Mit Passwort-Managern mehr Sicherheit im Handwerksbetrieb

Wer digital arbeitet, kennt das Problem: viele Accounts, viele Benutzernamen, viele Passwörter. Um es sich einfach zu machen, nutzen viele entweder ganz simple Passwörter oder für alle Accounts immer dasselbe. Laut Hasso-Plattner-Institut war im vergangenen Jahr „123456“ das meistgenutzte Passwort für Online-Dienste. Da muss niemand ein Hacker sein, um einen Account zu knacken.

Sichere Passwörter aber sind kompliziert, lang und nicht leicht zu merken. Holger Bär, Berater für Innovation und Technologie bei der Handwerkskammer für Oberfranken, empfiehlt daher die Nutzung eines Passwort-Managers.

Wie funktioniert ein Passwort-Manager?

Passwort-Manager helfen, Benutzernamen und Passwörter zu organisieren: Sie verschlüsseln die Daten und schützen sie mit einem komplexen Master-Passwort. Man kann sie sich wie ein Notizbuch vorstellen, das sicher in einem Safe liegt und nur dem Besitzer zugänglich ist. Der Vorteil: Statt vieler Passwörter reicht es, sich eines zu merken. Zudem generieren viele Passwort-Manager automatisch sichere Passwörter, wenn der Nutzer einen Account anlegt.

Welche Kriterien sollte ein Passwort-Manager erfüllen

Bevor ein Tool ausgewählt wird, sollte der Nutzer ein paar grundlegende Kriterien berücksichtigen, um den passenden Passwort-Manager zu finden. „Wenn es um kritische Daten geht, geht es vor allem um die Sicherheitsarchitektur“, sagt Bär. „Wie werden die Daten geschützt und verschlüsselt?“ Folgende Punkte spielen dabei eine Rolle:

• Der Anbieter sollte die Daten verschlüsseln, aber nicht selbst den Schlüssel besitzen. Sonst droht Gefahr, wenn ein Anbieter gehackt wird.
• Eine „Ende-zu-Ende“-Verschlüsselung ist garantiert.
• Das Tool bietet eine Multifaktor-Identifizierung, schickt also nach der Anmeldung beispielsweise noch eine SMS mit einem 6-stelligen Code.
• Der Passwort-Manager verschlüsselt nicht nur das Passwort, sondern auch den Nutzernamen und sogar die URL der Seite, auf der das Passwort eingegeben wird.
• Das Tool prüft, ob das eingegebene Passwort schon einmal gehackt wurde, und warnt.
• Es gibt eine Backup-Wiederherstellung verlorener Daten.
• Der Datenschutz, den der Anbieter gewährleistet, richtet sich nach der europäischen Datenschutzgrundverordnung.
• Die Server stehen in Europa, besser noch in Deutschland.

„Viele Anbieter haben auf ihren Websites FAQs, mit denen sich solche Fragen klären lassen“, erklärt Bär. Ansonsten helfen die Allgemeinen Geschäftsbedingungen und die Datenschutzerklärung weiter. „Und nicht zuletzt kann man auch die Hotline anrufen“, empfiehlt der IT-Berater.

Sollte ich einen cloudbasierten oder einen lokal installierten Passwort-Manager nutzen?

„Für kleine und mittlere Unternehmen, in denen mehrere Mitarbeiter auf dieselben Programme und Anwendungen zugreifen, die aber ihre Daten nicht auf einem eigenen Server hosten, bietet sich eine cloudgestützte Lösung an“, sagt Bär. Das heißt, die Daten werden auf den Servern des Anbieters gespeichert und nicht auf der eigenen Hardware. Außerdem ist so sichergestellt, dass die Passwörter nicht verloren sind, wenn ein eigener Server oder Rechner beschädigt wird. Nicht zuletzt ist der Anbieter für die Datensicherheit verantwortlich, das heißt, er muss sich um das Schließen von Sicherheitslücken und Software-Updates kümmern.

„Bei größeren Unternehmen mit eigenen Servern und IT-Mitarbeitern kommen auch lokale Lösungen in Betracht“, erklärt der Experte.

Reichen kostenlose Angebote oder sollte ich etwas bezahlen?

Viele Anbieter haben ein kostenfreies Tool im Programm. „Schnell merkt man aber, dass die besten Funktionen oft nicht zur Verfügung stehen“, sagt Bär. Zudem seien Business-Kunden ohnehin häufig von der Umsonst-Variante ausgeschlossen.

Aber auch, falls ein Angebot kostenlos genutzt werden kann: Bär empfiehlt, etwas Geld in die Hand zu nehmen, um die Sicherheit der Daten zu gewährleisten: „Wenn ich zahle, bekomme ich auch alle Updates und Weiterentwicklungen – das ist bei den kostenlosen Angeboten oft nicht garantiert.“

Welche Risiken gibt es bei Passwort-Managern?

Das größte Risiko ist wie so oft der Nutzer: „Ganz klassisch: Man vergisst sein Master-Passwort und hat keinen Zugriff mehr auf seine Daten“, sagt Bär. Zweites Risiko: „Das Master-Passwort ist zu schwach und der Rechner wird gehackt.“ Zugangsdaten seien interessante Ziele für alle, die im Darknet mit solchen Daten handeln. Deshalb seien auch die Anbieter von Passwort-Managern attraktiv für Cyberangriffe. „Umso wichtiger sind dann die Multi-Faktor-Authentifizierung und ein wirklich starkes Master-Passwort“, betont er.

Wer seinen Passwort-Manager selbst hostet, sollte – wie bei allen Anwendungen – darauf achten, die Software aktuell zu halten und alle Updates einzuspielen.

Und wenn es Sicherheitslücken gibt? Das Bundesamt für Sicherheit in der  Informationstechnik (BSI) hatte Ende letzten Jahres mehrere Passwort-Manager geprüft und tatsächlich Lücken festgestellt. Doch sowohl das BSI als auch HWK-Berater Bär stellen klar: Auch wenn Mängel in den Tools auftreten, sei das Risiko, das schwache Passwörter verursachen, viel größer.