Update: 773 Millionen Benutzerkonten aufgetaucht
Wie heise.de heute (17.01.2019) berichtet, ist im Internet eine Liste mit rund 773 Millionen gehackten Benutzerkonten aufgetaucht.
Lest euch den Artikel mal durch und schaut nach, ob eure Benutzerkonten betroffen sind. Solltet ihr für jedes Konto ein eigenes Passwort nutzen, seid ihr hier schon mal im Vorteil gegenüber all denjenigen, die einunddassselbe Kennwort überall verwenden
Wofür überhaupt ein Passwort-Manager?
Dass man nicht für alle möglichen Webseiten, E-Mail-Adressen usw. das gleiche Passwort/Kennwort nutzen sollte, dürfte mittlerweile eigentlich jedem klar sein. Sich daran zu halten ist aber noch mal ’ne ganz andere Sache. Wie nachlässig User mit ihren Kennwörtern sind zeigt, dass auch 2018 wieder mal „123456“ das am häufigsten genutzte Passwort im Internet war!
Warum vernünftige und unterschiedliche Passwörter so wichtig sind, zeigt das folgende Szenario:
Euer Mail-Account oder sogar der komplette Anbieter wurde gehackt, euer Passwort ist dem Angreifer nun also bekannt. So etwas ist übrigens keine Seltenheit! Das gleiche Passwort nutzt ihr auch bei verschiedenen anderen Diensten im Netz, für Facebook, weitere E-Mail-Adressen oder euren Instagram-Account. Mit den erbeuteten Daten kann kann der Angreifer dann auch gleich auf alle möglichen anderen Dienste zugreifen. In eurem Namen auf Facebook posten, vielleicht weitere E-Mail-Adressen abfragen, bei Online-Shops einkaufen usw., alles kein Problem. Da ihr ja über alles mögliche Benachrichtigungen in eure Mailbox erhaltet, weiß der Angreifer auch gleich, wo es sonst vielleicht noch etwas abzugrasen gibt, Online-Shops, …
Das ist nur ein Beispiel und je einfacher euer Kennwort zu erraten ist, desto schneller kann euch so etwas passieren!
Was bringt mir da ein Passwort-Manager?
Ein Passwort-Manager erfüllt im Prinzip drei Funktionen.
- Generierung von zufälligen und sicheren Passwörtern für verschiedene Dienste wie Webseiten, E-Mail-Accounts, Online-Banking, Programme, usw.
- Verwaltung und Bereitstellung der erstellten Passwörter in einer geschützten Anwendung bzw. verschlüsselten Datenbank
- Die gespeicherten Zugangsdaten könnt ihr einfach und schnell vom Passwort-Manager in Anmelde-Formulare auf Websites und in Programmen einfügen lassen
Der Vorteil liegt auf der Hand. Ihr braucht euch nur noch ein einziges, zugegebenermaßen kompliziertes Kennwort merken. Mit diesem einen Kennwort entsperrt ihr sozusagen alle anderen. Außerdem braucht ihr eure Benutzernamen und Kennwörter nicht mehr händisch eintippen, um euch irgendwo anzumelden.
Meine Empfehlung: KeePass 2
Seit einer Ewigkeit schon nutze ich KeePass, früher Version 1, mittlerweile auch schon länger Version 2.
Das Programm ist Open Source, was bedeutet, dass jeder mit entsprechendem Fachwissen den Quellcode einsehen, kontrollieren, daran mitarbeiten und das Programm verbessern kann. Das hat nur Vorteile: Das Programm kann unabhängig von einem Anbieter weiter entwickelt werden und Sicherheitslücken fallen so viel schneller auf. Es ist also sicherer!
KeePass läuft auf so ziemlich jedem System! Das Original gibt es zwar nur für Windows, allerdings wurden von anderen Entwicklern Versionen für MacOS, iOS, Linux, Android, usw. entwickelt. So könnt ihr auf nahezu jedem System auf eure Kennwörter zugreifen! Toll, oder? 🙂
Außerdem gibt es für KeePass jede Menge Plugins, also Erweiterungen für die verschiedensten Zwecke. Dazu aber vielleicht in einem späteren Artikel mal mehr, hier soll es nur um die ersten Schritte gehen.
KeePass (1.x / 2.x) speichert sämtliche Accounts in einer verschlüsselten Datenbank ab. Ihr müsst euch künftig also nur noch ein einziges Kennwort merken, nämlich das, mit dem ihr den Passwort-Manager selbst öffnet. Es gibt kein Hintertürchen, doch wieder an die Daten zu kommen, wenn ihr das Kennwort vergessen solltet! Solltet ihr es vergessen/verlieren, habt ihr also ein Problem, deshalb solltet ihr euch das Mastter-Kennwort an einem sicheren(!) Ort hinterlegen. Das ist natürlich nicht auf eurem Computer oder im Smartphone, sondern z. B. daheim auf einem Zettel im Safe, bei euren wichtigen Unterlagen, … Natürlich ohne einen Hinweis à la „Master-Kennwort KeePass“, denn über den würden sich auch Einbrecher freuen! 😉
Außerdem sollte das Master-Kennwort entsprechend komplex sein. Wenn ihr euch ein Kennwort mit 15 Zeichen ausdenkt, dann seid ihr auf jeden Fall auf der sicheren Seite! Vielleicht so etwas wie: (EuerGeburts-.NamederKatze.GeburtsjahrdesGeschwisterchens.MädchennameDerMutter.Ort)
Natürlich soll das Beispiel nur als Anregung dienen! Denkt euch bitte selbst etwas entsprechendes aus!
Los geht’s – Die Einrichtung des Passwortmanagers KeePass 2.x
Ladet euch die aktuellste KeePass-Version (derzeit 2.41, Stand 09.01.2019) von der offiziellen Webseite herunter. Es gibt eine Version zur regulären Installation und eine, die ohne Installation direkt gestartet werden kann. Im Normalfall fahrt ihr mit der zu installierenden Version gut, dann habt ihr auch gleich die entsprechenden Verknüpfungen im Startmenü bzw. auf dem Desktop usw.
Nach der Installation (oder dem Entpacken der Zip-Datei) startet ihr das Programm. Über den Knopf oben links oder die Tastenkombination „Strg + N“ erstellt ihr eine neue Datenbank. Die folgenden Schritte beschreibe ich direkt in den Screenshots.
Einstellungssache – KeePass an eure Bedürfnisse anpassen
Sprache
Beim ersten Start ist KeePass auf Englisch eingestellt. Über das Menü „View -> Change Language…“ und den Button „Get More Languages…“ gelangt ihr auf die KeePass-Webseite mit den verfügbaren Sprachen. Ladet euch eure gewünschte Sprache runter und entpackt die lngx-Datei in der Zip-Datei. Die Sprachdatei kommt dann in das Unterverzeichnis „Languages“ im KeePass-Verzeichnis.
Nach einem Neustart der Anwendung wird die Sprache übernommen.
Anpassung der Optionen
Hier mal meine Empfehlung für die Basiskonfiguration von Keepass 2.41. Bitte macht euch dennoch Gedanken zu den einzelnen Konfigurations-Optionen. Gerade Punkte wie die Dauer, bis KeePass automatisch gesperrt wird sollte in einem anderen Umfeld (Büro, WG, …) vielleicht ganz anders konfiguriert werden als bei mir!
Ordnung in KeePass halten mit Kategorien
In KeePass ist es sehr einfach, Accounts anzulegen. Über den entsprechenden Button oben links oder die Tastaturkombination „Strg + I“ erstellt ihr einen neuen Eintrag.
Um in eurer neuen Kennwort-Datenbank Ordnung zu halten empfiehlt es sich aber, auf der linken Seite eine Baumstruktur anzulegen, wie ihr sie bestimmt schon aus dem Windows-Explorer kennt. Hier könnt ihr beliebig viele Ebenen anlegen. Um euch zu verdeutlichen, wie das aussehen könnte, hier auch mal ein Screenshot aus meiner privaten KeePass-Datenbank.
Jeden Eintrag in der Baumstruktur links könnt ihr mit einem Symbol hinterlegen. So wird schnell deutlich, was sich dahinter verbirgt. Ein Rechtsklick auf einen beliebigen Eintrag öffnet dessen Kontextmenü, hier wählt ihr einfach „Gruppe hinzufügen“ aus, vergebt einen Namen und ein Icon eurer Wahl.
Befüllen der KeePass-Datenbank mit euren Accounts
Nachdem ihr eure Baumstruktur angelegt habt, müsst ihr noch all eure Accounts eintragen. Ihr wählt den passenden Eintrag im Baum links aus und drückt also „Strg + I“. Es öffnet sich das Fenster für einen neuen Eintrag.
Im Prinzip braucht ihr in diesem Fenster nur den Reiter „Eintrag“ auszufüllen, alle weiteren könnt ihr auslassen.
Vergebt einen Titel für den neuen Eintrag und tragt Benutzername sowie Kennwort ein, letzteres zwei Mal, um Vertipper zu vermeiden. Außerdem tragt ihr am besten noch die URL der jeweiligen Webseite ein. Bei Bedarf noch einen Kommentar mit Infos, die ihr zu dem Account hinterlegen möchtet. Mit einem Klick auf OK wird der Eintrag gespeichert und erscheint in der Liste. „Strg + S“ speichert die geänderte Datenbank, was aber beim Schließen aber auch automatisch passiert.
Nutzung von KeePass – Einfach, schnell und sicher überall anmelden!
Richtig viel Spaß macht KeePass, wenn ihr das Programm geöffnet habt und euch z. B. auf einer Webseite anmelden wollt!
Habt ihr die Webseite in eurem Browser schon geöffnet prüf, dass der blinkende Mauszeiger im Feld für den Benutzernamen steht. Dann wechselt ihr zu KeePass und wählt den entsprechenden Eintrag aus. Danach wählt ihr aus dem Kontextmenü (Rechtsklick) den Eintrag „Auto-Type ausführen“ aus. Noch schneller geht es nach dem Markieren des Eintrags mit der Tastaturkombination „Strg + V“.
KeePass fällt dann automatisch in den Hintergrund und wechselt in das zuletzt genutzte Programm, also in diesem Fall euren Browser und beginnt mit der automatisierten Eingabe der Benutzerdaten. Im Anschluss simuliert KeePass einen Druck auf „Enter“, womit die Anmeldung abgeschlossen wird, ihr seid drin.
Habt ihr die Webseite noch nicht geöffnet, könnt ihr den Link in der Spalte „URL“ in KeePass doppelklicken. Je nach Konfiguration wird die Seite sofort im Standardbrowser aufgerufen oder die URL kopiert, damit ihr selbst wählen könnt, in welchem Browser ihr sie öffnen möchtet.
Liest sich vielleicht recht (zeit-)aufwändig, aber nach einer kurzen Eingewöhnungsphase ist das eine Sache von einer oder zwei Sekunden, den Benutzernamen und ein sicheres und langes Kennwort eintragen zu lassen. Schneller und sicherer geht es manuell definitiv nicht!
In den Optionen habt ihr ja eine Dauer eingestellt, nach der die Anmeldedaten wieder gelöscht werden sollen. Nach diesem Intervall (bei mir z. B. 12 Sekunden) wird die Zwischenablage automatisch wieder geleert.
Tipp: Achtet immer darauf, dass das zuletzt geöffnete Fenster, bevor ihr zu KeePass wechselt, das Fenster ist, in dem ihr die Benutzerdaten einfügen wollt!
Mir ist es nicht nur einmal passiert, dass ich statt dem Browser z. B. einen Chat offen hatte, von dort zu KeePass gewechsel und dann „Strg + V“ gedrückt habe. KeePass überträgt dann also euren Benutzernamen und euer Kennwort an euren Chatpartner!
Backup
Was ihr jetzt noch braucht, ist ein regelmäßiges und im besten Fall automatisiertes Backup eurer Passwort-Datenbank! Denkt auch daran, euer Backup-Sheet mit den Infos zur KeePass-Datenbank sicher aufzubewahren!
Die Datenbank (die kdbx-Datei) könnt ihr z. B. manuell auf einen USB-Stick kopieren, in eurer Cloud ablegen (die Datei ist ja verschlüsselt) oder z. B. mit Seafile und eurem Raspberry Pi synchronisieren. Der Vorteil der dritten Variante ist, dass ihr die Datenbank jederzeit nur in eurer eigenen Infrastruktur ablegt und problemlos mit jedem Gerät darauf zugreifen könnt.
Dazu braucht ihr nur einen Raspberry Pi (*) und einen installierten Seafile-Server. Wie ihr das macht, könnt ihr im Artikel „Die private Cloud auf dem Raspberry Pi – Seafile Server auf Raspian Stretch installieren“ und „Automatische Verzeichnis-Synchronisation zwischen mehreren Geräten mit Seafile (ohne Cloud)„.
* Solltet ihr über den Link bestellen, bekomme ich ein paar Prozent Provision, ohne dass es euch etwas extra kostet.
Apps für Smartphones und Linux
Auf meinem Android-Smartphone nutze ich KeePass DX in der kostenlosen Version. Die App befindet sich noch im Beta-Stadium. ich nutze sie aber schon seit geraumer Zeit völlig ohne Probleme!
Auf meinem iPhone nutze ich KeePass Touch. Die App ist ebenfalls kostenlos und funktioniert bei mir völlig problemlos.
Unter Linux nutze ich KeePass X, ebenfalls problemlos.
MacOS nutze ich selbst nicht, kann hier also auch keine Empfehlung geben! Schaut euch mal auf der KeePass-Webseite (Link) um und probiert ggf. ein paar verschiedene Versionen aus, um euren Favoriten zu finden.