Diesmal geht es um das sichere Speichern von Passwörtern auf dem Computer / Notebook / Mobiltelefon.

Die Möglichkeit Zugangsdaten auf Papier zu notieren ist relativ sicher, hat aber Nachteile: Das Dokument muss an einem sicheren Ort gegen unerlaubten Zugriff aufgehoben werden, man kann Einträge nicht kopieren / einfügen, was gerade bei langen Passwörtern umständlich wird. Eine Suche ist bei vielen Passwörtern umständlich, ebenso ein Backup.

Auch wenn die großen Monopolisten gerne ihre Cloud Lösung als beste Lösung anpreisen, sollte sich jeder überlegen:
Wenn mein Zugang dort gehackt wird, sind alle meine Passwörter dor bekannt.

Der Fokus liegt diesmal auf folgenden 3 Themen:

• Passwörter im Browser speichern – eine gute Idee?
• Passwörter sicher & lokal auf dem PC / Mobiltelefon speichern mit Keepass
• Passkey – Sichere Authentifizierung mit Vorteilen

Passwörter im Browser speichern – eine gute Idee?

Die Kurzfassung: Ja, das kann man machen, aber es birgt ein gewisses Risiko und sollte nur bei Webseiten angewandt werden, die nicht von hoher Relevanz sind (also nicht die Anmeldedaten bei der Bank)

Alle gängigen Browser speichern Passwörter verschlüsselt auf der Festplatte (über Betriebssystem-gesteuerte Verschlüsselung: Windows Credential Store, macOS Schlüsselbund, etc.).

Sobald du angemeldet bist und der Browser läuft, sind die Passwörter im RAM (=Arbeitsspeicher) im Klartext und können von Schadprogrammen ggf. ausgelesen werden.

Firefox bietet zusätzlich die Option eines Master-Passworts, das die Passwörter zusätzlich schützt. Bevor man also die Passwörter, die im Browser gespeichert sind, einsehen kann, muss man das Master Passwort eingeben.

Kurzum: Jede Person, die sich am Computer / Mobiltelefon anmelden kann, kann auch die im Browser gespeicherten Passwörter lesen (Ausnahme FIrefox, hier ist ggf. das Master Passwort notwendig). Zudem kann Schadsoftware diese Passwörter im Arbeitsspeicher auslesen.

Passwörter sicher & lokal auf dem PC / Mobiltelefon speichern mit Keepass

Keepass ist eine freie, kostenlose Software unter öffentlicher Lizenz zur Kennwortverwaltung.

Man kann sich die Software wie einen Karteikasten vorstellen, in dem Benutzernamen, Passwörter und sonstige Informationen in einer verschlüsselten Datenbank gespeichert werden.

Diese verschlüsselte Datenbank ist im Grunde genommen nur eine Datei. Man kann die Datei sicher lokal speichern und sich auch als Backup Kopien anlegen.

Um die verschlüsselte Datei mit keepass zu öffnen, benötigt man ein Master-Passwort, das man beim Erstellen der Datenbank vergeben hat. Zusätzlich lässt sich die Sicherheit noch erhöhen, indem man eine „Schlüsseldatei“ anlegt und diese z.B. auf einem USB Stick speichert. So kann keepass bzw. die Passwortdatenbank nur geöffnet werden, wen der USB Stick am Gerät angesteckt ist und zudem das Master-Passwort eingegeben wird.

An der Software arbeiten verschiedene Projekte, eine verbreitete Variante mit Erweiterungen ist keepassXC. Sie ist für verschiedene Betriebssysteme (Windows, Linux, MacOS) verfügbar: https://keepassxc.org/download/

(Für Android gibt es kepassDX: https://www.keepassdx.com/)

Nach dem Herunterladen der Datei installiert man das Programm einfach durch Ausführen dieser Datei.
Es folgt eine kurze Installationsroutine mit zwei Fenstern, die man mit „Weiter“ bestätigt.

Damit ist das Programm installiert und man kann mit „Datenbank“ -> „Neue Datenbank“ einen neuen Passwortspeicher erstellen.

Das Datenbankformat kann beibehalten werden, hier auf „Weiter“ klicken.

Nun muss das Master Passwort vergeben werden und bestätigt werden.

Es ist essenstiell, dass dieses Passwort – das alle anderen Passwörter schützen soll – sicher sein sollte.

• Nutze ein langes Passwort, idealerweise einen einprägsamen Satz – Beispiel: „NachbarsLumpibeisstgerneBriefträger“
• Notiere das Passwort nicht auf dem Rechner, bestenfalls auf einem Dokument ausserhalb des Rechners, sicher verwahrt
• Speichere die Datenbankdatei lokal auf dem Rechner und mache regelmäßig eine Sicherung (z.B. auf USB Stick, der sicher verwahrt wird)

Nach der Passwort Vergabe wirst Du gefragt, wo die Datai gespeichert werden soll, und wie sie heissen soll.

Merke Die den Ort (z.B. direkt unter Dokumente) und mache regelmäßig eine Kopie der Datei – z.B.auf den zuvor genannten USB Stick.

Sollte der Rechner verloren gehen, benötigst Du nur diese Datei und das Master Passwort, um alle Passwörter wieder herzustellen.

Passkey – Sichere Authentifizierung mit Vorteilen

Passkey ist eine Authentifizierungsmethode – z.B. bei Webseiten – die sich mehr und mehr durchsetzt.
Bei einer Authentifizierung mit Benutzername und Passwort besteht das Problem, dass beide verloren gehen können.
Kennt ein Dritter Benutzername und Passwort, kann er die Identität übernehmen und sich anmelden.

Passkey will dieses Problem lösen:

Statt Benutzername und Passwort wird hier eine assymetrisches Kryptographieverfahren mit 2 Faktor Authentifizierung genutzt.

An dem Prozess sind 3 Parteien beteiligt:
1) Die Partei, gegenüber der man sich authentifiziereun möchte (z.B. ein Webshop) muss passkey als Authentifizierungsmethode unterstützen. Ist dies gegeben, so wählt man diese Methode und erzeugt ein eigenes Schlüsselpaar, das nur für die Anmeldung an dieser Webseite genutzt werden kann, was bereits ein entscheidender Sicherheitsvorteil ist. Jede Webseite hat ein eigenes Schlüsselpaar.

2) Der Client / Kunde – das ist in der Regel Dein Betriebssystem, oder der Browser, oder das Mobiltelefon, das sich am Webshop anmelden möchte.

3) Der Authentikator, der das benötigte Schlüsselpaar erzeugt, nutzt und sicher verwahrt. Der öffentliche Schlüssel wird dabei der Webseite gegeben, der private Schlüssel bleibt im Authentikator.

Bevor sich ein Nutzer oder eine Nutzerin mittels Passkey auf einer Webseite sicher anmelden kann, muss man diesen zunächst registrieren. Hierzu erzeugt der Authentikator u. a. ein neues Schlüsselpaar, also einen geheimen privaten Schlüssel und einen zugehörigen öffentlichen Schlüssel. Der private Schlüssel wird sicher verwahrt, wohingegen der öffentliche Schlüssel der Webseite zur Verfügung gestellt wird. Ein Authentikator muss für jede Webseite und für jeden Benutzer ein eigenes Schlüsselpaar erzeugen, wodurch ein echter Mehrwert für Sicherheit und Datenschutz entsteht.

Möchte man sich nach erfolgter Registrierung mittels Passkey anmelden, sendet die Webseite eine Nachricht an den Client, die eine kryptografischen Inhalt enthält. Der Client (also Dein Betriebssystem, oder der Browser) sendet diese Anfrage an den Authentikator weiter, der sie mit dem privaten Schlüssel entschlüsseln und beantworten kann. Damit dies der Authentikator mit dem privaten Schlüssel macht, muss dieser freigeschalten werden. Z.B. durch ein Passwort, einen externen USB Stick, einen Fingerabdruckscanner, etc. Hier gibt es verschiedene Möglichkeiten.

Der Authentikator gibt dem Client die Rückmeldung der erfolgreichen Authentifizierung, der sie wiederum der Webseite weiterleitet. Möchte man sich nach erfolgter Registrierung mittels Passkey anmelden, sendet die Webseite eine Nachricht an den Client, die eine kryptografische Challenge enthält.s

Das Verfahren hat große Vorteile:

• Bei der Authentifizierung an einer Webseite werden nicht mehr Benutzername und Passwort über das Internet gesendet und können entwendet werden oder beim Betreiber der Webseite gepeichert werden.
• Jede Webseite hat ein eigens Schlüsselpaar und ist daher einmalig bezgl. Authentifizierung
• Die Optionen zur Freischaltung des Privaten Schlüssels beim Authentikator sind variabel und können (je nach Gerät) angepasst werden: Passwort, PIN, Fingerabdruck, Yubikey, etc.

Was hat es denn nun mit Privatem Schlüssel und öffentlichem Schlüssel auf sich?

Den öffentlichen Schlüssel hat der Betreiber der Webseite, bei der man sich authentifizieren will, der private Schlüssel bleibt auf dem eigenen Rechner, auf ihn greift nur der Authentikator zu.

Stelle Dir vor, Du hast ein Vorhängeschloß und Schlüssel. Du gibst das offene Vorhängeschloss dem Betreiber des Webshops. Dieser packt die Nachricht in ein Paket, schließt es mit dem Vorhängeschloss (= öffentlicher Schlüssel). Nur Du kannst es mit Deinem Privaten Schlüssel aufsperren, die Nachricht lesen und die richtige Antwort an den Webshop senden, um Dich zu authentifizieren.