#passwortmanager

Ein stiller Ort

Mein Vater schickt mir eine Mail: Mein Handy ist weg. Jetzt ist guter Rat teuer.

Er hat(te) ein iPhone. Mein erster Gedanke ist: Es gibt da doch eine Möglichkeit, ein Gerät online zu lokalisieren. Ich suche bei Google nach Find My iPhone und versuche, noch bevor ich mich bei ihm melde, mich mit geratenen Daten meines Vaters einzuloggen. Man kann nicht behaupten, dass er für jeden Account ein anderes Passwort verwendet. Aber ich komme nicht rein. Dann geht es nur mit seiner Hilfe.

Ich rufe ihn an und frage nicht mal, ob er das Passwort kennt. Seine Standardpasswörter kenne ich selbst. Wenn es davon keines ist, steht das richtige Passwort nur im Passwortmanager auf dem verloren gegangenen Gerät. Ich fordere daher einen Passwort-Reset an und bitte ihn, auf einem seiner autorisierten Geräte ein neues Passwort zu vergeben. Im dritten Anlauf landet er im richtigen Dialog. Im dritten Anlauf gelingt es ihm, ein ausreichend starkes Passwort („Ihr Passwort enthält keinen Großbuchstaben“) zu vergeben.

Mit dem neuen Passwort logge ich mich problemlos auf der Apple-Seite ein. Bevor ich ihm erkläre, wie das geht, mache ich es lieber schnell selbst. Ich bekomme eine Karte angezeigt und sehe, dass das Handy in einer anderen Stadt ist, ein ganzes Stück vom Wohnort meines Vaters entfernt. Ich zoome rein, die Straßennamen kommen mir verdächtig bekannt vor.

Wo liegt das Handy? Bei seiner Schwester, die er am selben Tag besucht hat – um genau zu sein: auf dem Gästeklo, wie ich nach einem Anruf bei meiner Tante erfahre. Dieses Detail war auf der Karte zugegebenermaßen nicht zu erkennen.

Ich hatte doch damals dieses Cryptogeld verbuddelt. Aber wo genau nochmal?

Abends auf dem Sofa sitzend, denke ich, ist mal wieder an der Zeit sicherzustellen, dass ich noch weiß, wo meine überschaubaren, aber doch nicht ganz unwesentlichen Bestände an Bitcoins und anderen Cryptowährungen lagern. Und wie ich auf sie zugreifen kann, falls nötig. Das habe ich seit mindestens einem Jahr nicht mehr gemacht.

Die Wallet auf dem Rechner ist noch der einfachere Teil – kein Benutzername, nur ein langes Passwort. Aber dann hatte ich ja noch ein Konto bei kraken.com, der vermutlich dienstältesten Bitcoin-Börse, die nicht zwischenzeitlich von fiesen Bundesagenten oder noch fieseren Hackern hochgenommen wurde.

Im Passwort-Manager finde ich den Account-Namen und eine lange, zufällige Zeichenfolge als Passwort. Die gebe ich bei kraken ein und erhalte den Hinweis, dass ich mich von diesem Gerät noch nicht eingeloggt hätte und sie mir deshalb einen Bestätigungscode per Mail geschickt hätten. Nun gut.

Ich gehe diverse Mailaccounts samt Spam-Ordnern durch, finde aber nichts. Ich sehe noch einmal im Passwortmanager nach, und finde dort den Hinweis auf ein Gmail-Konto, das ich extra für solche speziellen Zwecke eingerichtet hatte.

Ich versuche also, mich in dieses Konto einzuloggen, scheine mich aber an das Passwort nicht mehr richtig zu erinnern. Aus Sicherheitsgründen steht es nicht im Passwort-Manager. Das Passwort ist ein ganzer Satz. Ich probiere verschiedene Schreibweisen, aber keine ist die richtige.

Google bietet mir Wiederherstellung per SMS-Code auf mein Telefon an. Ich bekomme also den Code, tippe ihn ein und soll dann ein anderes Mailkonto für weitere Schritte eingeben. Ich nehme mein normales Gmail-Konto, erhalte dann aber eine wenig aussagekräftige Mitteilung, nein, so ginge es nicht.

Mittlerweile fällt mir wieder ein, dass ich dieses Passwort auf einem Zettel notiert hatte, und auch wo dieser Zettel sein könnte. Ich finde das Papier, kann das Passwort in der korrekten Schreibweise eingeben und so die Mail von kraken.com lesen. Der gesendete Code ist natürlich mittlerweile verfallen, aber ich kann mir einen neuen senden lassen und mich damit dann endlich einloggen.

Zwischendurch hatte ich mir schon weitere Sorgen gemacht, weil das kraken-Konto eigentlich mit 2FA gesichert war. Über Google Authenticator auf einem iPhone, das ich nicht mehr nutze. Aber offenbar wertet kraken das mit dem Code per Mail als zweiten Faktor. Trotzdem richte ich den Authenticator mal wieder ein, wofür ich einen QR-Code vom Bildschirm abfotografieren muss, dann auf dem Telefon einen Code angezeigt bekomme, den ich dann wieder auf der kraken-Website eingeben muss.

Angenehme Überraschung nach einer guten halben Stunde Wurschtelei: Ich stelle fest, dass ich insgesamt 0,2 Bitcoins mehr besitze, als ich mir notiert hatte. Wenn das hier so weiter geht, denke ich, kann ich vermutlich in 20 Jahren einem Kind eine Ausbildung davon bezahlen.

Anderntags dann Ernüchterung: Bei dem Gehampel mit kraken hatte ich leider übersehen, dass meine Wallet-Software irgendwie veraltet und nicht mit dem Bitcoin-Netzwerk verbunden war, und deshalb kommentarlos einen falschen "Kontostand" anzeigte.

Ich aktualisiere also zunächst die Electrum-Software, wodurch allerdings der Kontostand auf Null sinkt. Ich habe wohl Ende 2017 den kompletten Inhalt dieser Wallet an eine andere Bitcoin-Adresse überwiesen. Also ich kann nur hoffen, dass ich das war!

Ich stochere auf der Suche nach der aktuelleren Wallet-Datei eine Weile herum, dann erinnere ich mich der Nützlichkeit von Zetteln und krame die Wortliste hervor, die mir die Wiederherstellung der Wallet erlaubt. Und hoffe, dass die sich nicht auch auf die veraltete Version bezieht.

Damit lässt sich tatsächlich eine Wallet wiederherstellen, die genau so viel enthält, wie ich ursprünglich dachte. Später stelle ich dann per Blockchain-Explorer fest, dass ich die Differenz zwischen dem Inhalt der alten und der aktuellen Wallet wohl 2017 auf kraken verkauft (also in Euro getauscht) habe. Ich sollte wirklich mehr von diesen Dingen in so einer Art Technikblog aufschreiben.

Das letzte Passwort

Bei dieser Firma wird Sicherheit groß geschrieben. Alle Passwörter müssen im Passwort-Manager LastPass in der Cloud gespeichert werden. Alle in der Firma bekommen dazu einen Account bei LastPass eingerichtet. Nur ein einziges Passwort muss man sich dann noch merken, das Master-Passwort für den LastPass-Account nämlich. Und das sollte natürlich ein besonders gutes sein.

Ich wähle nach allen Regeln der Kunst ein besonders gutes Passwort und gehe ins Wochenende. Als ich in der nächsten Woche in die Firma zurückkomme, weiß ich das Passwort nur noch so ungefähr. Das reicht leider nicht. Ich komme nicht in den Passwort-Manager.

Hab' ich diesen Buchstaben jetzt groß oder klein geschrieben? Hab' ich das Sonderzeichen x oder y verwendet? Ich habe das Passwort auf einer amerikanischen Tastatur geschrieben – hab' ich eventuell so getippt, als hätte ich an einer deutschen Tastatur gesessen, und darum ein anderes Passwort eingegeben, als ich eigentlich dachte?

Mit allen Unsicherheiten komme ich auf insgesamt sechzehn Möglichkeiten, wie das Passwort gelautet haben könnte. Ich schreibe sie mir in einer Tabelle auf und probiere sie alle durch. Keine davon funktioniert. Natürlich könnte es sein, dass ich mich gerade bei der Möglichkeit, die die richtige gewesen wäre, beim Ausprobieren vertippt habe.

Ich versuche, das Passwort zurückzusetzen, aber aus Sicherheitsgründen ist die Zurücksetzfunktion von der IT-Abteilung gesperrt worden. Kleinlaut schreibe ich ein Ticket an die IT-Abteilung, ob man meinen LastPass-Account eventuell wieder komplett zurücksetzen könnte.

Diesmal schreibe ich mir das Passwort aber auf! Und hefte es an den Bildschirm! Mit einem Post-It!

Von 300 auf 217 Identitäten in einer halben Stunde

Ich habe Urlaub und nutze einen meiner freien Tage, um meinen Passwortmanager aufzuräumen. Ich benutze das Programm (KeePass) seit etwa 2011 und habe in der Zwischenzeit eine ganze Menge Zugangsdaten zu allen möglichen Diensten in meiner Datenbank angesammelt: Foren, Email-Provider, Verträge, Streamingdienste, Kontodaten, Passwörter für Mailinglisten... In meinen insgesamt 9 Kategorien zähle ich fast 300 Einträge.

Bei Accounts, die ich lange nicht genutzt habe, teste ich zunächst, ob die Zugangsdaten überhaupt noch funktionieren. Dabei merke ich, dass eine Reihe Plattformen ihren Namen geändert haben, vor allem Onlineshops. Ich bin erstaunt, dass ungefähr die Hälfte dieser Seiten meine alten Zugangsdaten klaglos akzeptiert.

Bestimmte Accounts habe ich nur angelegt, um mich zu einzelnen Veranstaltungen anzumelden. Ich will diese Accounts jetzt löschen, weil die dazugehörigen Veranstaltungen bereits mehrere Jahre her sind. Auf den meisten Seiten gibt es einen leicht zu findenden Button zum Löschen des Accounts. Auf anderen Seiten finde ich eine Anleitung zum Löschen ("Bitte senden Sie eine Mail mit dem folgenden Betreff und befolgen Sie die Anweisungen..."). Meinen Maxdome-Account lösche ich heute nicht, weil ich dazu einen Live-Chat mit einem Mitarbeiter starten müsste, entschuldigung, darauf habe ich wirklich keine Lust.

Eine der Kategorien im Passwortmanager enthält nur meine Projekte, hauptsächlich Twitter- und Mastodonbots und dazugehörige Zugangsdaten zu verschiedenen Datenquellen. Ich finde einige Bots, deren Accounts nicht mehr existieren, und lösche diese Einträge aus meiner Datenbank. Ansonsten entscheide ich mich, alle erhaltenen Accounts weiter zu behalten, auch wenn sie inzwischen nicht mehr aktiv sind.

Durch meinen Löscheifer schaffe ich es, meine Passwortdatenbank auf 217 Einträge zu reduzieren. Davon haben 64 mit meinen Bots zu tun, 47 mit meiner Arbeit, der Rest gehört zu Verträgen oder zum Themenbereich "Freizeit". Ich frage mich, ob es immer noch Leute gibt, die ohne Passwortmanager leben, und ob diese Leute alle 217 Accounts kennen, die sie im Laufe der Zeit erstellt haben.

Bootstrappen meiner Arbeitsumgebung

Aus Gründen richte ich mir heute einen heimischen Laptop, den ich sonst selten nutze, so ein, dass ich vernünftig damit arbeiten kann. Mein Firmenrechner, den ich in den letzten Jahren fast überall mit mir herumgetragen habe, steht jetzt im Büro und bei Bedarf kann ich mich per VPN darauf einloggen. Auf beiden Maschinen ist Windows 10 installiert.

Fast alle Dienste, die ich nutze, sind ohnehin Server- oder Cloud-basiert. Berufliche Mails lese ich z.B. per outlook.com, private bei Gmail. Ein paar Anwendungen benötige ich aber doch lokal und ich muss mich natürlich auch erst einmal zu den ganzen Diensten und Servern verbinden können.

Auf einem "nackten" Windows-10-Rechner verläuft dieser Prozess folgendermaßen. Ich installiere als erstes Dropbox und melde mich dort an. Nutzernamen und Passwort dafür weiß ich auswendig, könnte sie aber sicherheitshalber auch im Passwortmanager auf meinem Telefon nachschlagen.

In meiner Dropbox liegt die verschlüsselte Datenbank des Passwortmanagers. Diesen muss ich also auch auf den neuen Rechner herunterladen und installieren. Damit kann ich dann die Passwörter nachschlagen, um mich bei Gmail, Facebook, Tumblr (wegen Techniktagebuch) usw. einzuloggen.

Anschließend installiere ich dann noch Notepad++, um diesen Blogbeitrag aufzuschreiben. Und dann noch die Clipboard-Erweiterung CLCL, ohne die ich anscheinend kaum noch in der Lage bin, Texte zu bearbeiten.

Passwortübermittlung im Wandel der Zeit

Seit ca 20 Jahren bekomme ich regelmäßig von Kunden oder anderen Dienstleistern Passwörter übermittelt.

Erst sind Passwörter noch so einfach, dass man sie am Telefon mitteilen kann. Meist handelt es sich um Haustiernamen oder bevorzugte Urlaubsorte und die diktiert man mir einfach.

Auch als sich herumspricht, dass Passwörter nicht einfach aus dem Wörterbuch genommen werden sollten, funktioniert das noch – denn meist wird aus „Sylt“ einfach nur „Sylt2001“ oder „Sylt!“ und auch das kann man gut diktieren.

Dann beginnen die meisten Menschen, willkürliche Buchstabenfolgen zu benutzen und beim Diktieren wird es schwieriger. Ich bekomme also die kompletten Kombinationen aus Benutzername und Passwort in einer E-Mail geschrieben. Niemand verschlüsselt seine E-Mails.

Gelegentlich legt auch jemand den Brief, in dem er selbst die Daten bekommen hat, aufs Fax und schickt mir den kompletten Brief weiter.

Das bleibt viele Jahre so. Nur die Passwörter werden länger und bekommen Groß- und Kleinschreibung und Ziffern und dann auch andere Sonderzeichen als das schon lange benutzte Ausrufezeichen.

Etwa 2016 merken die ersten Kunden, dass so eine E-Mail mit einem kompletten Satz Zugangsdaten in den falschen Händen ja ein ziemlicher GAU wäre. Sie beginnen, die Benutzernamen in eine E-Mail und das dazugehörige Passwort in eine SMS zu schreiben.Ich bin sehr froh, dass ich SMS auf dem Mac auch am Computer bekomme und etwas wie „hH65xcX0oT/JuU#45qD“ nicht abtippen muss, sondern kopieren/einfügen kann.

Weil sich so etwas ja eh niemand merken kann benutze ich selbst inzwischen einen Passwort-Manager.

2019 erlebe ich den nächsten großen Schritt zu mehr Sicherheit: Statt einer Nachricht mit Zugangsdaten bekomme ich eine Einladung über die Team-Funktion des Passwort-Managers meines Kunden. Zum Glück ist es der gleiche, den ich auch benutze und ich muss nichts neues installieren.

Ich klicke also einen Link an, melde mich mit meinen Daten im Passwort-Manager an und trete so dem Team des anderen Dienstleisters bei. Und dann habe ich die Zugangsdaten einfach direkt in meinem Passwort-Manager.

Passwörter wandern also nicht mehr im Klartext durchs Netz, sondern liegen in der Cloud. Ich bin gespannt, wie lange das als sicherer empfunden wird und beobachte weiter.

#2017 #Beste #Bewertungen #PasswortManager #TopProdukte #ComputerSoftware

Beste Passwort-Manager 2017: Bewertungen der top-Produkte

Wir sind furchtbar Passwörter. Wir saugen an, Sie zu erstellen (die oberen beiden beliebtesten bleiben „123456“ und „password“), teilen wir Ihnen die Möglichkeit, zu frei, und wir vergessen die ganze Zeit. Ja, genau die Sache, die sicherstellen können, dass unsere online-Sicherheit hat sich aus...