Ein Hauptkennwort im Manager statt zwanzig ausgedachter
Zwanzig selbst erfundene Kennwörter sind schwächer als eines im Tresor. Was der Manager löst – und was passiert, wenn das Hauptkennwort weg ist.
Aufwand:
ca. 1 Std.
Voraussetzung:
Passwortmanager, Drucker oder Stift für das Notfallblatt, Verschließbares Fach zu Hause
Gilt für:
Private Konten, Dienstliche Konten mit erlaubtem Manager
Das Symptom
Der Kopf verwaltet inzwischen dreißig Zugänge. Er tut es, indem er ein einziges Muster
variiert: ein Grundwort, dazu der Name des Dienstes, hinten die Jahreszahl. Bei jeder
Anmeldung folgen zwei Fehlversuche, dann klappt es. Und in regelmäßigen Abständen
klickt jemand auf Kennwort vergessen, weil das Muster diesmal anders war.
Die „Layer 8“-Wahrheit
Die verbreitete Sorge lautet: Alles an einer Stelle, das kann nicht gut sein. Die
Sorge ist nachvollziehbar, aber sie vergleicht mit einem Zustand, der nie existiert
hat. Niemand merkt sich dreißig verschiedene, wirklich starke Kennwörter. Was Menschen
stattdessen tun, ist gut untersucht und vollkommen menschlich: Sie bauen ein System.
Und ein System ist genau das, was ein Angreifer sucht – wer ein Kennwort aus einem
Datenleck hat, kennt damit die Regel und probiert die anderen neunundzwanzig durch.
Der Manager dreht die Aufgabe um. Statt dreißig mittelmäßiger Geheimnisse gibt es ein
einziges, dafür wirklich gutes – und dreißig zufällige Zeichenketten, die niemand
kennen muss, auch man selbst nicht. Das ist keine Bequemlichkeitslösung, sondern die
einzige Bauweise, in der die üblichen Ratschläge überhaupt einhaltbar sind. Deshalb
steht die Empfehlung beim BSI, und deshalb verpflichtet NIST die Dienste, Manager und
automatisches Ausfüllen zuzulassen, statt sie mit abgeschalteter Einfügefunktion zu
sabotieren. Nebenbei fällt dabei der Aberglaube um, ein gutes Kennwort brauche
Sonderzeichen und einen Wechsel im Quartalstakt: NIST untersagt Prüfstellen beides
ausdrücklich.
Bleibt die eine Frage, die der Manager wirklich neu aufwirft und die kein Anbieter
gern hervorhebt: Was, wenn das Hauptkennwort weg ist? Dann ist es weg. Wer den Tresor
so verschlüsselt, dass der Anbieter nicht hineinsehen kann, hat ihn eben auch für den
Anbieter geschlossen – das ist kein Fehler, sondern das ganze Prinzip. Genau deshalb
gehört zum Einrichten eines Managers ein Schritt, der sich in dem Moment sinnlos
anfühlt, in dem man ihn tut: ein ausgedrucktes Notfallblatt, an einem Ort, an dem man
es in zwei Jahren wiederfindet. Wer diesen Schritt auslässt, hat kein Sicherheitsnetz
gespannt, sondern nur seine Ausfallwahrscheinlichkeit an einer Stelle gebündelt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Einen Manager wählen und alles hineinräumen
Erst wenn wirklich alles im Tresor liegt, hört das Ausdenken auf. Also einmal durch: die im Browser gespeicherten Zugänge exportieren und importieren, die Zettel abtippen, die Konten aus dem Gedächtnis nachtragen. Das ist die unangenehme Stunde, die den Rest der Sache trägt. Wer nur die Hälfte einträgt, hat weiterhin zwei Systeme und nutzt am Ende keines.
2.
Ein langes Hauptkennwort bauen, das man sich merken kann
Mehrere zufällig gewählte Wörter schlagen ein kurzes Kryptogramm – NIST fordert für einfaktorige Kennwörter mindestens 15 Zeichen und untersagt Zusammensetzungsregeln ausdrücklich. Zufällig heißt: gewürfelt, nicht ausgedacht. Der folgende Befehl zieht sechs Wörter aus der Systemwortliste, sofern eine installiert ist (unter Debian und Ubuntu das Paket wamerican, unter Fedora words):
python3 -c "import secrets; w=open('/usr/share/dict/words').read().split(); print(' '.join(secrets.choice(w) for _ in range(6)))"
3.
Den Tresor mit einem zweiten Faktor absichern
Das Hauptkennwort ist der Schlüssel zu allem, also gehört genau dorthin der stärkste zweite Faktor, den der Manager anbietet – ein Sicherheitsschlüssel oder eine Authenticator-App, nicht die SMS. NIST verlangt von den Diensten die andere Hälfte dieser Rechnung und schreibt vor: „Verifiers SHALL allow the use of password managers and autofill functionality.“ Ein Dienst, der das Einfügen aus dem Manager blockiert, arbeitet gegen die eigene Sicherheit.
4.
Den Notfall einrichten, bevor er eintritt
Das ist der Schritt, den fast alle überspringen, und der einzige, der später zählt. Wiederherstellungsschlüssel oder Notfallblatt des Managers ausdrucken, nicht abfotografieren. Ab damit in einen verschlossenen Ordner zu Hause oder ins Bankschließfach – zusammen mit den Wiederherstellungscodes der Zwei-Faktor-Anmeldung. Ein Zettel im Geldbeutel ist kein Notfallplan, ein Zettel im Aktenschrank sehr wohl.
5.
Aufhören, Kennwörter selbst zu erfinden
Ab jetzt erzeugt der Generator des Managers jedes einzelne Kennwort, und niemand merkt sich mehr eines davon. Bei der Gelegenheit die Wiederverwendungen aufräumen: Die meisten Manager haben eine Prüfung, die doppelt genutzte und zu kurze Einträge auflistet. Diese Liste ist die eigentliche Arbeitsliste – sie abzuarbeiten bringt mehr als jede Regel über Sonderzeichen.
6.
Eine Sicherung des Tresors anlegen und sie prüfen
Ein Tresor, der nur in einer Cloud liegt, ist so verfügbar wie dieser Dienst. Ein verschlüsselter Export auf einem eigenen Datenträger schließt die Lücke – aber nur, wenn er hinterher einmal testweise geöffnet wurde. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Behauptung, keine Sicherung. Danach gehört sie an denselben Ort wie das Notfallblatt.
7.
Wenn das Hauptkennwort trotzdem weg ist: nicht raten, sondern zurücksetzen
Erst prüfen, ob noch ein Gerät angemeldet ist – dort lässt sich der Tresor oft noch öffnen und exportieren, solange man ihn nicht abmeldet. Danach das Notfallblatt suchen. Führt beides ins Leere, bleibt der mühsame Weg: Konto für Konto über die Kennwort-vergessen-Funktion des jeweiligen Dienstes zurücksetzen, beginnend mit dem E-Mail-Postfach, weil daran fast alle anderen hängen.
Häufige Fragen (FAQ)
?Ist es nicht gefährlich, alle Kennwörter an einer einzigen Stelle zu haben?
Die Frage vergleicht mit der falschen Alternative. Verglichen wird nicht mit „hundert perfekte, auswendig gelernte Kennwörter“, sondern mit dem, was ohne Manager tatsächlich passiert: dasselbe Kennwort in Varianten, überall. Genau das ist der Weg, auf dem ein einziges geknacktes Konto alle anderen mitnimmt. Das BSI empfiehlt deshalb ausdrücklich: „Nutzen Sie einen Passwortmanager, um Ihre unterschiedlichen Passwörter gut verwalten zu können – und Ihr starkes Passwort, um diesen abzusichern.“ Ein Tresor ist ein einzelner Angriffspunkt, ja. Er ist aber ein verschlüsselter, mit zweitem Faktor abgesicherter Angriffspunkt statt hundert unverschlüsselter.
?Was passiert, wenn ich das Hauptkennwort vergesse?
Bei Managern, die den Tresor mit dem Hauptkennwort auf dem eigenen Gerät verschlüsseln, kann der Anbieter es nicht zurücksetzen: Er kennt es nicht und kann den Inhalt nicht lesen. Genau diese Eigenschaft, die den Tresor schützt, macht das Vergessen endgültig. Was in diesem Fall bei deinem Manager noch möglich ist – Wiederherstellungsschlüssel, Notfallkontakt, ein noch angemeldetes Gerät –, steht in dessen Dokumentation und muss eingerichtet sein, bevor es gebraucht wird. Hinterher ist es keine Einstellung mehr, sondern ein Verlust.
?Muss das Hauptkennwort besonders kompliziert sein und regelmäßig gewechselt werden?
Lang ja, kompliziert nein, turnusmäßig gewechselt schon gar nicht. Die US-Normungsbehörde NIST verlangt in SP 800-63B, Abschnitt Password Verifiers, für einfaktorige Kennwörter „a minimum of 15 characters in length“ und verbietet den Prüfstellen im selben Abschnitt beides: „Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.“ und „Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically.“ Für ein Hauptkennwort heißt das: mehrere zufällige Wörter, wirklich zufällig gewählt, nicht der Name des Hundes mit angehängtem Ausrufezeichen.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.