KDE Wallet verlangt bei jeder Anmeldung ein Passwort? So lässt du die Brieftasche über PAM automatisch mit dem Login entsperren – oder schaltest sie ab.
Aufwand:
ca. 10 Min.
Voraussetzung:
Terminal, sudo-Rechte, KWallet-Verwaltung
Das Symptom
Kaum angemeldet, poppt ein Fenster auf: „Die Anwendung … möchte die
Brieftasche ‘kdewallet’ öffnen. Bitte geben Sie das Passwort ein.“ Du tippst es
ein, es funktioniert – und beim nächsten Start ist das Fenster wieder da. Jede
Sitzung dieselbe Nachfrage, obwohl du dich doch gerade erst mit Passwort
angemeldet hast.
Die „Layer 8“-Wahrheit
KWallet ist nicht kaputt, es macht genau das, wofür es gebaut wurde: Es
verschlüsselt deine gespeicherten Passwörter – WLAN, E-Mail, mehr – hinter einer
eigenen Passphrase, und diese Passphrase muss pro Sitzung einmal eingegeben
werden. Der Haken: Standardmäßig weiß dein Login nichts von der Brieftasche, also
fragt die Brieftasche selbst nach. Die elegante Lösung ist nicht, KWallet
abzuschalten, sondern die beiden Passwörter zu koppeln: Setzt du die
Brieftasche auf dasselbe Passwort wie dein Benutzerkonto, kann das PAM-Modul
pam_kwallet5 sie beim Anmelden gleich mit entsperren – du gibst dein Passwort
dann nur noch einmal ein, nämlich beim Login. Das ist kein Trick, sondern der
vorgesehene Weg. Wer stattdessen ein leeres Wallet-Passwort vergibt, hat die
Nachfrage zwar weg, aber auch die Verschlüsselung – und speichert seine Zugänge
faktisch offen. Bequemlichkeit ja, aber nicht um diesen Preis.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Wallet-Passwort gleich dem Login-Passwort setzen
Das automatische Entsperren funktioniert nur, wenn die Brieftasche exakt dasselbe Passwort hat wie dein Benutzerkonto. Öffne die KWallet-Verwaltung (kwalletmanager), wähle die Standard-Brieftasche 'kdewallet' und ändere ihr Passwort auf dein Login-Passwort. Eine leere Passphrase schaltet die Verschlüsselung ab und ist keine Lösung.
2.
Das PAM-Modul installieren
Das automatische Entsperren übernimmt das PAM-Modul der Brieftasche. Falls es fehlt, installiere es – das Paket heißt je nach Distribution etwa kwallet-pam. Prüfe zunächst, ob das Modul schon vorhanden ist:
ls /usr/lib*/security/pam_kwallet5.so
3.
PAM für den Login-Manager konfigurieren
Damit die Brieftasche beim Anmelden entsperrt wird, muss das Modul in der PAM-Konfiguration des Login-Managers stehen. Bei SDDM sind die Zeilen laut ArchWiki bereits in /etc/pam.d/sddm eingetragen, also zuerst nachsehen, statt sie doppelt anzulegen. Fehlen sie, eine auth- und eine session-Zeile ergänzen. Unter Plasma 6 braucht die session-Zeile den Zusatz kwalletd=/usr/bin/ksecretd, weil Plasma 6 ksecretd statt kwalletd5 benutzt; ohne ihn greift das Modul laut ArchWiki auf das alte kwallet5 zurück. Die Zeile ohne Zusatz ist die Form für Plasma 5. Das Wiki kennzeichnet seinen Plasma-6-Abschnitt allerdings selbst als umstritten: Die PAM-Einrichtung sei womöglich gar nicht nötig. ACHTUNG: Ein Tippfehler in einer PAM-Datei kann dich aussperren – arbeite mit sudo und halte ein zweites, bereits offenes Terminal bereit:
# erst nachsehen, ob die Zeilen schon da sind:
grep pam_kwallet5 /etc/pam.d/sddm
# nur wenn nichts erscheint, in /etc/pam.d/sddm ergänzen (Plasma 6):
auth optional pam_kwallet5.so
session optional pam_kwallet5.so auto_start kwalletd=/usr/bin/ksecretd
# Plasma 5: session-Zeile ohne kwalletd=…
4.
Abmelden und neu anmelden
Die PAM-Änderung greift erst bei einer frischen Anmeldung. Melde dich komplett ab und wieder an – jetzt sollte die Brieftasche unbemerkt mit dem Login entsperrt werden, ohne separate Nachfrage.
5.
Alternative: KWallet ganz abschalten
Willst du KWallet gar nicht nutzen, deaktiviere es in den Systemeinstellungen unter 'KDE-Passwortspeicher' → Haken bei 'KDE-Passwortspeicher-Unterstützung aktivieren' entfernen. Beachte: Anwendungen wie das WLAN-Applet speichern ihre Passwörter dann eventuell im Klartext oder fragen jedes Mal neu.
Häufige Fragen (FAQ)
?Warum fragt KWallet überhaupt nach einem eigenen Passwort?
KWallet ist der Passwortspeicher von KDE – hier legen WLAN-Verbindungen, das E-Mail-Programm und andere Anwendungen ihre Zugangsdaten verschlüsselt ab. Diese Brieftasche ist mit einem eigenen Passwort gesichert und muss pro Sitzung einmal entsperrt werden. Standardmäßig ist das ein separates Passwort, weshalb du beim ersten Zugriff nach jeder Anmeldung danach gefragt wirst.
?Ist das automatische Entsperren ein Sicherheitsrisiko?
Nur bedingt. Damit PAM die Brieftasche mit deinem Login entsperren kann, muss das Wallet-Passwort gleich deinem Anmeldepasswort sein. Deine gespeicherten Passwörter sind dann genau so gut geschützt wie dein Benutzerkonto – wer sich mit deinem Login anmeldet, kommt ohnehin an alles. Für die meisten Einzelplatz-Rechner ist das ein vertretbarer Kompromiss; auf einem geteilten oder besonders schützenswerten System kann die zusätzliche Nachfrage gewollt sein.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.