten besonders vorsichtig. Nach einem Datenleck verschicken Kriminelle oft gefälschte „Sicherheitswarnungen“ per E-Mail, SMS oder QR-Code. Öffnen Sie die offizielle App oder tippen Sie die Adresse selbst ein, statt Links zu nutzen, und lesen Sie unseren Ratgeber zu QR-Code-Phishing per E-Mail.

Kurze Checkliste

1. Jedes wichtige Konto hat ein eigenes, einzigartiges Passwort.
2. Ihre wichtigsten Passwörter sind lange Passphrasen, keine kurzen komplizierten Wörter.
3. Sie nutzen einen eingebauten oder seriösen unabhängigen Passwort-Manager.
4. Das Master-Passwort ist stark und wird nirgendwo sonst verwendet.
5. Die Wiederherstellungsoptionen des Passwort-Managers sind sicher aufbewahrt.
6. Zwei-Faktor-Authentifizierung schützt E-Mail und Passwort-Manager.
7. Passkeys sind bei allen Konten aktiviert, die sie unterstützen.
8. Sie führen alle paar Monate eine Passwortprüfung durch.

FAQ

Ist es sicher, alle Passwörter in einem Passwort-Manager zu speichern?

Ja, für die meisten Menschen ist das viel sicherer, als Passwörter mehrfach zu verwenden. Der Tresor ist verschlüsselt und mit Ihrem Master-Passwort gesichert. Schützen Sie es also gut und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Was passiert, wenn ich mein Master-Passwort vergesse?

Das hängt vom Manager ab. Viele bieten einen Wiederherstellungsschlüssel oder Notfallkontakt an. Deshalb sollten Sie diese gleich am ersten Tag einrichten.

Ersetzen Passkeys die Zwei-Faktor-Authentifizierung?

Ein Passkey vereint bereits zwei Faktoren: etwas, das Sie besitzen (Ihr Gerät), und etwas, das Sie sind oder wissen (Fingerabdruck, Gesicht oder PIN). Viele Dienste werten eine Anmeldung per Passkey deshalb allein schon als ausreichend sicher.

Was, wenn ich mein Handy mit meinen Passkeys verliere?

Werden Ihre Passkeys über Ihren Passwort-Manager synchronisiert, sind sie wieder da, sobald Sie sich auf einem neuen Gerät anmelden. Unsere Tipps zur Handy-Sicherheit erklären, was Sie bei Verlust des Handys sonst noch tun sollten.

Einzigartige Passwörter und Passkeys verhindern die meisten Kontoübernahmen. Richten Sie Ihren Passwort-Manager also noch diese Woche ein, angefangen bei Ihrem E-Mail-Konto. Und kommt eine „Sicherheitswarnung“ mit QR-Code, prüfen Sie mit dem kostenlosen Online-QR-Scanner von QR-TH, wohin er wirklich führt, bevor Sie ihn öffnen.