Glossar für Passwortmanager: Begriffe, die Sie vor der Wahl verstehen sollten

Ein Passwortmanager kann dabei helfen, Zugangsdaten zu speichern und für verschiedene Dienste unterschiedliche Passwörter zu verwenden, ohne sich alles merken zu müssen. Er ersetzt jedoch weder die Sicherheitsmaßnahmen der Websites, auf die Sie zugreifen, noch entscheidet er für Sie, was zu tun ist, wenn Sie ein Gerät verlieren, Ihr Hauptpasswort vergessen oder jemand die Kontrolle über Ihr Konto übernimmt. Die App ist nur ein Glied in einer Kette: Auch Anmeldemethode, autorisierte Geräte, Wiederherstellung und Datensynchronisierung sind wichtig. Deshalb sollte man den Manager im Zusammenhang mit der eigenen Nutzung betrachten, nicht als alleinstehende Sicherheitslösung.

Es ist sinnvoll, den Schutz gespeicherter Zugangsdaten vom Schutz des Passwortmanager-Kontos zu unterscheiden. Ein verschlüsselter Tresor kann es anderen erschweren, Daten zu lesen, wenn sie eine Kopie erhalten. Das allein belegt aber nicht, dass Anmeldung, Wiederherstellung oder Apps des Anbieters Ihren Anforderungen entsprechen. NIST beschreibt Authentifizierung als den Prozess, bei dem geprüft wird, ob die zugreifende Person die einer Identität zugeordneten Authentifikatoren kontrolliert. Die Richtlinien richten sich an digitale Identitätssysteme und zertifizieren keine bestimmten kommerziellen Passwortmanager. NIST SP 800-63B.

Die Definitionen in diesem Glossar sollen technische Begriffe daher in konkrete Prüffragen übersetzen, nicht einen Produktsieger bestimmen. Die genannten Quellen dokumentieren Konzepte und allgemeine Empfehlungen; sie vergleichen weder alle verfügbaren Manager noch bestätigen sie das Verhalten einer bestimmten Version. Ein auffälliger Funktionsname ersetzt keine Erklärung des Mechanismus, seiner Ausnahmen und der Folgen eines Zugriffsverlusts. Suchen Sie beim Vergleich nach nachvollziehbaren Angaben zum tatsächlichen Ablauf, statt sich auf Bezeichnungen zu verlassen.

Ein Tresor ist der digitale Bereich, in dem beispielsweise Benutzernamen und Passwörter organisiert werden und je nach Dienst weitere Daten liegen können. Fragen Sie, welche Informationen er unterstützt, wie er gesperrt wird und was mit einer offenen Sitzung geschieht, wenn ein Gerät verloren geht. Der Begriff garantiert nicht, dass alle Einträge auf dieselbe Weise verschlüsselt sind, sämtliche Metadaten geschützt werden oder Inhalte nur auf einem Gerät vorhanden sind. Diese Einzelheiten hängen von der Architektur und Dokumentation des Anbieters ab. Prüfen Sie daher, was die Bezeichnung Tresor in der konkreten Umsetzung tatsächlich umfasst.

Verschlüsselung wandelt Daten so um, dass sie ohne das erforderliche kryptografische Material nicht gelesen werden können. „Ende-zu-Ende-Verschlüsselung“ bedeutet üblicherweise, dass Daten so geschützt werden, dass der Anbieter ihren Inhalt nicht lesen können sollte. Prüfen Sie dennoch, wie sie angewendet wird: vor oder nach der Synchronisierung, auf welchen Geräten und welche Informationen davon ausgenommen sind. Auch eine Aussage über „Zero Knowledge“ ist nicht automatisch gleichbedeutend mit vollständiger Sicherheit. Suchen Sie eine verständliche technische Erklärung, klären Sie, welche Geheimnisse der Nutzer kontrolliert, und verstehen Sie, welche Möglichkeiten der Dienst für den Betrieb oder die Kontowiederherstellung behält. Der Name einer Technik beschreibt nicht alle Einzelheiten des Systems.

Das Hauptpasswort – bei manchen Produkten auch Master-Passwort genannt – ist das Geheimnis, mit dem der Tresor entsperrt oder aus dem die zu seinem Schutz dienenden Schlüssel abgeleitet werden können. Es ist nicht einfach ein weiteres Passwort in der Liste: Sein Verlust kann andere Folgen haben als der Verlust des Passworts für ein Webkonto. Fragen Sie vor der Wahl, ob der Anbieter es zurücksetzen kann, ob es eine Wiederherstellungsphrase gibt und welche Daten in den einzelnen Szenarien verloren gehen oder verfügbar bleiben. Ein komfortabler Zurücksetzungsprozess und die Möglichkeit eines Eingreifens durch Dritte können unterschiedliche Kompromisse bedeuten. Gehen Sie nicht von einer Wiederherstellung ohne Datenverlust aus, sondern prüfen Sie den dokumentierten Ablauf.

Mehr-Faktor-Authentifizierung (MFA) verlangt mehr als einen Faktor, um eine Identität zu überprüfen. Praktisch können diese Faktoren auf etwas beruhen, das man weiß, besitzt oder ist – etwa einem biometrischen Merkmal. Ein zusätzlicher Schritt kann die Abhängigkeit von einem offengelegten Passwort verringern, doch die Methoden bieten nicht alle dasselbe Nutzungserlebnis oder dieselben Eigenschaften gegenüber Angriffen. CISA empfiehlt MFA als zusätzlichen Schutz über ein Passwort hinaus; daraus folgt nicht, dass jede aktivierte Option das Risiko beseitigt. Überlegen Sie auch, was passiert, wenn das üblicherweise verwendete Gerät nicht verfügbar ist. CISA: More than a Password.

Beim Vergleich von Managern sollten Sie MFA zum Öffnen des Manager-Kontos von MFA unterscheiden, die das Produkt speichert oder bei der Verwendung mit anderen Diensten unterstützt. Fragen Sie, welche Methoden unterstützt werden, ob Wiederherstellungscodes verfügbar sind und was geschieht, wenn Sie Ihr Telefon oder Authentifizierungsgerät verlieren. OWASP behandelt in seinen Authentifizierungsleitlinien Themen wie Anmeldung und sichere Wiederherstellung getrennt. Die Leitlinien dienen als Designreferenz, nicht als Zertifizierung eines bestimmten Anbieters. Diese Unterscheidung ist wichtig, weil die Schutzmöglichkeiten für das Manager-Konto nicht unbedingt denen entsprechen, die der Manager für andere Zugangsdaten bietet. OWASP Authentication Cheat Sheet.

Passkeys sind Anmeldeinformationen, mit denen Sie sich ohne Eingabe eines herkömmlichen Passworts anmelden können. Dafür nutzen sie kompatible Funktionen von Gerät, Plattform und Dienst. Sie sind nicht einfach ein in einem Tresor gespeichertes Passwort. Google beschreibt ihre Verwendung und nennt Unterstützung unter Android und Chrome. Ob sie praktisch verfügbar sind, hängt jedoch von der Umgebung, dem Dienst und der Speicherung oder Synchronisierung der Zugangsdaten ab. Fragen Sie, ob der Manager Passkeys speichern oder synchronisieren kann, auf welchen Plattformen das funktioniert und welche Alternative beim Wechsel in ein anderes Ökosystem besteht. Prüfen Sie die Kompatibilität mit Ihren eigenen Geräten und Diensten. Google: Passkeys und unterstützte Umgebungen.

Wiederherstellung bezeichnet die Möglichkeiten, wenn Sie den Tresor nicht entsperren oder sich nicht anmelden können. Dazu können Wiederherstellungscodes, bereits autorisierte Geräte, die Hilfe einer Kontaktperson oder ein vom Anbieter verwaltetes Verfahren gehören; diese Möglichkeiten sind nicht gleichwertig. Finden Sie heraus, ob die Wiederherstellung den Zugriff auf dieselben Daten ermöglicht, ob ein anderes Gerät verfügbar bleiben muss und ob sich dadurch das Datenschutz- oder Vertrauensmodell ändert. Wenn der Dienst den Ablauf nicht klar erklärt, sollten Sie nicht davon ausgehen, dass der Support den Inhalt zurückgeben kann. Eine konkrete Beschreibung der Schritte und Folgen ist aussagekräftiger als ein allgemeines Versprechen.

Synchronisierung macht Informationen auf mehreren Geräten verfügbar. Zugleich stellt sich die Frage, was übertragen wird, wo die Verarbeitung stattfindet und wie synchronisierte Kopien geschützt sind. Verwechseln Sie „wird synchronisiert“ nicht mit „es gibt eine wiederherstellbare Sicherung“. Fragen Sie, was geschieht, wenn Sie einen Eintrag auf einem Gerät löschen, ob Änderungen weitergegeben werden und wie Sie Ihre Daten exportieren oder aufbewahren können. NIST SP 800-63B enthält Hinweise zu synchronisierbaren Authentifikatoren, richtet sich aber an Anbieter von Zugangsdiensten und Authentifizierungssysteme. Sie ist keine Bewertung eines bestimmten Passwortmanagers. Allgemeine Hinweise zu einer Kategorie von Authentifikatoren belegen nicht, wie ein konkretes kommerzielles Produkt die Synchronisierung umsetzt. NIST SP 800-63B, Anhang zu synchronisierbaren Authentifikatoren.

Notfallzugriff bezeichnet meist Verfahren, mit denen eine andere Person unter bestimmten Bedingungen Zugriff erhalten kann. Die Bezeichnung allein sagt nicht, wer ihn beantragen darf, wie lange die Wartezeit ist, ob der Nutzer den Antrag ablehnen kann oder welche Daten offengelegt werden. Lesen Sie den vollständigen Ablauf aus beiden Perspektiven und bedenken Sie mögliche Folgen bei Verlust der Entscheidungsfähigkeit, Streitigkeiten oder einer Veränderung der Beziehung. Wenn Sie diese Funktion benötigen, prüfen Sie, ob sie auf bestimmte Einträge beschränkt und widerrufen werden kann, ohne von einer unerreichbaren Kontaktperson abhängig zu sein. Machen Sie sich mit den Bedingungen vertraut, bevor Sie sich darauf verlassen.

Ein sinnvoller Vergleich beginnt bei Ihrer eigenen Situation: den verwendeten Betriebssystemen und Browsern, der Anzahl der Geräte, einem möglichen Bedarf zum Teilen von Zugangsdaten und Ihrer Bereitschaft, von einem Cloud-Konto abhängig zu sein. Vergleichen Sie anschließend die dokumentierten Angaben des Anbieters, nicht nur die Funktionsnamen. Behauptet er, vor der Synchronisierung zu verschlüsseln, prüfen Sie, welche Informationen ausgenommen sind und wie der Schlüssel verwaltet wird. Wird eine Wiederherstellung angeboten, klären Sie, ob die Daten erhalten bleiben und welche Befugnisse der Anbieter oder die benannte Kontaktperson hat. Konkrete schriftliche Angaben erleichtern einen sachlichen Vergleich.

Mit dieser Liste können Sie den Vergleich auf überprüfbare Fragen konzentrieren:

• Welche Daten speichert der Tresor, und welche Kategorien sind von der beschriebenen Verschlüsselung ausgenommen?
• Wie entsperre ich das Konto, und welche MFA- oder Passkey-Optionen sind auf meinen Geräten verfügbar?
• Welche Wiederherstellungsoptionen gibt es, und was geschieht jeweils mit den Daten?
• Kann ich meine Zugangsdaten in einem nutzbaren Format exportieren und das Konto schließen, ohne die Kontrolle über die Daten zu verlieren?
• Welche Plattformen, Browser und Funktionen benötige ich, und wo sind ihre Einschränkungen dokumentiert?
• Was kostet der benötigte Tarif in meinem Markt, und welche Bedingungen ändern sich, wenn ich nicht mehr bezahle?

Prüfen Sie vor der Anmeldung die tatsächliche Kompatibilität mit den Geräten und Browsern, die Sie verwenden. Eine allgemeine Verfügbarkeitsseite garantiert nicht, dass jede Funktion in jeder Version vorhanden ist. Googles Dokumentation zu Passkeys zeigt beispielsweise, warum es sinnvoll ist, Plattform und Umgebung zu überprüfen, statt Kompatibilität als universell anzunehmen. Wenn Sie auf ein bestimmtes Betriebssystem angewiesen sind, prüfen Sie auch Erweiterungen, biometrisches Entsperren und plattformübergreifende Synchronisierung. Achten Sie auf Angaben, die zu Ihrer konkreten Konfiguration passen.

Prüfen Sie Export und Ausstieg mit derselben Sorgfalt wie die Anmeldung. Finden Sie heraus, ob beim Export wichtige Felder erhalten bleiben, ob sich die Datei außerhalb des Managers lesen lässt und wie Sie sie anschließend sicher löschen. Prüfen Sie die Preise für Ihr Wohnsitzland und unterscheiden Sie zwischen enthaltenen Funktionen, Gerätebegrenzungen sowie Familien- und Unternehmenstarifen. Die Dokumentation der genannten Quellen enthält keine Preis- oder Verfügbarkeitsangaben zu kommerziellen Produkten. Ohne eine Anbieterquelle und ein Beobachtungsdatum wäre es daher nicht angemessen, solche Angaben abzuleiten oder einen Preis als aktuell darzustellen. Bestätigen Sie diese Details direkt beim Anbieter.

Richten Sie Ihre endgültige Entscheidung an den Anforderungen aus, deren Ausfall Sie am stärksten treffen würde: Verlust des Hauptpassworts, neues Telefon, Nichtverfügbarkeit des Dienstes oder die Notwendigkeit, Zugriff zu teilen. Vergleichen Sie aktuelle schriftliche Antworten statt vager Versprechen. Ein Manager kann es erleichtern, unterschiedliche Zugangsdaten zu pflegen und Zugriffe zu organisieren. Ihre Wahl sollte aber auch Wiederherstellung, unterstützte Plattformen und die Möglichkeit eines Anbieterwechsels berücksichtigen. Der beste Vergleich ist keine abstrakte Punktzahl, sondern das Wissen darum, was in den Situationen geschieht, die Ihnen wirklich wichtig sind.